네이버클라우드 “사이버 팬데믹, 보안 특화 AI가 살길”

“지금 이 순간에도 저희 망이 안전하다고 확신할 수 없어요. 외부 프론티어 AI에 계속 의존하기도 어렵고요. 보안을 잘 아는 자체 모델을 만들어야 네이버 그룹을 지킬 수 있겠다고 생각했습니다.”

김진휘 네이버클라우드 전무는 12일 서울 여의도 콘래드서울에서 열린 금융정보보호 컨퍼런스 ‘FISCON 2026’ 특별강연에서 최근의 보안 위협을 ‘사이버 팬데믹’에 비유하며 이렇게 말했다. AI를 활용한 공격이 빨라지면서 네이버도 기존 방어 방식만으로는 안전을 확신하기 어렵다는 설명이다. 네이버클라우드가 사이버보안 특화 인공지능(AI) 파운데이션 모델(보안 특파모) 개발에 나선 배경에도 이러한 위기감이 있다. 김 전무는 “보안 특파모를 만들기 위해 개발진과 몇 달 째 새벽까지 작업하고 있다”고 말했다.

공격자보다 먼저 찾고, 침투 후 확산 막는다

네이버클라우드는 정부 사업에 참여하기 전부터 내부 방어를 위한 자체 모델을 검토했다. 공격자보다 먼저 취약점을 찾고, 침투 이후의 확산을 막는 데 AI를 활용하면서 이를 지속적으로 운영할 모델이 필요해졌다는 것이다.

김 전무가 꼽은 가장 큰 변화는 공격 속도다. 취약점 정보를 접수한 뒤 영향을 검토하고 패치를 승인·적용하는 기존 절차로는 AI를 활용한 공격을 따라가기 어렵다는 것이다. 네이버클라우드는 취약점 공개 후 하루 이내에 패치하거나, 패치가 어렵다면 네트워크와 보안 장비 등 가능한 수단으로 탐지·차단하는 것을 목표로 삼고 있다.

이를 위한 전략은 공격과 방어로 나뉜다. 공격 측면에서는 해커가 악용하기 전에 취약점을 찾아내고, 방어 측면에서는 침투를 가정해 내부 확산을 차단한다. 개발 과정에서 보안 결함을 줄이는 작업도 병행한다.

먼저 외부에서 접근할 수 있는 시스템을 지속적으로 점검한다. 공격표면관리(ASM) 도구와 위협정보를 활용해 외부에 노출된 서버와 서비스를 찾는다. 특히 보안 조직의 관리 목록에 없는 ‘섀도우 자산’에 집중한다. 존재를 모르는 시스템은 취약점이 공개돼도 대응 대상에서 빠질 수 있기 때문이다.

서비스를 새로 만들거나 변경할 때는 AI로 취약점을 점검한다. 자체적으로 구성한 AI 실행 체계에 외부 상용 모델과 보안 전문 도구를 연결한다. 사내 코드 저장소에서도 AI가 주기적으로 코드를 분석해 아직 알려지지 않은 취약점을 찾도록 하고 있다.

방어 영역에서는 공개 취약점을 분석하고 탐지 규칙을 만드는 업무의 자동화를 추진한다. 공격자가 이미 내부에 들어왔다고 가정하고 중요 데이터와 시스템으로 이동하는 행위를 탐지하는 데도 AI를 활용한다. 단말의 이상 행위를 탐지하고 대응하는 엔드포인트 탐지·대응(EDR), 외부 전문가가 탐지와 대응을 맡는 관리형 탐지·대응(MDR) 등 기존 체계에 AI 분석을 결합하는 전략이다.

공격과 방어의 결과는 ‘퍼플 루프(Purple Loop)’ 방식으로 연결한다. 공격을 시험하는 쪽에서 취약점을 찾으면 방어 체계에 반영하고, 다시 이를 우회할 수 있는지 점검한다. 방어 체계가 기존 점검에서 놓친 공격을 발견하면 그 결과를 취약점 탐지 과정에 되돌려준다. 김 전무는 “퍼플루프 전략을 모두 완성한 것은 아니지만, 지금 진행 중에 있는 것도 있고 어느 정도 완성 단계에 있는 것도 있다”고 밝혔다.

