AI 도입 가속에 보안 구멍 '속수무책'…섀도 AI로 평균 66억 원 피해

AI 도입이 급증하면서 보안 관리의 허점이 기업들에게 큰 위협으로 부상하고 있다. IBM이 2025년 공개한 ‘데이터 유출 비용 보고서’에 따르면, 직원이 승인 없이 사용하는 ‘섀도 AI(Shadow AI)’로 인해 발생한 보안 사고는 평균적으로 463만 달러(약 66억 7,000만 원)의 피해 비용을 유발하고 있다. 이는 전체 평균인 444만 달러(약 64억 원)보다 16%가량 높은 수치다.

IBM과 포노몬연구소(Ponemon Institute)가 공동 조사한 이번 보고서는 600개 해킹 피해 기업을 대상으로 3,470건의 심층 인터뷰를 통해 작성됐다. 전체 응답 기업의 13%만이 AI 관련 보안 사고를 경험했다고 보고했지만, 피해를 입은 기업의 거의 대부분인 97%는 기본적인 AI 접근 통제를 갖추지 못한 상태인 것으로 드러났다. 게다가 8%는 자사 인프라가 AI로 인해 침해됐는지조차 확신하지 못하고 있어, AI의 무분별한 활용이 보안 사각지대가 되고 있는 실정이다.

IBM 보안 제품 부문 부사장 수자 비스웨산(Suja Viswesan)은 “AI 활용과 통제 사이의 간극을 사이버 범죄자가 빠르게 파고들고 있다”며 “AI 시스템에 대한 접근 제어 부족은 민감한 데이터의 노출과 함께 AI 모델 자체의 변조 가능성도 키우고 있다”고 경고했다.

보고서에 따르면 AI 관련 보안 사고의 60%는 데이터 유출로 이어졌으며, 31%는 인프라 운영 중단이라는 결과로 나타났다. 특히 고객 개인 식별 정보(PII)가 유출된 비율은 65%로, 전체 보안 사고의 평균 수치인 53%보다 훨씬 높았다. 이는 단순한 기술 문제를 넘어 ‘거버넌스’ 부재가 악화시킨 결과라고 전문가들은 강조한다. 보고서에 응답한 기업의 63%는 현재 AI 거버넌스 체계를 갖추지 못했거나 아직 구축 중 상태라고 밝혔다.

프롬프트 시큐리티의 CEO 이타마르 골란(Itamar Golan)은 “섀도 AI는 투르 드 프랑스의 불법 약물 복용과도 같다”며 “당장의 성과를 위해 통제를 무시한다면 장기적으로 더 큰 대가를 치르게 될 것”이라고 지적했다. 그의 기업은 이제까지 1만 2,000개 이상의 섀도 AI 앱을 추적했고, 하루 평균 50개 이상의 신규 AI 도구가 무단으로 네트워크에 연결된다고 밝혔다.

딥페이크, AI 피싱 등으로 대표되는 ‘무기화된 AI’ 역시 빠르게 확산 중이다. 이번 조사의 해킹 사례 중 16%는 AI 기술이 공격에 활용된 경우였으며, 이 중 37%는 AI 생성 피싱, 35%는 딥페이크 위협으로 분류됐다. '프로드GPT(FraudGPT)', '고스트GPT(GhostGPT)', '다크GPT(DarkGPT)' 등 범죄 전용으로 설계된 AI 툴은 월 75달러(약 10만 8,000원) 수준으로 구입 가능하며, 이는 피싱, 보안 취약점 자동 탐지, 신용카드 정보 검증 등의 기능을 수행할 수 있어 보안 당국의 새로운 골칫거리로 떠오르고 있다.

특히 AI 모델이 정교하게 학습된 경우, 악성 출력을 생성할 가능성은 기본 모델 대비 22배 이상 높다고 시스코(Cisco)는 작년 AI 보안 리포트를 통해 밝혔다. 이에 대해 카토 네트웍스(Cato Networks)의 보안 전략 책임자 에타이 마오르(Etay Maor)는 “AI 공격은 더 이상 단발 이벤트가 아니다. 지속적인 정찰, 회피, 적응을 반복하는 복합적인 공격”이라며 “보안팀이 이를 따라잡는 것이 갈수록 어려워지고 있다”고 지적했다.

