이전 블로그 글에서, 저는 Mythos급 모델을 상대할 때는 공격을 탐지하는지 여부보다 어디에서 차단하는지가 더 중요하며, 트래픽 경로야말로 추론 능력을 갖춘 공격자가 우회할 수 없는 유일한 통제 지점이라고 주장했습니다. 이 글에서는 그 논의를 기업 내부로 확장해, 조직이 AI를 활용하기 시작하면 실제로 그 경로를 따라 무엇이 이동하는지, 그리고 그 답이 보안 설계 방식을 어떻게 바꾸는지 살펴봅니다.
몇 달 전, 저는 여느 때와 비슷하게 시작된 기업용 AI 관련 논의에 참석했습니다. 어떤 모델을 사용해야 할까? 직접 운영해야 할까, 아니면 공개 모델을 호출해 사용해야 할까? 정확도를 높이고 환각을 줄이려면 어떻게 해야 할까? 모두 좋은 질문이었습니다. 하지만 모델을 선택한 뒤에는 어떤 일이 벌어지는지 묻는 사람은 아무도 없었습니다.
실제로는 다음과 같은 일이 일어납니다. 사용자가 프롬프트를 보내면 애플리케이션이 이를 받아 사용자의 신원을 확인하고, 문서 저장소나 데이터베이스에서 관련 컨텍스트를 가져온 뒤 몇 가지 내부 API를 호출합니다. 에이전트가 도구가 필요하다고 판단할 수도 있습니다. 이렇게 구성된 요청이 모델에 도달하면 모델은 토큰을 생성합니다. 이 토큰은 답변일 수도 있지만, 다음 API 호출이나 워크플로를 실행하거나 기록 시스템의 데이터를 변경하도록 지시하는 명령일 수도 있습니다.
이렇게 보면 모델은 훨씬 더 긴 체인을 구성하는 하나의 요소일 뿐입니다. 제가 말하는 추론 경로란 바로 이 체인을 뜻하며, 이 글의 바탕이 되는 핵심 관찰은 간단합니다. 추론 경로가 곧 트래픽 경로입니다.
“기존 트래픽은 데이터를 전달합니다. 추론 트래픽은 의도와 맥락, 의사결정을 전달합니다.”
추론 경로의 실제 의미
학습은 모델을 가르치는 과정입니다. 추론은 학습된 모델이 실제로 활용되는 순간입니다. 직원이 엔터프라이즈 어시스턴트에게 “최신 결과를 요약하고 경영진에게 보낼 이메일 초안을 작성해 줘”라고 요청하면, 해당 요청은 대략 다음과 같은 과정을 거칩니다:
사용자 → 애플리케이션 → ID 확인 → 컨텍스트 및 검색 → API → 에이전트 → 모델 → 도구 → 모델 → 응답 → 사용자
그 여정의 모든 단계는 네트워크 및 애플리케이션 트래픽으로 이루어집니다. 각 단계에는 엔드포인트, 지연 시간, 라우팅 결정, 그리고 연결된 ID가 있습니다. 데이터가 오가고 비용이 소모되며, 점점 더 무언가를 수행할 수 있는 권한까지 수반합니다.
제 동료 Lori MacVittie는 올해 초 이와 관련된 점을 지적했습니다. 즉, 추론은 프로덕션 환경의 런타임 동작이며 사용자, 트래픽 패턴, 지연 시간 민감도, 장애 유형, 비용 제약 및 보안 위험을 수반하는 애플리케이션 계층처럼 작동한다는 것입니다. F5의 최고제품책임자 Kunal Anand는 동일한 여정을 프롬프트에서 인그레스로, 워크플로와 추론을 거쳐 다시 사용자에게 돌아가는 새로운 가치 공급망으로 설명합니다. 이러한 관점을 받아들이면 보안에 관한 논의도 그에 맞춰 달라져야 합니다. F5의 AI 보안 제품 관리 부문 부사장 Mani Ganesan은 최근 블로그인 “이제 AI가 공격 표면이 되었습니다. 이를 보호할 준비가 되셨습니까?”에서 이러한 변화가 공격 표면에 어떤 의미를 갖는지 살펴봅니다.
이제는 버려야 할 네 가지 가정
CISO가 AI 보안을 강화하는 가운데, 우리 모두가 버려야 할 네 가지 고정관념은 다음과 같습니다:
- “모델이 전부다.” 모델은 눈에 보이는 부분이기 때문에 주목받습니다. 하지만 프롬프트에는 민감한 데이터가 포함될 수 있고, 검색 단계에서는 기밀 기록을 가져올 수 있으며, 에이전트는 API 자격 증명을 보유할 수 있고, 에이전트가 호출하는 도구에는 데이터베이스 쓰기 권한이 있을 수 있습니다. 모델만 보호하는 것은 데이터베이스와 통신하는 애플리케이션과 API는 무시한 채 데이터베이스만 강화하는 것과 같습니다. 공격 표면은 이 전체 경로입니다.
