핵심 요약
기사 목차 펼치기 / 접기
영국 정부가 인공지능(AI)을 활용한 사이버 공격에 대응하기 위해 국가 방어체계를 강화하고, 첨단 AI 개발 기업에 안전·보안 책임을 확대하도록 요구할 방침이다. AI 기업의 자율적인 안전조치에만 의존하지 않고 정부가 직접 보안 역량을 확보하겠다는 구상이다.
영국 일간지 가디언은 10월 12일 “카니슈카 나라얀(Kanishka Narayan) 영국 AI 담당 장관이 첨단 AI 개발 기업에 안전조치 강화를 촉구할 예정“이라고 보도했다. 정부가 민간 기술기업에 대한 의존도를 낮추고 자체적인 AI 보안 인프라를 구축할 필요성도 강조할 것으로 전해졌다.
이번 움직임은 AI 모델의 성능이 빠르게 향상되면서 사이버 공격 자동화, 첨단 모델 탈취, 핵심 기반시설 침해에 대한 우려가 커지는 가운데 나왔다. 영국 정부는 기존의 자발적 안전평가 체계와 별도로 국가 차원의 방어 역량을 강화하는 방안을 검토하고 있다.
AI 모델 탈취 우려…보안 전문가 “적대국의 접근 막기 어렵다”
영국 AI보안연구소(AI Security Institute)에서 수석과학자를 지낸 제프리 어빙(Geoffrey Irving)은 첨단 AI 모델이 적대국에 탈취될 위험을 경고했다.
어빙은 가디언과의 인터뷰에서 “AI 기업들의 현재 보안체계가 적대국의 모델 탈취를 막기에 충분하지 않다“고 주장했다. 특히 오픈AI(OpenAI)의 보안 취약점을 확인한 윤리적 해킹 사례를 언급했다.
해당 해킹은 오픈AI가 허가한 보안 취약점 신고 프로그램에서 이뤄졌다. 실제로 국가 차원의 모델 탈취가 발생했다는 뜻은 아니다. 오픈AI는 모델 암호화와 지속적인 감시 등 여러 보호장치를 운영하고 있다고 밝혔다.
AI 모델 탈취는 일반적인 개인정보 유출과 구별된다. 공격자가 첨단 모델의 가중치와 관련 기술을 확보하면 개발사의 접근통제나 사용 제한을 거치지 않고 모델을 운용할 위험이 있다.
어빙은 초지능 AI가 예상보다 빠르게 등장할 가능성도 경고했다. 다만 초지능의 출현 시점과 인류에 대한 위험 수준은 전문가들 사이에서도 논쟁 중이며, 그의 전망은 확정된 과학적 예측이 아니다.
영국 정부, 이미 국가 AI 사이버 방어체계 구축 착수
영국 정부는 이처럼 기존 정책을 확대하고 있다.
앞서 영국 내각사무처는 4월 22일 “첨단 AI 기업들이 정부와 협력해 국가 차원의 AI 사이버 방어 역량을 구축해야 한다“고 발표했다. 당시 댄 자비스(Dan Jarvis) 안보 담당 장관은 “AI를 활용해 국가 핵심 네트워크의 취약점을 자동으로 탐지하고 대응하는 기술을 개발하겠다“고 밝혔다.
정부는 중소기업 등의 사이버 방어력 강화를 위해 3년간 9000만 파운드를 추가 투자하는 계획도 발표했다. 기업 이사회 차원의 보안 책임, 정부의 조기경보 서비스 가입, 공급망 보안 인증을 포함하는 자발적 보안 서약도 추진했다.
따라서 10월 12일 보도된 정책 방향은 국가 사이버 방어체계 구축이라는 기존 계획에 첨단 AI 모델 자체의 안전성과 정부 감독 문제를 추가하는 내용이다.
국제 AI 안전기준 논의…영국 참여 여부 관심
영국은 AI 안전에 관한 국제 공조도 추진하고 있다.
영국 외무장관은 9월 23일 유엔 안전보장이사회 연설에서 첨단 AI 모델의 엄격한 안전시험, 개발기업의 투명성 확보, 국가 기반시설의 방어력 강화를 정부의 주요 과제로 제시했다.
또 영국이 2027년 주요 20개국(G20) 의장국을 맡아 AI 안전에 관한 공통 원칙과 국제기준 마련을 추진하겠다고 밝혔다.
영국이 핀란드, 프랑스, 독일, 호주, 싱가포르 등이 참여한 국제 AI 안전기준 협력 움직임에 동참할 가능성에도 관심이 쏠리고 있다고 가디언은 10월 12일 전했다. 다만 영국의 참여가 확정됐다는 발표는 아직 확인되지 않았다.
영국의 AI 안전정책은 개발기업의 자발적인 모델 평가에 상당 부분 의존해 왔다. 정부가 직접 보안 역량을 강화하더라도 민간기업의 모델에 어느 수준까지 접근하고 시험할 수 있는지는 별도의 제도적 문제다.
AI 기업 내부에서도 보안통제 강화 요구가 나오고 있다.
마이크로소프트(Microsoft)의 사티아 나델라(Satya Nadella) 최고경영자는 10월 10일 첨단 AI 시스템에 비상 정지장치와 행동 관찰·통제 기능을 마련해야 한다고 주장했다.
나델라는 “AI 시스템을 단순히 결과를 받아들이거나 거부하는 블랙박스로 취급해서는 안 된다“며 “우리는 행동을 관찰하고, 한계를 시험하며, 행동을 언제나 통제할 수 있는 시스템을 구축해야 한다”고 강조했다.
Q&A
Q1. 영국은 AI 기업에 새로운 법적 의무를 부과했나?
아직 이번 발표만으로 새로운 법적 의무가 발생한 것은 아니다. 정부의 정책 방향과 기업에 대한 안전조치 강화 요구가 보도된 단계다. 강제적인 모델 시험이나 보안자료 제출 의무를 도입하려면 별도의 법적 근거가 필요할 수 있다.
Q2. AI 모델 탈취가 국가안보 문제인 이유는 무엇인가?
첨단 AI 모델의 가중치가 탈취되면 공격자가 개발사의 사용 제한을 우회해 모델을 운용할 수 있다. 사이버 공격이나 다른 위험한 용도로 악용될 가능성 때문에 정부와 보안 전문가들이 모델 자체의 보호를 강조하고 있다.
Q3. 영국의 정책은 EU AI법과 어떻게 다른가?
유럽연합(EU)의 AI법은 범용 AI 모델 제공자에게 문서화, 저작권 관련 정책, 시스템 위험 평가 등 법적 의무를 부과한다. 반면 영국은 현재 분야별 규제와 기존 법률, 정부·기업 협력을 중심으로 AI 안전을 관리하고 있다. 이번 사이버 방어 강화 방침도 그 체계 안에서 추진되고 있다.
