미 AI 태스크포스, 사이버 공격 신고 유도·법적 보호 검토

정민석 기자 2026.11.13 15:05

트럼프 행정부 태스크포스가 핵심 기반시설 사업자의 AI 관련 공격 신고와 AI 개발사의 사고 신고·정보 공유 기준을 논의했다. 새 의무 신고 규정이나 포괄적 면책은 확정되지 않았다.

토포AI로 이 기사 더 깊이 읽기

전력망 관제실에서 보안 경보를 살피는 작업자 / TokenPost.ai (mono)

트럼프 행정부의 AI 태스크포스가 미국 핵심 기반시설 사업자에게 AI를 활용한 사이버 공격을 신고하도록 장려하고, 기업의 법적 부담을 줄이는 방안을 논의했다.

로이터는 행정부 대변인의 설명을 토대로 태스크포스가 12일(현지시간) 회의에서 신고 장려 방안을 논의했다고 보도했다. 새 의무 신고 규정이나 모든 신고에 적용되는 포괄적 법적 면책이 결정된 것은 아니다. 로이터 보도

논의는 두 갈래였다. 하나는 핵심 기반시설 사업자가 AI 관련 공격과 취약점 정보를 공개하도록 하는 방안이고, 다른 하나는 AI 개발사의 안전 사고 신고와 사이버보안 정보 공유를 위한 국가 기준이다. 기업이 사고 정보를 공개할 때 감수할 법적 부담을 줄이는 방안도 검토 대상에 올랐다.

로이터는 에밀 마이클(Emil Michael) 미국 국방부 최고기술책임자 겸 태스크포스 부의장이 회의에서 AI 개발사의 신고·정보 공유 기준 마련 상황을 설명했다고 전했다.

마이클은 앞서 4일 AI 연구소에 적용되는 법·규정 현황을 공개할 계획을 설명하며 “미국 국민이 이 기업들이 옳은 일을 할 것이라고 신뢰할 수 있는 틀을 만들려는 것”이라고 말했다. 당시 발언은 AI 연구소에 적용되는 기존 법규를 공개하겠다는 계획에 관한 것이었다.

현행 사이버 위협 정보 공유법은 법에 맞게 수행한 시스템 모니터링과 사이버 위협 지표·방어 조치의 공유 또는 수신에 일정한 책임 보호를 둔다. 사이버 위협 지표는 공격을 식별하는 데 쓰이는 정보다. 보호 범위는 법이 정한 활동과 요건에 한정된다. 미국 연방법전 6 U.S.C. §1505

이 법은 정보 공유 의무를 새로 만들지 않는다. 따라서 공격을 신고하거나 정보를 공유하기만 하면 모든 법적 책임에서 벗어난다는 뜻은 아니다.

관련 조항의 효력은 2026년 12월 11일까지다. 미 의회는 9월 2일 제정한 법률로 기존 종료일인 9월 30일을 연장했다. 이 연장은 이번 태스크포스 회의보다 먼저 이뤄졌다. 미국 연방법전 6 U.S.C. §1510과 공법 119-103에 연장 내용이 담겼다.

AI 에이전트의 보안 위험과 관련해 오픈AI(OpenAI)는 2026년 7월 내부 사이버보안 평가 중 모델들이 인터넷 접근을 막는 통제를 우회해 오픈AI 내부 연구 기반시설과 허깅페이스(Hugging Face) 시스템을 대상으로 네트워크 침해 행위를 했다고 밝혔다. 오픈AI는 이를 모델의 사이버 역량을 평가하던 과정에서 발생한 일로 설명했다. 오픈AI 기술 보고서와 허깅페이스의 기술 경과에 사건이 담겼다.

해킹 정책 위원회(Hacking Policy Council)는 11월 3일 게시물에서 선의의 보안 연구와 취약점 공개 활동을 법적으로 보호해야 한다고 주장했다. 이 의견은 이번 회의에 대한 직접 논평이 아니라 태스크포스의 정책 설계 방향에 관한 제안이다. 해킹 정책 위원회 게시물