- “파일럿에서 프로덕션으로의 전환은 단순한 확장 작업이다.” 일반적으로 파일럿 환경에는 모델 하나, 소수의 사용자, 애플리케이션 하나, 그리고 수동으로 승인된 액세스가 있습니다. 프로덕션 환경은 이와 전혀 다릅니다. F5의 2026년 애플리케이션 전략 현황 보고서에 따르면, 조직들은 평균 7개의 AI 모델을 연계해 운영하고 있으며, 77%는 이제 학습이 아닌 추론이 주된 AI 활동이라고 답했고, 52%는 여러 모델을 서로 연결하거나 오케스트레이션하고 있습니다. 이는 단순히 사용자 수만 늘어난 동일한 아키텍처가 아닙니다. 완전히 다른 아키텍처이며, 이에 맞춰 보안 모델도 달라져야 합니다.
- “속도, 보안, 거버넌스는 서로 분리된 계층이다.” 개인정보가 포함된 프롬프트를 생각해 보십시오. 사용자와 모델 사이 어딘가에서 해당 요청은 전송 중에 검사되고, 정책에 따라 필요한 부분이 삭제되며, 승인된 모델로 라우팅되고, 모니터링되는 동시에 감사를 위해 기록되어야 합니다. 이제 “이 요청을 어디로 보낼 것인가?”를 판단하는 동일한 의사 결정 지점에서 “애초에 그곳으로 보내도 되는가?”라는 질문에도 답해야 합니다. 이는 세 가지 기능을 억지로 결합한 것이 아니라 하나의 트래픽 처리 결정입니다.
- “포인트 솔루션들을 서로 연결하면 됩니다.” 물론 조직은 API 게이트웨이, WAF, DLP, IAM, AI 가드레일, 모델 게이트웨이, 옵저버빌리티, SIEM, 에이전트 제어, MCP 보안으로 스택을 구성할 수 있습니다. 이러한 도구 자체가 나쁜 것은 아닙니다. 문제는 도구 간의 연결 지점입니다. 하나의 요청이 각각 자체 정책 엔진과 ID 컨텍스트를 가진 여섯 개의 제어 지점을 통과한다고 생각해 보십시오. 프롬프트를 입력한 사용자와 현재 도구를 호출하는 주체가 동일하다는 것을 누가 알 수 있을까요? API 호출, 모델 호출, 도구 호출이 하나의 트랜잭션이라는 것을 누가 파악할 수 있을까요? 전체 여정에 걸쳐 일관된 정책을 적용하고, 이후에 무슨 일이 있었는지 입증할 수 있는 주체는 누구일까요?
이전 블로그 글에서 저는 추론 능력을 갖춘 공격자가 가장 먼저 노리는 곳이 바로 시스템 간의 연결 지점이라고 지적했습니다. 이는 선의로 작동하지만 단순히 정책에서 벗어나는 에이전트에도 마찬가지로 적용됩니다.
트래픽이 의도를 담기 시작할 때
AI는 익숙한 요청-라우팅-정책-응답 시퀀스에 컨텍스트, 검색, 오케스트레이션, 도구 호출이라는 새로운 단계를 추가합니다. 하지만 더 근본적인 변화는 트래픽이 전달하는 내용에 있습니다. 기존 트래픽은 데이터를 전달하지만, 추론 트래픽은 의도와 컨텍스트, 의사결정을 전달합니다.
이는 에이전트에서 특히 중요합니다. 질문에 답하는 어시스턴트와 고객 기록을 읽고, 티켓을 생성하고, 이메일을 보내고, 코드를 실행하고, 인프라를 변경하거나 결제 지시를 내릴 수 있는 에이전트는 완전히 다른 차원의 문제입니다. 추론 경로가 행동 경로로 바뀌면서, 잘못된 결정의 영향 범위는 더 이상 정보 차원에만 머물지 않습니다.
추론 트랜잭션은 새로운 보안 단위입니다
기존 보안은 사용자, 디바이스, 애플리케이션, API, 워크로드, 데이터를 중심으로 판단합니다. 제로 트러스트는 “당신은 누구인가?”뿐만 아니라 “무엇에 접근하려 하는가?”도 물어야 한다는 점을 일깨웠습니다. AI 시스템에서는 여기에 세 번째 질문이 필요합니다. “어떤 데이터를 사용해 어떤 모델을 통해 AI에 무엇을 하도록 요청하고 있으며, 이 상호작용으로 인해 어떤 작업이 실행될 수 있는가?”
이 질문에 답하려면 기존의 어떤 단일 통제 수단도 보유하고 있지 않은 맥락 정보가 필요합니다. 인증된 재무 코파일럿 사용자의 요청이 기밀 재무 데이터를 외부 모델로 가져오고, 재무 에이전트에 작업을 넘긴 뒤, 최종적으로 지급 지시를 생성하기 위해 ERP API를 호출하는 상황을 생각해 보십시오. 사용자의 신원만으로는 그러한 결정을 내릴 수 없습니다. 전체 트랜잭션을 고려해야 합니다.
