AI·PQC에 피지컬AI까지…국가 보안 R&D 향후 방향은?

인공지능(AI) 에이전트와 피지컬 AI가 확산되고 양자내성암호(PQC) 전환까지 본격화하면서 보안이 챙겨야 할 영역이 늘고 있다. 이에 정부는 최근 내년(2027년) 국가 정보보호 연구개발(R&D)에서 어떤 기술에 힘을 실을 지 밑그림을 그리는 중이다.

정보통신기획평가원(IITP, 원장 홍진배)은 지난 7일 한국정보보호산업협회(KISIA), 정보보호 기업 관계자들과 2027년 국가 정보보호 R&D 방향을 논의했다. IITP는 AI 기반 사이버방어와 통합형 과제, 사업화를 주요 방향으로 제시했다.

IITP는 먼저 내년부터 ‘AI 사이버 실드돔’과 ‘피지컬 AI 융합보안’을 신규 사업으로 추진하는 방안을 기획하고 있다. 기존 정보보호 R&D에서는 산업계가 필요한 기술을 직접 제안하는 자유공모와 복수 연구팀이 경쟁하는 경쟁형 R&D를 확대하는 방안도 논의 중이다. 또한 여러 보안기업의 기술을 묶어 해외시장 진출까지 연결하는 통합형 R&D를 확대하는 방향도 검토하고 있다.

IITP는 산업계와 연구계의 기술수요를 토대로 9월부터 11월까지 분야별 기획위원회에서 후보 과제를 구체화할 계획이다. 기술적 필요성과 산업 활용 가능성, 기존 과제와의 중복 여부 등을 검토하고 정부 심의를 거쳐 올해 연말께 세부 과제를 확정할 예정이다.

AI 사이버 실드돔, ‘데이터→모델→에이전트’에 우선 집중

내년 국가 정보보호 R&D에서 가장 눈에 띄는 부분은 ‘AI 사이버 실드돔’이다. IITP는 AI 사이버 실드돔은 하나의 보안 특화 AI 모델을 개발하는 사업보다 범위가 넓다고 설명했다. 사이버 위협 데이터를 수집·정제해 AI 모델을 학습시키고, 이를 실제 보안 업무를 수행하는 AI 에이전트로 연결하는 구조로 설계된다. 이후 여러 에이전트를 연계해 자율적으로 위협을 탐지하고 대응하는 체계까지 만드는 것이 목표다.

구체적으로는 보안 위협 데이터의 수집과 가공·정제, 위협을 분석·추론하는 AI 모델, 자율방어를 수행하는 AI 에이전트가 주요 기술 축이다. 여러 AI 에이전트를 조정하는 오케스트레이션과 복수 시스템이 함께 위협에 대응하는 협력형 방어 기술도 사업 범위에서 검토하고 있다.

IITP는 당장 ▲보안 데이터 수집·학습 ▲AI 보안 모델 ▲AI 에이전트로 이어지는 구간에 상대적으로 무게를 둘 계획이다. 이를 국가 보안관제센터(SOC)와 연결하는 단계는 이후 과제로 보고 있다고 밝혔다.

현재 기관별로 나뉘어 추진되는 AI 보안 사업을 연계하는 방안도 논의되고 있다. IITP는 한국인터넷진흥원(KISA), 정보통신산업진흥원(NIPA) 등에서 각각 추진하는 보안 데이터와 보안 특화 AI 모델 관련 사업을 가능한 범위에서 연결해 하나의 AI 보안 기술 파이프라인으로 만드는 방향을 정부에 제안하고 있다고 설명했다.

자유공모 늘리고 ‘경쟁형 R&D’ 첫 시도

정보보호핵심원천기술개발사업의 과제 선정 방식에도 변화가 예고됐다. 우선 기업과 연구자가 산업 현장에서 필요한 기술을 직접 제안하는 자유공모형 과제를 확대한다. 정부가 기술 주제를 미리 정하는 하향식 방식만으로 빠르게 변하는 보안 수요를 반영하기 어렵다는 판단에서다.