소버린AI 확보가 핵심, 자체 모델에 GPU4000장 투입

네이버클라우드가 보안 특화 AI 모델을 개발하는 배경에는 해외 프론티어 AI에 대한 의존도를 낮추려는 목적도 있다. 소버린AI를 확보하려는 것이다. 김 전무는 실제로 미국의 수출 통제로 ‘클로드(Claude)’를 일시적으로 사용하지 못한 적이 있다고 밝혔다. 외부 모델에 맞춰 마련한 보안 전략도 모델을 쓰지 못하면 차질을 빚을 수 있다는 설명이다.

네이버클라우드는 자체 모델 개발에 필요한 자원도 투입하고 있다. 네이버클라우드 컨소시엄은 지난 9월 정부의 사이버보안 특화 AI 파운데이션 모델 개발 사업자로 선정됐다. 파운데이션 모델은 다양한 작업을 수행할 수 있도록 대규모 데이터로 기본 능력을 학습한 AI 모델이다. 회사는 당시 정부 제공 그래픽처리장치(GPU) 256장과 별도로 자체 보유한 B200 GPU 4000장을 선제 투입해 사전학습을 진행했다고 발표했다.

김 전무는 “GPU 4000장을 약 10개월간 개발에 투입하는 규모를 금액으로 환산하면 약 2000억원에 해당한다”고 분석했다. 정부 제공 자원만으로는 목표한 모델을 개발하기 어렵다고 판단해 경영진에 추가 자원 투입을 요청했다는 것이다.

보안 지식 넘어 실제 업무 수행 능력 검증

현재 개발 중인 보안 특화 모델은 ‘하이퍼클로바X-사이버(HyperCLOVA X-Cyber)’다. 김 전무는 기본 학습을 마친 모델에 보안 업무 수행 능력을 더하는 사후학습, 특히 강화학습 환경에 집중하고 있다고 밝혔다. 강화학습은 모델이 수행한 작업의 결과에 보상을 주며 더 나은 행동을 학습시키는 방식이다.

그는 벤치마크 점수와 함께 실제 현장에서의 작동 여부를 확인해야 한다고 강조했다. 모델이 취약점을 구분하고 공격 가능성을 검증할 수 있는지, 보안 도구와 연결했을 때 필요한 작업을 수행하는지가 중요하다는 설명이다. 공격과 방어는 수행할 과제가 다른 만큼 각각에 맞는 학습 환경도 필요하다고 덧붙였다.

금융·공공기관처럼 외부 연결이 제한된 환경에서 사용할 수 있도록 폐쇄망 구축과 서비스 연동 방식도 준비한다. 김 전무는 “금융보안원과 협업하고 있으며 컨소시엄에 참여한 보안기업의 제품과 모델을 연결하는 시험도 시작했다”고 밝혔다.

장기적으로는 공격과 방어 모델을 연동하는 AI 보안관제센터(SOC)를 구상하고 있다. 공격 시험에서 얻은 결과로 방어를 보완하고, 실제 방어 과정에서 확보한 정보를 다시 점검과 학습에 활용하는 구조다. 이를 통해 취약점 점검과 공격 탐지, 대응을 연결한다는 계획이다.

네이버클라우드는 클라우드와 AI 서비스를 제공하며 대규모 서비스 인프라를 운영하고 있다. 김 전무는 이러한 운영 경험에 금융·공공기관 등의 현장 데이터를 더해 실제 보안 업무에 쓸 수 있는 모델을 만들겠다고 밝혔다.

또한 그는 “현장 데이터를 가진 기관과 협업을 늘리겠다”고도 말했다. 네이버클라우드가 컴퓨팅 자원과 개발 인력을 투입하고, 참여 기관의 데이터를 바탕으로 모델을 개발해 현장에 제공한다는 구상이다. 개발한 모델은 보안 제품과 연결해 실제 업무에서 작동하는지 검증할 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network