보안칼럼

AI가 다른 AI에 일을 맡길 때 권한과 목적은 어떻게 전달되는가. 위임 체인의 세 가지 위험과 실행 전 검증, 기업의 점검 항목을 살펴본다. 1. 권한 희석(Authority Dilution): 위임 체인에서 AI 에이전트 권한이 달라지는 이유 한 개의 AI 에이전트에게 일을 맡기는 시대는 짧았다. 이제 에이전트는 다른 에이전트를 부르고, 그 에이전트는 다시 도구를 부른다. 보안의 질문도 그에 맞춰 바뀌어야 한다. 1.1 위임 체인(Delegation Chain)이란 무엇인가 사용자가 비서 역할의 에이전트A에게 “지난 분기 거래처

AI 에이전트는 업무 방식을 바꿀 편의성을 제공하지만, 그 자율성에는 구조적 보안 위협이 내재되어 있다. 보안 전문 기업의 관점에서 위협의 실체와 실제 공격 사례를 분석하고, 인증과 안티봇을 비롯한 기술적 대응 방향을 제시한다. 1. 자율형 AI 에이전트의 구조적 취약점: 프롬프트 인젝션과 데이터 유출 리스크 1.1 생성형 AI에서 자율형 에이전트로: 연평균 139% 성장과 구조적 한계 영화 속 아이언맨에게는 자비스라는 인공지능 비서가 있다. 주인의 말 한마디에 자료를 분석하고, 시스템을 제어하며, 스스로 판단해 작업을 대신 수행하

생성형 AI 기반의 자동화 크리덴셜 스터핑 공격이 급증함에 따라 기존 지식 기반 비밀번호 체계는 한계에 봉착했다. 비밀번호 복잡성 정책이 초래하는 보안과 편의성의 역설을 극복하기 위해 소유인증, 기기인증, FIDO2 패스워드리스(Passwordless)가 유기적으로 결합된 차세대 멀티인증(MFA) 아키텍처 구축이 시급하다. CISO 및 보안 결정권자를 위한 3단계 실행 가이드라인과 비즈니스 연속성 확보 전략을 제시한다. 1. AI와 자동화 공격의 대중화: 전통적 비밀번호 방어 체계의 기술적 붕괴 과거 사이버 침투가 독보적인 기술 역

1. 미토스의 등장과 AI의 공격 ① 단독 취약점의 한계 극복과 AI기반의 고도화된 공격 경로 AI가 보안에 들어온 방식이 달라지고 있다. 초기의 생성형 AI는 보안 담당자의 문서 작성과 코드 설명을 돕는 보조 도구에 가까웠다. 그러나 최근 등장한 AI 보안 모델은 취약점을 찾고 여러 약점을 연결하며 공격 가능성이 높은 경로를 제시하는 단계로 이동하고 있다. 미토스가 주목받는 이유는 여기에 있다. 강력한 공격자가 나타났다는 공포를 뒤로하고 보아야 할 것은 분명하다. “AI가 공격과 방어의 시간표를 바꾸고 있다” Mythos 5 (미

데이터의 기밀성(암호화)과 무결성(인증)을 동시에 보장하는 인증 암호화(AEAD, Authenticated Encryption with Associated Data) 방식인 GCM(Galois/Counter Mode)은 블록암호(AES, ARIA 등) 운용 모드의 표준이다. NIST SP 800-38D를 통해 표준화되어 있으며 국내 암호모듈(KCMVP) 제도상에서도 검증대상 운영모드로 채택되어 있다. 이러한 GCM이 안전하게 동작하기 위해서는 nonce(IV)의 유일성과 같이 반드시 지켜져야 하는 운용 조건이 존재한다. 본 칼럼은

