KT, ITU에 'AI 보안 모델' 표준 제안…개발부터 평가·개선까지 기준화

[경제일보] 인공지능(AI)이 사이버공격 탐지와 위협 분석·대응에 활용되는 가운데 AI 모델 자체의 보안성과 신뢰성을 확보하기 위한 국제표준 논의가 본격화되고 있다. KT가 국제전기통신연합(ITU) 회의에서 사이버보안에 특화된 AI 모델을 개발·평가하는 기준을 제안하며 국제표준화에 나섰다. AI 모델에 어떤 보안 데이터를 활용할지부터 개발 과정에서 어떻게 성능과 신뢰성을 검증하고 지속적으로 개선할지까지 기준을 마련하겠다는 취지로 풀이된다.

21일 KT는 지난 7일부터 11일까지 중국 충칭에서 열린 ITU 전기통신표준화부문(ITU-T) SG17 국제표준회의에 참석해 AI 사이버보안과 디지털 신뢰 분야의 표준화 논의를 진행했다고 밝혔다.

ITU-T SG17은 사이버보안과 보안 아키텍처, 개인정보보호, AI 보안 등을 다루는 정보보호 분야 연구반이다. 각국 정부와 기업, 연구기관의 전문가들이 참여해 ICT 환경에서 활용할 보안 기술과 요구사항에 대한 국제표준을 개발한다.

이번 회의에서 KT는 범용 파운데이션 모델을 활용한 사이버보안 특화 AI 모델 개발 가이드라인을 제안했다. 생성형 AI와 파운데이션 모델이 다양한 산업으로 확산되는 상황에서 이를 사이버보안 영역에 적용하기 위한 별도의 개발 기준이 필요하다는 판단으로 분석된다.

보안 AI는 일반적인 생성형 AI와 달리 악성코드, 취약점, 공격 패턴, 침해사고 등 전문적인 사이버보안 지식을 다뤄야 하는 것으로 꼽힌다. 모델이 최신 보안 위협을 정확하게 분석하지 못하거나 잘못된 판단을 내릴 경우 실제 보안 사고 대응에 영향을 줄 수 있는 만큼 학습 데이터와 모델 성능을 지속적으로 관리하는 것이 중요하다.

KT가 제출한 기고서에는 AI 모델 개발에 활용할 사이버보안 지식 소스와 데이터 세트를 비롯해 보안 특화 모델 개발 과정에서 고려해야 할 기술적 요소가 담겼다. 또한 모델 개발 생애주기 전반에 대한 평가와 지속적인 모델 개선을 위한 권고사항도 포함됐다.

해당 기고서는 보안 AI를 한 번 개발한 뒤 사용하는 것이 아니라 데이터 확보부터 모델 개발·평가·운영·개선까지 전 과정을 관리하는 기준을 만들겠다는 의미로 풀이된다. 국제표준이 마련되면 기업이나 기관이 서로 다른 방식으로 보안 AI를 개발하는 과정에서 참고할 수 있는 공통 기준으로 활용될 전망이다.

특히 사이버보안 분야에서는 AI 모델의 지속적인 업데이트가 중요하다. 공격 방식과 악성코드가 계속 변화하는 만큼 과거 데이터를 기반으로 학습한 모델만으로 새로운 위협에 대응하기 어렵기 때문이다. 이에 모델의 성능을 주기적으로 평가하고 새로운 보안 지식과 데이터를 반영하는 체계 역시 표준화 과정에서 중요한 요소가 될 것으로 분석된다.

KT는 AI 보안과 함께 디지털 신뢰 분야의 국제표준화도 추진하고 있다. AI가 개인정보를 처리하고 다양한 서비스의 의사결정 과정에 활용되면서 보안뿐 아니라 서비스가 얼마나 신뢰할 수 있는지를 판단할 수 있는 기준도 필요해지고 있다는 판단이다.

염흥열 KT 개인정보보호자문위원회 위원장은 "AI 기술이 산업 전반으로 빠르게 확산되는 상황에서 사이버보안에 특화된 AI 모델의 개발 기준과 ICT 서비스의 신뢰 프레임워크를 국제사회가 함께 마련하는 것이 중요하다"며 "KT와 지속적으로 협력해 우리나라의 기술과 경험이 차세대 정보보호 및 개인정보보호 국제표준에 적극 반영될 수 있도록 노력하겠다"고 말했다.

ITU-T SG17에서는 통신·ICT 환경에서 '신뢰'와 '신뢰성'을 정의하고 이를 실제 시스템과 서비스에 적용하기 위한 신뢰 프레임워크의 구성요소와 요구사항을 체계화하는 기술보고서를 개발하고 있다.

KT는 해당 기술보고서에 주요 용어 정의를 보완하고 신뢰 프레임워크의 구성요소와 요구사항을 추가하는 수정안을 제안했다. 영국과 인도 측의 지지를 바탕으로 해당 기술보고서 발행도 완료했다.

디지털 신뢰 표준화는 AI 서비스에서 개인정보보호와 보안, 신뢰성을 하나의 체계 안에서 관리하는 기반이 될 수 있다. AI 서비스가 개인정보를 활용하거나 이용자를 대신해 판단하는 영역이 늘어날수록 단순히 AI 모델의 성능만 검증하는 것으로는 충분하지 않기 때문이다.

KT는 향후 사이버보안 참조 아키텍처와 디지털 신뢰 프레임워크의 연계성을 높이고 AI 사이버보안·개인정보보호·디지털 신뢰 분야의 국제표준화 활동을 확대할 계획이다. 통신·ICT 분야에서 축적한 보안 경험을 국제표준에 반영하고 이를 기반으로 글로벌 AI 보안 기술과 서비스의 신뢰성을 높이겠다는 전략이다.

KT의 국제표준화 활동은 AI 보안 사업과도 연결될 수 있다. AI 기반 위협 탐지와 분석, 대응 기술이 보안 영역에서 확대되면서 모델의 정확도뿐 아니라 어떤 데이터를 학습했는지, 어떻게 평가했는지, 새로운 위협에 맞춰 어떻게 업데이트하는지 등을 설명하고 검증할 필요성이 커지고 있어서다.

다만 이번 제안이 실제 국제표준으로 확정되기까지는 추가 논의와 검토가 필요하다. 향후 각국과 기업, 연구기관의 의견을 반영해 세부 요구사항을 조정하고 표준화 절차를 거쳐야 한다. 따라서 현재 단계에서는 국제표준 제안을 실제 제품이나 서비스에 적용할 수 있는 기준이 확정된 것으로 보기는 어렵다.

김창오 KT 정보보안실 개인정보보호그룹장 상무는 "AI 시대에는 사이버보안과 개인정보보호, 신뢰가 개별적으로 다뤄지는 것이 아니라 AI와 데이터, 서비스 전반에 함께 내재화돼야 한다"며 "KT가 축적해 온 통신·ICT 및 정보보호와 개인정보보호 경험과 국제표준 역량을 바탕으로 AI 보안, 프라이버시, 신뢰 분야의 글로벌 표준화에 지속적으로 기여하겠다"고 말했다.