이것이 바로 ID 및 액세스 관리, 애플리케이션 보안, API 보안, AI 보안, 트래픽 관리가 하나로 융합되고 있는 이유입니다. 이들이 수렴하는 단위는 추론 트랜잭션입니다. 즉, ID와 프롬프트, 컨텍스트, 모델, 데이터, 도구, 출력, 작업을 모두 아우르는 단위입니다. 이는 HTTP 요청보다 훨씬 더 풍부한 정보를 담고 있는 객체입니다.
트랜잭션 관점에서 생각하기 시작하면 보안은 더 이상 단일 검문 지점이 아니라 순환 과정이 됩니다. 추론 전에는 누가 요청하는지, 어떤 데이터를 제공하는지, 프롬프트에 악의적인 의도가 있는지, 그리고 어떤 모델이 이를 처리해야 하는지를 확인해야 합니다.
추론 중에는 요청이 정책과 예산 범위 내에 있는지, 에이전트가 권한을 부여받지 않은 도구 호출을 시도하고 있는지를 확인해야 합니다. 추론 후에는 응답을 안전하게 반환할 수 있는지, 응답이 어떤 작업을 실행했는지, 무엇을 로그로 남겨야 하는지를 확인해야 합니다. 이러한 판단은 각각 트래픽이 흐르는 지점에서 내려져야 합니다. 모든 맥락이 한꺼번에 존재하는 유일한 곳이기 때문입니다.
이것이 CISO에게 의미하는 바
우리는 이전에도 이러한 패턴을 목격했습니다. 모놀리식 아키텍처는 분산 애플리케이션으로, 클라이언트-서버 구조는 API와 마이크로서비스로 발전했으며, 경계 보안은 ID와 애플리케이션을 인식하는 제어 방식으로 전환되었습니다. 그때마다 트래픽을 전달하고 보호하는 인프라가 전략적으로 중요해졌습니다. 이제 추론이 그 변화의 다음 단계입니다.
따라서 아키텍처 팀에 던져야 할 질문은 모델이 어디에 있는지에만 국한되지 않습니다. 추론 트래픽이 어디로 흐르는지, 무엇을 담고 있는지, 어디까지 접근할 수 있는지, 어떤 결정을 내리는지, 어떤 작업을 실행할 수 있는지 물어보십시오. 그런 다음 가장 어려운 질문을 던져야 합니다. 애플리케이션의 속도를 저하시키지 않으면서 이 모든 것에 대한 정책을 어디에서 적용할 수 있을까요?
AI 시대에는 가장 중요한 보안 경계가 더 이상 모델 자체를 둘러싸고 있지 않을 수 있습니다. 그 경계는 모델로 들어가고 나오는 경로에 존재합니다.
F5가 이 문제에 어떻게 접근하는지 자세히 알아보려면 F5 AI Gateway 페이지를 방문하세요. 또한 제 이전 블로그 게시물인 “네트워크 경계에서 프런티어 AI 차단하기: 인라인 제어가 Mythos급 모델에 대응하는 핵심 이점인 이유”도 꼭 읽어보세요.
작성자 소개
관련 블로그 게시물
추론 경로가 곧 트래픽 경로다: AI 보안이 자리해야 할 곳
이제 AI 트래픽에는 의도와 데이터, 작업이 담깁니다. AI 보안을 적용하는 데 추론 경로가 가장 중요한 지점이 된 이유를 알아보세요.
최전선 AI를 네트워크 경계에서 차단하기: 인라인 제어가 Mythos급 모델에 맞서는 핵심 우위인 이유
포스트-Mythos 시대에 사이버 방어가 어떻게 변화했으며, 조직이 통제 지점을 바꿔야 하는 이유를 알아봅니다.
애플리케이션 딜리버리 컨트롤러가 다시 전략적 의제로 떠오르고 있습니다
AI로 인해 애플리케이션 제공의 중요성이 더욱 커지고 있습니다. F5의 Nirav Shah가 새로운 Gartner® ADC 연구와 이것이 엔터프라이즈 인프라 의사 결정에 미치는 영향에 대해 설명합니다.
증거로 입증하는 AI 보안: Gartner SRM에서 선보일 내용
Gartner SRM에서의 세션을 앞두고, F5의 제품 마케팅 담당 수석 부사장이 F5가 세 가지 실질적인 단계를 통해 조직의 AI 보안을 어떻게 지원하는지 설명합니다.
파이프라인 속도 저하 없이 AI 데이터 파이프라인을 안전하게 보호하세요
AI 데이터 파이프라인 보안은 선택 사항이 아닙니다. 그 점은 분명합니다. 하지만 이를 제대로 보호하는 방법은 훨씬 불분명하며, 훨씬 더 어려운 과제입니다.
AI 스토리지에 새로운 로드 밸런싱 접근 방식이 필요한 이유
AI 워크로드에는 새로운 관점으로 설계된 스토리지가 필요합니다. AI 특유의 데이터 액세스 패턴은 레거시 인프라에 내재된 심각한 병목 현상과 비효율성을 여실히 드러냅니다.