1. 경계 기반 보안의 한계와 계정 탈취 위협 ① 디지털 전환의 가속화와 데이터 처리 구조의 근본적 변화 디지털 대전환 시대를 맞이한 기업과 공공기관의 IT 환경은 클라우드, 모바일, 그리고 수많은 IoT 기기가 유기적으로 얽힌 거대한 데이터 허브로 진화했다. 이러한 변화는 비즈니스 전반에 걸쳐 데이터 처리의 실시간성을 강력하게 요구하고 있으며, 이에 따라 보안 시스템 역시 과거의 정적인 방어 체계에서 벗어나 역동적인 탐지 체계로 변화해야 하는 시대적 과제에 직면했다. 하지만 대다수 조직의 보안 인프라는 여전히 방화벽(Firewal

양자컴퓨터 시대를 앞두고 당사 서비스를 대상으로 직접 수행한 PQC 전환 시범 프로젝트의 실제 경험을 바탕으로, 암호자산 탐색·평가 과정의 현실적 도전과 시사점을 공유한다. '우리 시스템의 암호가 양자 위협 앞에 얼마나 안전한가'라는 질문에 답하기 위해 무엇을 해야 하는지, 그리고 PQC 전환을 준비하는 조직이 지금 당장 취해야 할 행동이 무엇인지를 실증적으로 제시한다. 1. 기업이 PQC 전환 로드맵을 서둘러야 하는 이유 2024년 8월, NIST는 ML-KEM(FIPS 203), ML-DSA(FIPS 204), SLH-DSA(F

SSO(Single Sign-On)는 현대 비즈니스 인프라의 핵심이다. 하나의 인증으로 여러 시스템에 접근할 수 있게 함으로써 사용자 편의성과 운영 효율성을 크게 높인다. 계정 관리 일원화, 인증 정책 통합 적용이라는 장점 덕분에 공공기관부터 금융, 일반 기업까지 SSO 도입은 이미 보편화되었다. 하지만 편의성 이면에는 구조적 리스크가 존재한다. SSO 환경은 개별 시스템이 직접 인증하지 않고 통합 인증 시스템의 결과를 신뢰하는 구조다. 이것은 무슨 의미일까? 인증 서버 장애, 인증 정보 탈취, 관리자 계정 침해 같은 단일 사건이

AI가 다른 AI에 일을 맡길 때 권한과 목적은 어떻게 전달되는가. 위임 체인의 세 가지 위험과 실행 전 검증, 기업의 점검 항목을 살펴본다. 1. 권한 희석(Authority Dilution): 위임 체인에서 AI 에이전트 권한이 달라지는 이유 한 개의 AI 에이전트에게 일을 맡기는 시대는 짧았다. 이제 에이전트는 다른 에이전트를 부르고, 그 에이전트는 다시 도구를 부른다. 보안의 질문도 그에 맞춰 바뀌어야 한다. 1.1 위임 체인(Delegation Chain)이란 무엇인가 사용자가 비서 역할의 에이전트A에게 “지난 분기 거래처

AI 에이전트는 업무 방식을 바꿀 편의성을 제공하지만, 그 자율성에는 구조적 보안 위협이 내재되어 있다. 보안 전문 기업의 관점에서 위협의 실체와 실제 공격 사례를 분석하고, 인증과 안티봇을 비롯한 기술적 대응 방향을 제시한다. 1. 자율형 AI 에이전트의 구조적 취약점: 프롬프트 인젝션과 데이터 유출 리스크 1.1 생성형 AI에서 자율형 에이전트로: 연평균 139% 성장과 구조적 한계 영화 속 아이언맨에게는 자비스라는 인공지능 비서가 있다. 주인의 말 한마디에 자료를 분석하고, 시스템을 제어하며, 스스로 판단해 작업을 대신 수행하

