이 기사는 9월 10일 오후 3시55분 '해외 주식 투자의 도우미' GAM(Global Asset Management)에 출고된 프리미엄 기사입니다. GAM에서 회원 가입을 하면 9000여 해외 종목의 프리미엄 기사를 보실 수 있습니다.

[서울=뉴스핌] 이홍규 기자 = 지난주 오픈AI의 신형 모델 'GPT-6 아스트라' 출시 이후 월가에서는 사이버보안 지출 확대 기대감이 재차 부각되고 있다. 오픈AI가 아스트라를 자체 보안위험 등급 체계에서 최상위인 '치명적' 등급으로 분류하면서 앤스로픽에 이어 오픈AI까지 선두 두 업체 모두 최고 성능 모델의 자율 공격 능력을 공식 확인한 상태가 됐다. 스스로 공격까지 실행하는 능력이 AI 모델의 표준 성능이 된 이상 방어 지출도 공격 능력에 맞춰 늘어날 수밖에 없다는 논리다.

지출 확대의 수혜는 사내 AI를 식별하고 통제하는 업체에 모인다는 것이 월가의 판단이다. 공격 AI의 침투 경로가 시스템 결함에서 업무용 에이전트로 넓어질 가능성이 커져서다. 에이전트는 정식 계정과 권한을 부여받은 상태여서 조종당하거나 스스로 범위를 벗어나도 기존 보안 장비는 무단 접근으로 감지하지 못한다. 에이전트마다 계정을 부여해 행동을 기록하고 범위를 벗어나면 차단하는 기능이 새 지출의 행선지로 지목되고 있다.

◆공격 표적 된 사내 AI

오픈AI는 아스트라의 공격 능력을 이유로 지난달 자체 연구 작업 일부를 중단하고 보안 통제를 강화했다. 자사 모델 가운데 처음으로 보안위험 등급상 '치명적' 판정 가능성을 배제할 수 없다고 판단한 결과다. 오픈AI의 자체 위험 관리 체계인 대비 프레임워크의 최상위 등급에 해당하는 것으로 인간 개입 없이 제로데이(공개되지 않아 방어책이 없는 취약점)를 찾아내고 공격 전략까지 스스로 세우는 수준을 뜻한다.

오픈AI는 아스트라의 공격 능력을 보안 측이 먼저 쓰도록했다. 방어 측이 미리 앞서 대비하도록 하려는 조치다. 일반 이용자용 버전은 고급 공격 요청을 거부하도록 훈련됐고 제한 없는 버전은 '데이브레이크(오픈AI가 8월 출범시킨 협력 프로그램)' 참여사에 우선 제공된다. 팔로알토네트웍스(PANW)·크라우드스트라이크(CRWD)·시스코(CSCO)·클라우드플레어(NET)·포티넷(FTNT)이 참여사에 들었다.

현재 사이버보안 위험의 정의는 내부 에이전트까지로 넓어진 상태다. 7월 오픈AI의 에이전트 1200여개가 시험 환경을 벗어나 AI 플랫폼 허깅페이스에 침입한 사건이 근거다. 업계가 주목한 지점은 목표만 주어지면 취약점 발굴과 계정 탈취와 비밀 통신까지 스스로 수행한다는 사실이다. 같은 에이전트가 기업 안에 정식 권한을 갖고 배치된 상태에서 외부 공격자가 목표를 바꾸면 회사 시스템을 공격하는 주체가 회사 소속 에이전트가 된다.

◆책임 공백이 도입 제약

내부 에이전트가 조종당할 수 있다는 우려는 기업의 AI 에이전트 도입 결정을 시험 단계에 묶어두고 있다. 관련 우려에서 대표적으로 거론되는 것이 공격자가 문서나 웹페이지에 지시문을 심어 에이전트의 목표를 바꾸는 입력 조작 수법이다다. 올해 앞선 맥킨지의 보안 구매자 설문에서 응답자의 75% 넘는 비중이 입력 조작 방어 기능을 찾고 있다고 답했고 응답 기업의 3분의 2는 에이전트 확대의 최대 장애물로 보안과 위험 우려를 꼽았다. 방어 수단이 갖춰지기 전에는 AI에 접근 권한을 넓힐 수 없다는 판단이 설문 결과에 담긴 셈이다.

기존 보안 제품이 우려를 해소하지 못하는 이유는 설계 전제에 있다. 방화벽과 단말 보안, 계정 관리 체계는 인간 사용자가 고정된 권한으로 접속한다는 전제로 만들어져 접속 시점의 권한 확인에 집중한다. 직원 계정으로 접속한 에이전트는 정상 사용자로 통과되고 조종당해 자료를 삭제해도 권한 있는 직원의 정상 조작으로 기록된다. 맥킨지는 접속 이후의 행동을 통제하는 제품이 아직 정교하지 않다고 평가했고 응답자의 30%는 기존 업체의 대응 능력을 신뢰하지 않았다.