문제는 대부분의 기업이 AI 관련 보안 정책을 갖고 있지 않거나, 갖고 있더라도 실제 운용에서 형식에 그친다는 점이다. AI 거버넌스 정책이 있다고 답한 기업 중에서도 단 34%만이 섀도 AI에 대해 정기적으로 감사를 시행하고 있으며, 22%만이 AI 모델에 대해 적대적 테스트를 수행하는 것으로 나타났다. 반면, 데브섹옵스(DevSecOps) 기법을 도입한 기업은 평균 22만 7,000달러(약 3억 2,700만 원)의 비용 절감 효과를 얻었다.

무기화된 AI의 확산에도 불구하고, AI를 보안에 적극 도입한 기업들은 오히려 막대한 비용 절감 효과를 톡톡히 누리고 있다. 이번 보고서에 따르면 AI 및 자동화를 전략적으로 활용하는 기업은 평균적으로 건당 190만 달러(약 27억 4,000만 원)를 절감하고, 사고 탐지 및 해결 시간도 평균보다 80일 더 빠르다. AI 보안 기술이 전면적으로 도입된 기업은 유출 한 건당 비용이 362만 달러(약 52억 원)에 그쳤지만, 이를 사용하지 않는 조직은 552만 달러(약 79억 4,000만 원)를 지출하며 두 집단 간 차이는 무려 52%에 달했다.

그럼에도 불구하고, AI 보안 도입은 여전히 초기 단계다. 전체 응답 기업 중 AI 보안을 광범위하게 도입한 곳은 단 32%에 불과하며, 28%는 아예 AI를 활용하지 않고 있었다. AI 보안 기술은 탐지(29%), 예방(30%), 조사(26%), 대응(27%)에 골고루 쓰이고 있지만, 여전히 전체 보안 예산 내 비중은 낮은 수준이다.

미국 기업들의 피해는 특히 심각하다. 글로벌 평균 유출 비용이 5년 만에 처음으로 하락한 반면, 미국 내 유출 사고 비용은 사상 최고치인 1,022만 달러(약 147억 원)로 치솟았다. 특히 헬스케어 업계의 피해가 가장 컸는데, 건당 평균 비용은 742만 달러(약 107억 원)에 달했고, 복구에만 평균 279일이 소요됐다.

더욱 큰 문제는 보안 예산의 하락이다. 침해 사고 이후 보안 투자 계획을 확대하겠다고 밝힌 미국 기업 비율은 1년 만에 63%에서 49%로 감소했다. 보안 사고 이후 빠르게 복구한 기업은 2%에 불과했으며, 대다수는 절반 이상이 복구에 150일 이상을 소요한 것으로 나타났다.

IBM은 조직이 지금 즉시 실행해야 할 세 가지 핵심 조치를 제시했다. 첫째, AI 배포에 대한 승인 프로세스를 포함한 거버넌스 프레임워크 구축. 둘째, 섀도 AI를 탐지할 수 있는 정기 감사 시스템 마련. 셋째, AI 기반 보안 솔루션의 적극 도입이다. 특히 보안, 규정, 재무 책임자 간 협업 강화를 통해 조직 전반의 리스크 관리를 지능화해야 한다고 강조했다.

결국 AI 시대의 보안은 단순한 기술 도입을 넘어 통합적 리더십과 강력한 거버넌스 체계가 핵심이다. 공격자의 무기는 날로 정교해지고 있지만, 이를 뛰어넘을 전략은 체계적인 통제와 빠른 대응 역량에서 답을 찾아야 한다. 기업이 AI의 혜택을 누리려면, 동시에 그것의 위험을 얼마나 민첩하게 통제할 수 있는지가 전장을 가를 결정적 요인이 될 것이다.