생성형 AI 기반의 자동화 크리덴셜 스터핑 공격이 급증함에 따라 기존 지식 기반 비밀번호 체계는 한계에 봉착했다. 비밀번호 복잡성 정책이 초래하는 보안과 편의성의 역설을 극복하기 위해 소유인증, 기기인증, FIDO2 패스워드리스(Passwordless)가 유기적으로 결합된 차세대 멀티인증(MFA) 아키텍처 구축이 시급하다. CISO 및 보안 결정권자를 위한 3단계 실행 가이드라인과 비즈니스 연속성 확보 전략을 제시한다. 1. AI와 자동화 공격의 대중화: 전통적 비밀번호 방어 체계의 기술적 붕괴 과거 사이버 침투가 독보적인 기술 역

1. 미토스의 등장과 AI의 공격 ① 단독 취약점의 한계 극복과 AI기반의 고도화된 공격 경로 AI가 보안에 들어온 방식이 달라지고 있다. 초기의 생성형 AI는 보안 담당자의 문서 작성과 코드 설명을 돕는 보조 도구에 가까웠다. 그러나 최근 등장한 AI 보안 모델은 취약점을 찾고 여러 약점을 연결하며 공격 가능성이 높은 경로를 제시하는 단계로 이동하고 있다. 미토스가 주목받는 이유는 여기에 있다. 강력한 공격자가 나타났다는 공포를 뒤로하고 보아야 할 것은 분명하다. “AI가 공격과 방어의 시간표를 바꾸고 있다” Mythos 5 (미

데이터의 기밀성(암호화)과 무결성(인증)을 동시에 보장하는 인증 암호화(AEAD, Authenticated Encryption with Associated Data) 방식인 GCM(Galois/Counter Mode)은 블록암호(AES, ARIA 등) 운용 모드의 표준이다. NIST SP 800-38D를 통해 표준화되어 있으며 국내 암호모듈(KCMVP) 제도상에서도 검증대상 운영모드로 채택되어 있다. 이러한 GCM이 안전하게 동작하기 위해서는 nonce(IV)의 유일성과 같이 반드시 지켜져야 하는 운용 조건이 존재한다. 본 칼럼은

1. 경계 기반 보안의 한계와 계정 탈취 위협 ① 디지털 전환의 가속화와 데이터 처리 구조의 근본적 변화 디지털 대전환 시대를 맞이한 기업과 공공기관의 IT 환경은 클라우드, 모바일, 그리고 수많은 IoT 기기가 유기적으로 얽힌 거대한 데이터 허브로 진화했다. 이러한 변화는 비즈니스 전반에 걸쳐 데이터 처리의 실시간성을 강력하게 요구하고 있으며, 이에 따라 보안 시스템 역시 과거의 정적인 방어 체계에서 벗어나 역동적인 탐지 체계로 변화해야 하는 시대적 과제에 직면했다. 하지만 대다수 조직의 보안 인프라는 여전히 방화벽(Firewal

양자컴퓨터 시대를 앞두고 당사 서비스를 대상으로 직접 수행한 PQC 전환 시범 프로젝트의 실제 경험을 바탕으로, 암호자산 탐색·평가 과정의 현실적 도전과 시사점을 공유한다. '우리 시스템의 암호가 양자 위협 앞에 얼마나 안전한가'라는 질문에 답하기 위해 무엇을 해야 하는지, 그리고 PQC 전환을 준비하는 조직이 지금 당장 취해야 할 행동이 무엇인지를 실증적으로 제시한다. 1. 기업이 PQC 전환 로드맵을 서둘러야 하는 이유 2024년 8월, NIST는 ML-KEM(FIPS 203), ML-DSA(FIPS 204), SLH-DSA(F

2025년은 대한민국 정보보호 역사상 가장 뼈아픈 해로, ‘디지털 재난의 원년’으로 기록될 것이다. 국가 기간 통신망의 중추인 KT와 SKT, 그리고 이커머스 시장의 절대 강자인 쿠팡까지 연이어 침해 사고를 겪었다. 특정 기업의 일회성 사고로 치부하기에는 피해 규모와 사회적 파장이 너무 컸다. 개인정보 유출은 단순한 정보 손실이 아니라, 국민의 일상과 기업의 존립을 위협하는 사회적 재난으로 확장되고 있다. 지난 한 해 동안 발생한 일련의 사태는 하나의 질문으로 귀결된다. “왜 이렇게 많은 보안 투자를 하고도 사고는 반복되는가?” 그

