시큐리티스코어카드, ‘AI 제3자 위험 관리 벤치마크’ 출시

시큐리티스코어카드(한국 대표 우청하)는 인공지능(AI) 모델의 제3자 위험 관리와 공급망 보안 업무 수행 능력을 평가하는 ‘AI 제3자 위험 관리 벤치마크(AI TPRM Benchmark)’를 출시했다고 6일 밝혔다.

제3자 위험 관리(TPRM)는 기업이 협력사와 공급업체 등 외부 조직에서 발생할 수 있는 보안 위험을 파악하고 관리하는 체계를 말한다. 이번 벤치마크는 AI 모델이 실제 제3자 위험 관리 업무를 수행하는 능력과 공격자가 입력값을 조작했을 때 대응하는 능력을 함께 평가한다.

첫 번째 평가 영역은 노출 위험 분류와 침해사고 연관성 분석, 공급업체 위험 집중도 분석, 취약점 우선순위 지정 등 공급망 보안 업무 수행 능력이다. 두 번째는 AI 모델 자체의 공격 대응 능력이다. 프롬프트 인젝션과 탈옥 등 공격을 받거나 공급업체 정보를 입력했을 때 모델의 판단이 얼마나 영향을 받는지 측정한다.

시큐리티스코어카드는 실제 수집한 공급망 위험 데이터를 평가에 활용한다. 질문과 조건을 주기적으로 변경하고 정답 데이터를 공개하지 않아 모델이 평가 문제를 사전에 학습하는 것을 줄이도록 설계했다고 설명했다.

평가 결과에 따라 AI 모델에는 L0부터 L4까지 ‘자율성 준비 수준’이 부여된다. 모델 보안 평가에서는 공격에 대한 방어 수준을 A부터 F까지 등급으로 표시한다. 회사는 벤치마크 프레임워크를 오픈소스로 공개했다. AI 연구기관과 모델 개발사, 보안기업, 연구자는 모델과 에이전트를 평가한 뒤 결과를 공개 평가 플랫폼에 제출할 수 있다.

알렉산드르 얌폴스키 시큐리티스코어카드 공동창업자 겸 최고경영자(CEO)는 “AI 모델이 실제 업무를 수행할 수 있는지와 공격에 악용될 가능성을 함께 평가해야 한다”며 “두 요소를 확인하지 않고 AI를 도입하면 새로운 공격 표면이 될 수 있다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network