공익 AI 보안 이니셔티브 ‘프로젝트 캐노피’ 출범…티오리 ‘진트’로 첫 점검

사단법인 프로젝트 플라즈마(Project Plasma)는 공익 인공지능(AI) 보안 이니셔티브 ‘프로젝트 캐노피(Project Canopy)’를 17일 공식 출범했다고 밝혔다. 캐노피는 티오리한국의 AI 기반 보안 분석 솔루션 ‘진트(Xint)’를 시작으로 오픈소스 소프트웨어(OSS), 병원, 학교, 공공 유틸리티 등 보안 투자가 상대적으로 어려운 영역의 취약점 점검을 지원한다.

캐노피는 출범 전 시범 활동으로 전자정부표준프레임워크, 학교 내부 시스템, 리눅스, 주요 데이터베이스 소프트웨어 등을 점검했다. AI 기반 취약점 탐지 도구를 활용한 결과 심각도 높은 취약점 수백건을 발견했다. 캐노피는 해당 기관과 개발 주체에 이를 제보했으며 현재 패치가 진행 중이라고 설명했다.

민생 인프라는 병원, 학교, 공공 유틸리티처럼 시민 생활과 직접 연결되지만 보안 인력과 예산이 제한된 시스템을 뜻한다. 캐노피는 AI 기반 취약점 탐지 기술의 혜택을 이런 영역으로 넓히는 것을 목표로 한다.

초기 재원은 티오리한국이 제공한다. 티오리 관계자는 “취약점을 찾으려면 AI 엔진을 돌려야 하는데 1차적으로는 지원이 가능한 티오리의 진트를 활용한다”며 “제품 운영에 비용이 드는 만큼 30억원 정도의 크레딧을 기부하는 것”이라고 말했다.

진트는 티오리의 AI 기반 보안 분석 솔루션이다. 캐노피는 초기에는 진트를 활용하지만 특정 솔루션에만 의존하지는 않을 계획이다. 티오리 관계자는 “현재는 첫 시작을 끊는 개념”이라며 “다른 모델도 도입해 사용할 예정이고, 참여할 수 있다면 모두 열려 있다”고 말했다.

출범 시점 참여사는 27곳이다. 운영 주체인 스튜어드(Stewards)에는 두나무, LG유플러스, 포스코DX, 티오리한국, 한화손해보험이 참여했다. 스튜어드는 기금과 인력을 더 강하게 지원하는 기관이다. 취약점 점검 대상을 정하는 과정에서도 의사결정 역할을 한다.

역량 확산 파트너(Defending Partners)에는 광운대학교, 금융결제원, 롯데카드, 롯데이노베이트, 모두싸인, 무신사, 사람인, 삼성화재보험, SK AX, LG전자, NHN, 우아한형제들이 이름을 올렸다.

정보통신기획평가원(IITP), 지엔터프라이즈, 코웨이, 하나카드, 한국투자증권, 현대자동차그룹, 현대카드, 비공개 3곳도 참여한다. 캐노피는 향후 공개 모집을 통해 참여 기업과 기관을 추가로 받을 계획이다.

지원 프로그램은 세 가지다. 오픈소스 프로그램은 글로벌 핵심 인프라와 국내외 오픈소스 프로젝트 메인테이너에게 AI 기반 취약점 점검 크레딧을 무상 제공한다. 민생 인프라 방어 프로그램은 조달청, 기상청, 법원, 지자체 등 공공기관과 병원, 학교, 공공 유틸리티, 비정부기구(NGO)를 지원한다.

협력 공개와 패치 보상 프로그램은 AI가 찾은 취약점을 분류·검증(Triage)하고 패치 제작과 공시 과정에 참여한 메인테이너와 화이트 해커에게 보상을 지급하는 방식이다. 캐노피는 취약점 발견 이후 실제 보안 수정까지 걸리는 시간을 줄이는 데 이 프로그램을 활용할 계획이다.

캐노피는 엔트로픽(Anthropic)의 글래스윙(Glasswing)처럼 AI 기반 보안 역량을 공익 영역으로 확산하려는 흐름과 맞닿아 있다. 티오리 관계자는 “미토스(Mythos)나 글래스윙과 대결 구도가 아니라, 이런 노력이 더 많이 나와야 한다는 취지에서 시작한 것”이라고 설명했다.

박세준 프로젝트 캐노피 위원장은 “AI가 취약점을 찾는 속도는 공격자와 방어자 모두에게 똑같이 주어지지만, 이를 방어하고 패치할 수 있는 여력은 조직마다 불평등하다”며 “캐노피는 그 격차를 메우기 위해 기술과 자본, 사람이 공익적 관점에서 결합한 방파제”라고 말했다.

캐노피는 이달 중순부터 취약점 점검 대상을 선별하고 제보와 패치 공유를 위한 ‘1차 거버넌스 프로세스’에 들어간다. 7월초에는 전 세계 기업과 기관을 대상으로 공개 가입 페이지를 열 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network