IITP는 기술적 해법이 아직 명확하지 않은 고난도 분야에서는 경쟁형 R&D도 시범 추진할 계획이라고 밝혔다. 하나의 연구팀을 처음부터 선정하는 기존 방식과 달리 여러 연구팀이 동일한 문제에 서로 다른 기술로 접근하고, 단계별 평가를 거쳐 우수한 과제를 계속 지원하는 방식이다. 경쟁형 R&D는 AI를 활용한 보안처럼 아직 기술적 정답이 정립되지 않은 분야에 적용할 수 있다.

현장에서는 AI 기반 사이버보안은 다양한 접근법이 동시에 등장하고 있어 경쟁형 R&D 방식이 적합할 수 있다는 산업계 의견도 나왔다.

IITP는 경쟁형 R&D를 실제 제도로 운용하려면 단계평가 이후 연구비 배분 등 해결해야 할 문제가 있다고 설명했다. 조학수 PM은 경쟁형 R&D에 대한 기업들의 관심을 확인했다면서 사업 성과로 연결될 수 있는 연구를 기획 과정에서 검토하겠다는 취지로 말했다.

개별 제품에서 ‘통합형 보안’으로

과제 규모와 구성도 달라질 가능성도 있다. IITP는 기존 개별 보안기술 개발 외에 여러 기업이 함께 참여하는 대형·통합형 R&D를 확대하는 방향을 검토하고 있다. 국내 보안기업이 네트워크와 엔드포인트, 보안관제 등 각 분야에서 기술을 보유하고 있지만 해외시장에서는 여러 기능을 통합한 형태의 보안 플랫폼을 요구하는 사례가 많다는 이유다.

이에 IITP는 여러 기업의 기술을 결합해 현지에 맞는 패키지나 플랫폼을 만드는 수출형 K-통합 AI 보안 솔루션이 주요 방향으로 제시했다. 원천기술 연구만이 아니라 해외시장의 수요와 시급성이 높은 기술을 과제로 발굴하고 제품화 가능성까지 고려하겠다는 것이다.

해외진출촉진형 R&D도 이 방향에 맞춰 후속 사업을 검토하고 있다. IITP는 AI 통합보안을 주제로 확장형 탐지·대응(XDR), 보안정보·이벤트관리(SIEM) 등 서로 다른 기술을 가진 3곳 이상의 기업이 컨소시엄을 구성해 통합 제품을 만들고 특정 국가에 진출하는 방식을 언급했다. 다만 목표 국가와 세부 사업 방식은 아직 정해지지 않았다.

AI 에이전트 보안 강화, PQC는 ‘실제 전환’으로

기존의 R&D 세부 사업의 초점도 이동한다. AI 생태계 보안 내재화 기술 개발에서는 AI 모델뿐 아니라 AI 에이전트의 안전성을 주요 대상으로 삼는다. AI가 외부 시스템과 연결되고 직접 행동하면서 공격 표면이 넓어지고 있기 때문이다.

AI가 어떤 시스템에 접근할 수 있는지, 주어진 권한 안에서 행동하는지, 여러 AI 에이전트가 함께 움직일 때 문제가 발생하지 않는지 등을 검증하는 기술이 연구 대상이 될 수 있다. IITP는 이를 ‘행동하는 AI’의 안전성을 확보하는 기술로 설명했다.

양자내성암호(PQC) 전환 분야는 기술 개발에서 실제 도입과 운용으로 연구 무게중심을 옮긴다. 기존 암호체계를 PQC로 바꾸는 기술과 검증 기술을 개발했다면 앞으로는 기업과 기관이 실제 시스템에서 PQC를 적용하는 과정에 필요한 시험환경과 관리·평가 기술, 운영환경에서의 보안 검증 등에 초점을 맞출 계획이다.

피지컬 AI 융합보안도 신규 사업으로 추진한다. 로봇과 제조설비처럼 AI가 실제 물리적 장치를 움직이는 환경에서 발생할 수 있는 보안 위협을 다룬다. AI나 시스템이 사이버공격을 받으면 데이터 유출에 그치지 않고 로봇·설비의 오작동으로 이어질 수 있다는 점을 고려했다.

현장에서는 센서에서 입력된 데이터가 하드웨어와 펌웨어, 운영체제, AI 모델과 에이전트를 거쳐 실제 기계의 동작으로 이어지는 전 과정을 보호해야 한다는 의견이 나왔다.

