시스코 “소스코드 외부 유출 없이 AI로 보안 취약점 잡는다”

최근 인공지능(AI) 코딩 도구 확산으로 기업이 관리해야 하는 소프트웨어 코드가 늘면서 보안 취약점 점검에 AI를 활용하는 방안이 주목받고 있다. 챗지피티 등 범용 대형언어모델(LLM)을 활용하면 코드 검증을 자동화할 수 있지만, 외부 클라우드 서버로 소스코드를 전송해야 해 정보 유출 우려가 있고 모델 운영 비용과 오탐지 문제도 발생한다. 이에 시스코는 기업 핵심 자산인 소스코드를 외부로 전송하지 않고 사내 폐쇄망에서 보안 취약점을 식별할 수 있는 사내 구축형(온프레미스) 소형언어모델(sLLM)을 대안으로 제시했다.

이승노 시스코 상무는 20일 서울 강남구 아셈타워에서 열린 ‘시스코 미디어 테크 세션’에서 “AI 시대를 맞아 사이버 방어 개념이 바뀌고 있다”며 “시스코도 보안 강화를 위한 다양한 오픈소스 프로젝트에 적극 참여하고 있다”고 말했다. 이어 그는 “올 4월을 기점으로 AI 시대의 사이버 방어 개념이 크게 바뀌었다”며 “엔트로픽과 협력하는 프로젝트를 비롯해 오픈소스 소프트웨어 기업들이 연합해 보안을 지원하는 아테라 프로젝트 등 3개 주요 개방형 프로젝트에 참여하고 있다”고 덧붙였다.

최근 AI 코딩 도구 확산으로 소프트웨어 코드 생산량이 급증하면서 수작업으로 보안 취약점을 점검하는 데 한계가 나타나고 있다. 기업들은 대규모 프론티어 AI 모델을 보안 검증에 활용하려 하지만, 범용 LLM은 보안 영역에서 환각 현상과 오탐지가 발생할 수 있다는 문제가 있다. 모델 운영 비용이 크다는 점도 부담이다. 특히 금융기관과 공공기관 등 망 분리가 필요한 환경에서는 내부 소스코드를 외부 서버로 전송하기 어려워 클라우드 기반 AI를 활용한 보안 검증에 제약이 따른다.

시스코는 이러한 문제를 해결하기 위해 사내 폐쇄망에서 구동할 수 있는 개방형 sLLM ‘안타레스(Antares)’를 공개했다. 안타레스는 기존 소스코드와 프로젝트 파일을 분석해 보안 취약점이 있는 위치를 식별하는 모델로, 3억5000만개와 10억개 매개변수 규모로 제공된다. 대규모 컴퓨팅 인프라 없이 단일 그래픽처리장치(GPU)나 모바일 기기 수준의 환경에서도 구동할 수 있으며, 외부 서버로 소스코드를 전송하지 않고 자체 장비에서 분석할 수 있어 정보 유출 우려를 줄일 수 있다.

이 상무는 안타레스 프레임워크를 실제 업무에 적용한 성과도 소개했다. 시스코는 전체 제품군에 해당하는 18억줄 분량의 소스코드를 검사하는 데 안타레스를 활용해 기존 방식으로 약 8년이 걸릴 작업을 8주 만에 완료했다. 또 실제 취약점이 아닌데도 취약점으로 판단하는 오탐률을 3% 미만으로 낮췄다고 밝혔다.

사이버 보안 운영(SecOps) 업무 전담 맞춤형 모델 ‘파운데이션-Sec-8B’ 상세 구조도 공개했다. 이 모델은 메타 오픈소스 언어모델 라마3.1을 기본 뼈대로 삼았다. 여기에 시스코가 오랫동안 축적한 네트워크 보안 개념과 전문 용어 실무 지식을 심층 학습해 전문성을 높였다. 단순 질의응답 수준을 벗어나 심층 추론 기능을 지원한다. 보안 장비에서 발생하는 접속 기록이나 네트워크 데이터 조각 원문을 인공지능이 직접 확인한다. 수집한 원시 데이터를 바탕으로 다단계 사고 과정을 거쳐 복잡한 사이버 위협을 스스로 분석해 낸다. 기업 보안운영센터(SOC) 실무자는 스플렁크 등 기존 데이터 분석 환경과 해당 모델을 연동해 실시간 위협 탐지 및 취약점 평가 작업을 자동화할 수 있다.

이날 이 상무는 일본 소프트뱅크의 적용 사례도 소개했다. 소프트뱅크는 데이터 프라이버시 규정으로 외부 클라우드 LLM 도입에 제약을 받자 시스코의 파운데이션 모델을 사내 보안운영센터(SOC)에 구축했다. 해당 모델을 17개 항목의 보안 위협 분류 작업에 적용하고 자체 보안 규정과 전후 처리 규칙을 결합한 결과, 90% 이상의 정확도를 달성했다. 소프트뱅크는 향후 침입탐지시스템(IDS)과 네트워크 보안 데이터 분석 등으로 AI 활용 범위를 확대할 계획이다.

시스코는 보안 기술을 외부 생태계와 공유하는 작업도 진행하고 있다. 소프트웨어 개발 초기부터 AI가 취약한 코드를 생성하지 않도록 통제하는 규칙 모음인 ‘프로젝트 코드 가드’를 국제 AI 보안 연합 코사이에 기증했으며, 관련 연구와 개선 작업이 이어지고 있다. 또한 8개 AI 에이전트의 역할을 규정한 ‘파운드리 시큐리티 스텝’을 소프트웨어 개발 플랫폼 깃허브에 공개했다. 기업은 이를 자사 보안 환경에 맞게 활용할 수 있으며, 필요에 따라 디테스터나 헌터 등 추가 에이전트를 도입해 기능을 확장할 수 있다고 설명했다.

이 상무는 안전한 AI 보안 체계를 구축하기 위해 단계적으로 기술을 도입해야 한다고 강조했다. 그는 “정보 유출에 민감한 공공기관과 기업을 중심으로 국가 AI나 안타레스와 같은 독립형 오픈소스 모델 도입을 검토하는 추세”라며 “검증된 체계를 우선 도입하고 실제 업무와 유사한 환경에서 충분한 사전 테스트를 거친 뒤 실무 개발자에게 순차적으로 확대 적용하는 방식을 권장한다”고 말했다.

글. 바이라인네트워크
<김원민 기자>wmkim627@byline.network