SSO(Single Sign-On)는 현대 비즈니스 인프라의 핵심이다. 하나의 인증으로 여러 시스템에 접근할 수 있게 함으로써 사용자 편의성과 운영 효율성을 크게 높인다. 계정 관리 일원화, 인증 정책 통합 적용이라는 장점 덕분에 공공기관부터 금융, 일반 기업까지 SSO 도입은 이미 보편화되었다. 하지만 편의성 이면에는 구조적 리스크가 존재한다. SSO 환경은 개별 시스템이 직접 인증하지 않고 통합 인증 시스템의 결과를 신뢰하는 구조다. 이것은 무슨 의미일까? 인증 서버 장애, 인증 정보 탈취, 관리자 계정 침해 같은 단일 사건이

양자컴퓨팅이 '창'이라면, 이에 대응하는 양자내성암호(Post-Quantum Cryptography, PQC)는 '방패'에 비유할 수 있다. 양자컴퓨터가 현재의 암호 알고리즘(특히 RSA 또는 ECC)을 쉽게 해독할 수 있는 잠재력을 가진 반면, PQC는 양자컴퓨터의 공격에 대항할 수 있도록 설계된 암호 알고리즘이다. 양자내성암호는 특정 수학적 문제를 기반으로 하며, 대표적인 예로 격자 기반 암호(Lattice-based cryptography), 코드 기반 암호(Code-based cryptography), 다변수 다항식 기반 암

간편인증 패러다임의 전환 과정을 살펴보면, 인증 기술은 정보보호와 신원확인을 위한 필수적인 수단으로 디지털 기술의 발전과 함께 꾸준히 진화해왔다. 1990년대 후반 (구)공인인증서의 도입은 인터넷 금융과 전자상거래 등에 필수적인 인증과 전자서명을 가능하게 하여 관련 산업 발전의 밑거름이 되었다. 그러나 시간이 지날수록 각종 보안 문제가 대두되고 사용자 편의성을 저해하는 등 공인인증서의 여러 가지 부정적인 요소가 부각되었다. 이에 따라 2020년 전자서명법 개정을 통해 (구)공인인증서의 독점이 폐지되면서 민간 간편인증서비스가 본격적으

'개인정보 보호를 위한 법제도의 변화와 자기주권신원 기술 동향' 파트2에서는 자기주권신원(SSI) 개념과 탈중앙화 신원인증(DID) 기술을 알아보고 이를 구현한 구체적인 사례를 살펴본다. 자기주권 신원(SSI) 개념과 탈중앙화 신원관리 기술 중앙집중형 신원 인증 방식의 한계 자기주권 신원(Self-sovereign Identity, SSI) 개념과 탈중앙화 신원관리 기술은 중앙화 된 신원 인증 방식의 여러 단점이 드러나고, 개인정보 보호 및 디지털 신원관리의 중요성이 부각되는 세계적 추세와 맞물려 발전했다. 전통적인 디지털 신원 시

우리는 사람과 사물, 서비스가 인터넷을 통해 그물처럼 연결된 초 연결 시대의 한 가운데 살고 있다. 이 복잡한 빛과 전자의 길을 통해 현대인들은 삶의 많은 부분을 인터넷에 '업로드'했다. 이 길을 따라 이동하는 정보 중에는 이름, 생년월일, 서비스 계정, 주소, 신용카드 번호 등 수많은 개인정보도 포함되어 있다. 서비스에 전달된 개인정보는 보고싶던 영화, 새로운 보험 계약, 내일 아침 반찬거리, 고장 난 수도꼭지를 대체할 부품 등으로 바뀌어 온·오프라인을 통해 우리에게 되돌아온다. 기본적인 의식주 활동부터 노동, 여가생활까지 온라인