보안업계 “과제 설계부터 사업화까지 현실 반영해달라” 

IITP가 통합형·대형 R&D를 확대하려는 방향에 대해 산업계에서는 과제 규모를 다양화해야 한다는 주문이 나왔다.

스패로우 측은 여러 기업이 참여하는 대형 과제가 필요한 분야가 있지만 모든 과제를 대형화할 필요는 없다는 의견을 냈다. 기업 입장에서는 비교적 작은 기술도 빠르게 개발해 제품화해야 하기 때문에 대형 장기과제와 신속하게 기술을 상용화할 수 있는 과제를 함께 운영할 필요가 있다는 취지다.

기존 정보통신기술(ICT) R&D 기술분류 체계가 최근 보안 기술의 변화를 충분히 담지 못한다는 문제도 제기됐다. AI와 제로 트러스트처럼 여러 영역이 결합된 기술은 기존 분류에서 어느 영역에 넣어야 할지 모호하다는 지적이다.

정부 R&D가 방어 기술에 지나치게 집중돼 있다는 의견도 있었다. 파이오링크 측은 국내 보안기업이 방어 기술에서는 경쟁력을 갖추고 있지만 공격 기술을 연구할 수 있도록 정부 R&D 지원이 필요하다는 취지의 의견을 냈다.

파이오링크 관계자는 “AI의 사이버공격 능력이 높아지는 상황에서는 공격을 막는 기술뿐 아니라 실제 공격자의 관점에서 시스템을 먼저 검증하는 오펜시브 시큐리티 연구가 필요하다”고 말했다.

AI 모델 개발 과제의 현실성을 따져야 한다는 지적도 제기됐다. 이글루코퍼레이션 측은 보안기업이 대규모 AI 모델의 학습부터 파운데이션 모델 구축까지 직접 수행하기에는 부담이 크다는 의견을 제시했다. 대규모 AI 모델을 개발하는 다른 정부 사업과 역할을 구분하거나, 보안기업이 경쟁력을 가진 특화 분야 중심으로 과제를 세분화해야 한다는 취지다.

제로 트러스트 업계에서도 사업 간 경계가 모호해질 수 있다는 의견이 제기됐다. 제로 트러스트도 AI를 이용한 자동화와 위험 판단으로 발전하고 있어 기존 제로트러스트 R&D와 AI 사이버 실드돔의 기술 영역이 일부 겹칠 수 있기 때문이다. IITP는 AI 사이버 실드돔 안에 제로 트러스트와 공급망 보안 기술도 포함할 수 있다고 설명했다.

기업들이 공통적으로 강조한 또 다른 부분은 ‘R&D 이후 사업화’다. 선박·항만 보안 분야에서는 정부 R&D로 핵심 기술을 개발하더라도 현장에 적용하려면 별도의 도구와 인프라를 다시 만들어야 하는 경우가 있다는 의견이 나왔다.

예를 들어 소프트웨어 공급망을 분석하려면 소프트웨어 자재명세서(SBOM)가 필요하지만 선박과 같은 산업현장에서는 SBOM을 생성할 환경 자체가 제대로 갖춰지지 않은 경우가 있다. 보안기업이 원래 개발하려던 보안제품뿐 아니라 주변 도구까지 별도로 개발해야 하는 셈이다.

해외시장 진출 과정에서 필요한 인증도 부담으로 꼽혔다. 제품을 개발한 이후에도 해외 인증과 현지 실증에 비용이 들어가기 때문에 R&D 성과가 실제 수출까지 이어지기 어렵다는 것이다.

IITP는 정보보호핵심원천기술개발사업의 국제공동 R&D에서 해외 인증과 현지 실증을 지원하는 방향을 검토하고 있다고 설명했다. 기술성숙도(TRL)가 높은 과제를 중심으로 제품화와 해외 진출을 연결하겠다는 취지다.

조학수 PM은 “산업계가 빠른 제품화와 사업화를 중요하게 요구하고 있다”며 “연구 주제가 정보보호 산업의 사업화와 경쟁력 강화로 이어질 수 있다면 기획 과정에서 적극적으로 검토하겠다”고 말했다.

2027년 정보보호 R&D의 세부 과제는 앞으로 수요조사와 기획위원회 검토, 정부 심의를 거쳐 올해 연말께 확정될 예정이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network