[인터뷰] 김태수 마이크로소프트 부사장 “AI 발전할수록 방어자가 우위… 韓, 인재 뒷받침할 보안산업 키워야” 작성일 08-30 34 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">“AI 발전으로 모든 공격 가능성 사전 점검… 장기적으로 방어자가 우위”<br>“MDASH, 100개 넘는 에이전트가 취약점 교차검증… 정확도↑”<br>“韓 보안 인재는 뛰어나… 관련 산업이 뒷받침해야”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="KMTdNEu5NQ"> <p contents-hash="70f4909c42eb674e8fa0a5fae50f8f176557a472d5445d97ee1ce1b6739392c3" dmcf-pid="9RyJjD71aP" dmcf-ptype="general">“인공지능(AI)이 등장하기 전에는 (사이버 세계에서) 공격자가 취약점 하나만 찾으면 되지만, 방어자는 모든 가능성을 고려해야 해 불리했다. AI가 발전하면서 방어자가 모든 가능성을 검토하는 일이 현실적으로 가능해지고 있으며, 향후에는 방어자가 유리해질 것이다.”</p> <p contents-hash="682dc808b9fff706ff973df3df1241560afc4a1c15cb850b2e7e06274c73e236" dmcf-pid="2eWiAwztc6" dmcf-ptype="general">김태수 마이크로소프트(MS) 보안담당 부사장(조지아공대 컴퓨터공학과 교수)은 지난 26일 서울 소공동 웨스틴조선호텔에서 열린 ‘스마트클라우드쇼 2026’ 기조연설 직후 조선비즈와 만나 이같이 말했다. 그는 이전까지 취약점 탐지 경쟁에서 공격자가 우위에 있었지만, AI 발전으로 방어자가 공격에 앞서 모든 가능성을 점검할 수 있게 되면서 이 같은 구도가 뒤바뀔 것으로 내다봤다.</p> <figure class="figure_frm origin_fig" contents-hash="8dbc48464b02904656e3db0126b08684da60c722dcdaf1c6e7548bd63d3c6545" dmcf-pid="VdYncrqFg8" dmcf-ptype="figure"> <p class="link_figure"><img alt="김태수 마이크로소프트(MS) 보안담당 부사장(조지아공대 컴퓨터공학과 교수)이 26일 서울 중구 웨스틴조선호텔에서 조선비즈와 인터뷰를 하고 있다./조선비즈" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/30/chosunbiz/20260830060246624zxzd.jpg" data-org-width="2656" dmcf-mid="b2wVMiHlgx" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/30/chosunbiz/20260830060246624zxzd.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 김태수 마이크로소프트(MS) 보안담당 부사장(조지아공대 컴퓨터공학과 교수)이 26일 서울 중구 웨스틴조선호텔에서 조선비즈와 인터뷰를 하고 있다./조선비즈 </figcaption> </figure> <p contents-hash="b1c86094e7292eae26c2a93c7007e385bec5c51b48de01d8eb24639a1e28171a" dmcf-pid="fJGLkmB3c4" dmcf-ptype="general">김 부사장은 “AI 시대에 공격과 방어는 본질적으로 다른 작업이 아니다”라며 “다만 현재 공격자는 AI를 빠르게 받아들이는 반면 방어자는 규제와 컴플라이언스, 비용을 고려해야 해 현재로서는 공격 측이 우세하다”고 말했다. 이어 “방어자는 코드 출시 여부를 결정할 수 있어 공격자보다 많은 정보를 갖고 있다”며 “특히 AI 발전으로 모든 가능성을 사전에 점검할 수 있게 되면서 장기적으로는 오히려 방어자가 유리해질 것”이라고 설명했다.</p> <p contents-hash="a415b621d7183d9f8119c09cd03ba47c70a174e9d1476c51510b6d58bc1992cf" dmcf-pid="4iHoEsb0Nf" dmcf-ptype="general">김 부사장은 2021년 만 36세의 나이로 삼성리서치 상무로 발탁돼 4년간 AI·사이버보안 연구를 이끌었다. 지난해에는 미국 국방고등연구계획국(DARPA)이 주관한 ‘AI 사이버 챌린지(AIxCC)’에서 ‘팀 애틀랜타(Team Atlanta)’를 이끌어 우승했다. AIxCC는 AI를 활용해 취약점을 자동으로 분석·탐지하고 수정하는 능력을 겨루는 대회로, 팀 애틀랜타는 결선에서 총점 392.76점을 기록해 2위와 압도적 격차를 벌렸다. 올해 초 MS 보안담당 부사장으로 자리를 옮긴 뒤에는 AI 기반 취약점 탐지 시스템 ‘MDASH’ 개발을 주도했다.</p> <p contents-hash="5c8efe60df5da6ba536881bb42752dc1c90243cd03a921b461db55931da9ceaf" dmcf-pid="8nXgDOKpjV" dmcf-ptype="general">김 부사장은 MDASH의 핵심으로 작업 단계와 역할에 따라 서로 다른 AI 에이전트를 조합하는 방식을 꼽았다. MDASH는 소프트웨어 구조와 과거 취약점 정보를 토대로 위협 모델을 구축한 뒤, 100개 이상의 하위 에이전트가 취약점을 탐색한다. 