AI 시대, '비인간 신원(NHI)'이 새로운 보안 과제로 부상

AI가 사람 대신 일하는 시대…'비인간 신원(NHI)' 새 보안 과제

AI마다 디지털 신분증 발급…권한·책임 실시간 관리 필요

(서울=연합뉴스) 권하영 기자 = 최근 인공지능(AI)이 스스로 업무를 수행하는 에이전트로 진화하면서, 정작 그 에이전트가 정당한 권한을 가진 주체인지 확인할 방법이 없다는 문제가 새로운 보안 과제로 떠오르고 있다.

◇ AI가 대신 일하는 시대…'사람 계정 빌려쓰기'가 만든 보안 공백

디지털 신원인증 전문기업 라온시큐어[042510]는 이러한 문제를 해결하기 위해 AI 에이전트마다 고유 식별자와 디지털 신분증을 부여해 권한을 관리하는 신원 인증 체계 '원액세스' 개발을 최근 완료했다고 밝혔다.

김태진 라온시큐어 최고기술책임자(CTO)는 2일 서울 여의도 본사에서 진행된 미디어 스터디에서 이 같은 내용을 소개하며 "AI 에이전트를 실질적인 업무 주체로 신뢰하려면 신원 확인 체계가 먼저 갖춰져야 한다"고 강조했다.

지금까지 기업의 AI 활용은 사람이 챗봇과 주고받는 질의응답 형태에 머물렀다. 그러나 최근에는 AI에 특정 역할을 맡겨 자료 조사부터 초안 작성, 검증, 최종 승인까지 업무 전 과정을 자율적으로 처리하게 하는 방식으로 무게중심이 옮겨가고 있다. 사람이 하던 일을 여러 에이전트가 나눠 맡는 구조다.

문제는 AI 에이전트의 자율성이 확대될수록 신원과 권한을 둘러싼 통제 공백은 기업 보안의 새로운 취약점이 될 수 있다는 점이다.

현재는 AI 에이전트 기반 시스템을 사용하더라도 대부분은 사람이 인증받은 접근 권한을 AI 에이전트에게 그대로 넘겨주는 방식으로 작동한다. 에이전트가 사람의 계정을 빌려 쓰는 셈이다.

이 경우 접속 기록에는 사람이 직접 작업한 것으로 남기 때문에, 이후 문제가 생겨도 사람이 승인한 결과인지 AI가 자율적으로 처리한 결과인지 구분할 수 없다. 권한을 빌려준 사람이 결과에 대한 책임을 고스란히 떠안는 구조인 셈이다.

김 CTO는 이런 상태에서는 AI를 실질적인 업무 주체로 신뢰하기 어렵다고 지적했다. 그는 "AI 에이전트도 특정 업무를 할 수 있는 권한을 가진 에이전트가 맞는지, 명령을 내린 사람이 정말 그 조직 소속이 맞는지 식별이 이뤄져야 한다"고 말했다.

◇ AI도 '디지털 신분증' 발급…글로벌도 비인간 신원인증 경쟁

라온시큐어가 주목한 해법은 사람에게 주민등록번호가 있듯 AI 에이전트에도 고유 식별자를 부여하는 것이다. 이를 비인간 고유식별자(NHI)라고 한다. 식별자가 있어야 해당 에이전트가 언제 무엇을 했는지 추적할 수 있고, 그 위에 역할과 권한 같은 속성을 얹을 수 있다는 논리다.

원액세스는 여기서 나아가 에이전트를 사람의 '대행자'가 아닌 독립된 권리·책임의 '주체'로 규정한다.

에이전트가 생성되면 분산신원증명(DID) 기반의 디지털 지갑이 자동 발급되고, 맡은 업무에 맞는 역할증명이 그 지갑에 주입되는 식이다.

권한은 관리자에서 메인 에이전트, 다시 하위 에이전트로 이어지는 위임 체인을 통해 암호학적으로 연결돼, 누가 누구에게 어떤 권한을 넘겼는지 투명하게 추적할 수 있다는 설명이다.

실제 작동 방식은 이렇다. 사용자가 생체인증으로 신원을 확인하면 메인 에이전트가 이를 검증하고, 하위 업무를 맡은 에이전트들에 차례로 작업을 위임한다. 이때 각 에이전트는 서로에게 신분증을 요구해 상대가 정당한 권한을 가진 주체인지 재차 확인한 뒤에야 작업을 넘겨받는다.

최종 실행 단계에서는 반드시 사람의 승인을 거치도록 했는데, 이때도 시스템은 승인 행위 자체가 아니라 승인한 사람이 실제로 그 권한을 가진 인물인지를 검증한다.

권한이 회수되면 통제도 즉시 작동한다. 특정 업무 권한을 잃은 에이전트에 해당 작업을 요청하면 시스템이 이를 차단하고, 권한이 없는 사용자가 작업을 지시해도 마찬가지로 거부된다. 조직 개편으로 담당자의 인사 정보가 바뀌면 관련 권한도 자동으로 갱신된다.

라온시큐어에 따르면 마이크로소프트(MS), 구글, 옥타, 사이버아크 등 글로벌 기업들도 앞다퉈 비인간 식별자 시장에 뛰어들고 있지만, 이들 플랫폼은 대부분 자사 생태계 안에서만 작동하는 폐쇄형 구조라는 한계가 있다.

원액세스는 특정 플랫폼에 종속되지 않는 개방형 표준을 지향하는 차별점을 내세운다. 국제전기통신연합(ITU-T)에서 순천향대와 함께 AI 에이전트 신원 인증 프레임워크 표준화를 주도하고 오픈아이디파운데이션(OIDF) 등 국제 표준 단체에도 참여하고 있다.

김 CTO는 "원액세스는 현재 제품 개발을 마친 단계로 조만간 상용화 출시될 예정"이라고 전했다.