발견된 취약점은 해커·개발자·방어 담당자 역할의 에이전트가 교차 검증하며, 실제 공격 가능성을 확인하는 개념증명(PoC) 코드와 수정 패치까지 생성한다. 이 같은 구조를 통해 개별 모델의 편향을 줄이고 다양한 관점에서 취약점을 검증해 정확도를 높인다.</p> <p contents-hash="9196cd57f9c136337f49ebdac6a1635fab5933da85c8f3db2df986f1aabe8acd" dmcf-pid="6wzsTHRfA2" dmcf-ptype="general">김 부사장은 “취약점을 찾은 AI 모델을 다시 검증과 토론에 참여시키면 동일한 편향으로 비슷한 결론을 반복할 수 있다”며 “이를 막기 위해 개발자와 공격자 역할의 에이전트에 서로 다른 AI 모델을 적용해 다양한 관점을 반영한다”고 설명했다. 이어 “에이전트들이 마지막까지 합의하지 못하면 세 모델이 투표하고, 이 가운데 두 개 이상이 실제 버그라고 판단할 때만 취약점으로 보고한다”며 “복수 모델의 판단을 교차 검증해 특정 모델의 편향을 걸러내고 정확도를 높이는 구조”라고 덧붙였다.</p> <p contents-hash="d688b24a8b76be53502ec8f2698959e38b6040b072e9a9d6755f3fd9ef33a793" dmcf-pid="PrqOyXe4a9" dmcf-ptype="general">MDASH는 현재 MS 윈도 조직의 CI/CD 파이프라인에 적용돼 개발 과정에서 의무적으로 활용되고 있다. 도입 후 4개월 만에 지난해 윈도에서 발견된 전체 취약점 수의 66%에 해당하는 취약점을 찾아냈다. 김 부사장은 “윈도는 지속적으로 침투 테스트를 받는데도 MDASH가 동일한 코드에서 새로운 버그를 찾아낸다”며 “인간 해커보다 높은 수준의 복잡한 취약점을 짧은 시간 안에 발견하는 성과를 인정받고 있다”고 말했다. 이어 “이런 성과를 바탕으로 빠르게 정식 제품화됐으며, 현재 국내외 여러 기업에서 도입하고 있다”고 밝혔다.</p> <p contents-hash="91606a92273a3586773562ed5543a8d48a6154759e23611ec9c3ed8e39a8ab6f" dmcf-pid="QmBIWZd8oK" dmcf-ptype="general">김 부사장은 한국 보안 인력의 역량은 세계적 수준이지만, 이를 뒷받침할 산업 기반은 아직 충분히 성장하지 못했다고 진단했다. 실제로 그가 지난해 AIxCC 우승을 이끈 팀 애틀랜타에는 조지아공대·카이스트·포스텍 등의 연구진이 참여했으며, 전체 구성원의 80~90%가 한국인이었다.</p> <p contents-hash="59b0e6733e1d27bfe2940a8628ec13a28b2c69597723b5555b150b8b592e7b70" dmcf-pid="xsbCY5J6cb" dmcf-ptype="general">김 부사장은 “한국은 북한 등 사이버 위협에 노출돼 있어 지정학적으로 사이버 보안을 중요하게 여겨야 하지만, 관련 산업이 충분히 뒷받침되지 못하고 있다”며 “미국과 한국 보안 인력의 임금 격차는 심각하며, 국내에서는 보안 인력의 임금이 일반 (소프트웨어) 개발자보다 낮은 경우가 많다”고 말했다. 이어 “국내 보안 인력이 더 높은 보상을 찾아 해외로 나가는 것은 한국 사회가 보안 산업과 인력의 가치를 충분히 평가하지 못하고 있기 때문”이라며 “산업이 바뀌지 않으면 정부가 아무리 지원해도 밑 빠진 독에 물 붓기가 될 수 있다”고 지적했다.</p> <p contents-hash="506664652c915500cd7cf66796e6895e46eec51ae1f1cad34344374ecf1c2e7e" dmcf-pid="y9rfRnXSAB" dmcf-ptype="general">김 부사장은 향후 AI가 주니어 인력의 역할을 대신하면서 보안 전문가의 전통적인 진입 경로는 좁아질 수 있지만, 새로운 기회도 열릴 것으로 봤다. 그는 “6개월 전과 비교해도 AI의 발전 속도가 무서울 정도”라며 “보안 업무의 기반인 코드는 텍스트여서 AI의 추론 능력이 빠르게 적용되고 있으며, 기술적으로 AI가 인간 해커보다 뛰어나다”고 말했다.</p> <p contents-hash="3f92e2325d96126b61d42f75f437ea8bb57fb6840e049368d49df3ee8b6c81c7" dmcf-pid="W2m4eLZvoq" dmcf-ptype="general">다만 “AI가 생성하는 코드가 늘면서 보안 업무의 범위는 오히려 넓어지고 있다”며 “앞으로는 AI와 개발·보안을 폭넓게 이해하고 여러 영역에서 유연하게 일하는 제너럴리스트가 중요해질 것”이라고 전망했다.</p> <p contents-hash="4156f5b6e7ba20d4c1d972e74d0e4782ca9db6ae5785c066ffc50287a61e54d0" dmcf-pid="YVs8do5Taz" dmcf-ptype="general">- Copyright ⓒ 조선비즈 & Chosun.com -</p> </section> </div> <p class="" data-translation="true">Copyright © 조선비즈. 무단전재 및 재배포 금지.</p> 관련자료 이전 [KISTI의 과학향기]생명을 품은 땅, 갯벌을 보호해야 하는 이유 08-30 다음 에이비온 5.6개월·에이비엘은 현금 순유입…기술이전이 가른 ‘자금체력’ 08-30 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