조종당한 에이전트를 사후에 가려낼 수 없다는 점도 도입을 늦춘다. 보안 업체 스트라타의 조사에서 에이전트 상당수는 별도 계정 없이 직원의 계정과 접근 권한을 빌려 쓰고 있었다. 직원과 에이전트의 조작이 같은 계정으로 기록되면 어느 조작이 에이전트의 것인지 구분되지 않고 조종 흔적도 남지 않는다. 에이전트의 행동을 담당 직원에게까지 추적할 수 있는 조직은 28%에 그쳤다. 가트너는 6월 에이전트를 실제 배치한 기업이 17%라고 집계했다. 추적이 안 되는 상태에서 배치를 늘리기 어렵다는 것이 기업들의 입장이다.

외부 조종 없이 에이전트가 스스로 범위를 벗어난 경우는 책임 배분 기준 자체가 없다. 조작이 회사가 부여한 정식 권한 안에서 실행돼 공격자도 직원의 과실도 없어서다. 로이터통신에 따르면 MSIG·QBE·비즐리 등 사이버 보험사는 에이전트가 정식 권한 안에서 일으킨 손실을 기존 약관으로 보상할 수 있는지 재검토에 들어갔다. 기존 약관은 외부 침입이나 직원의 무단 접근 같은 특정 사건을 전제로 만들어져 있다.

책임을 가리는 기록 체계는 모델 개발사가 아니라 보안 업체의 몫으로 남는다. 오픈AI는 아스트라의 행동을 감시한다고 밝혔지만 감시 기록은 오픈AI 서버에 보관된다. 그레이하운드리서치의 산치트 비르 고기아 수석 애널리스트는 오픈AI의 감시 능력이 도입 기업의 감사 능력으로 이어지지 않는다고 지적했다. 사고 발생 시 에이전트가 어떤 권한으로 무엇을 했는지 기업이 스스로 입증하려면 모델 제공사와 별개의 기록 체계가 필요하다는 뜻이다.

◆예산은 'AI 식별'로

기업의 보안 지출은 사고 원인을 스스로 입증할 수단을 갖추는 방향으로 옮겨가고 있다. 맥킨지는 3월 보고서에서 기업 사이버보안 예산 가운데 AI 관련 지출 비중이 3년 안에 4%에서 15%로 늘고 증가분이 에이전트 계정 관리와 행동 통제에 집중된다고 전망했다. 담당 직원의 로그인 정보로 에이전트를 회사 시스템에 접속해 온 상당수 기업의 방식을 대체하고 접속 이후의 조작까지 기록하는 제품이 새 지출의 대상이다.

계정 관리 업체 옥타(OKTA)가 예산 이동 대응의 선두에 있다. 옥타는 올해 4월 에이전트 전용 계정 제품을 정식 출시했다. 옥타의 토드 매키넌 최고경영자(CEO)는 "지금은 네트워크가 가장 큰 보안 분야지만 수백만개의 에이전트가 움직이는 5~10년 뒤에는 계정 관리가 될 것"이라고 말했다. 회사 시스템에 접속하는 주체를 직원과 서버 두 종류로만 관리해 온 체계에 에이전트를 세 번째 주체로 추가한 제품이다.

옥타의 제품은 에이전트마다 고유 계정을 부여한다. 직원 계정으로 실행된 조작은 직원의 것으로 남지만 고유 계정으로 실행된 조작은 에이전트 이름으로 남아 사후에 구분된다. 권한은 작업 단위로 필요한 범위만 주고 작업이 끝나면 회수하는 방식이어서 조종당한 에이전트가 손댈 수 있는 자료도 진행 중인 작업 범위로 제한된다. 담당 직원의 권한 전체를 넘겨받던 상황과 비교해 피해 범위가 줄어들 수 있다.

접속 이후 행동을 막는 기능은 초기 단계다. 에이전트가 허용 범위 밖의 자료에 접근하거나 평소와 다른 순서로 도구를 호출하면 조작을 막고 에이전트를 정지시키는 기능으로 옥타는 7월에야 관련 제품을 발표했다. 계정 부여가 사후 구분의 근거를 남기는 기능이라면 행동 통제는 피해가 발생하기 전에 개입하는 기능이다. 맥킨지가 정교함 부족을 지적한 영역에 해당한다.

옥타의 지난달 27일 주가 29% 급등은 예산 이동이 실적 전망에 반영된 사례로 거론된다. 옥타는 연간 매출액 전망을 32억2000만~32억3000만달러로 상향하고 향후 잔여계약의무(RPO)가 17%(직전 분기 16%)늘어난 48억6000만달러라고 했다. 당기 청구액인 빌링은 5% 줄었으나 투자자들은 RPO 증가세에 주목했다. RPO는 계약은 맺었지만 아직 청구하지 않은 금액이어서 빌링 감소와 RPO 증가가 함께 나타나면 결제를 나중에 하는 장기 계약이 늘었다는 뜻으로 읽힌다.

기존 대형 업체는 에이전트 감독 기능을 인수로 확보하고 있다. 자체 개발보다 인수를 택하는 흐름은 관련 역량이 급히 채워야 할 공백이라는 판단을 보여준다. 팔로알토네트웍스(PANW)는 지난 1일 실적 발표와 함께 에이전트 운영을 감독하는 플랫폼 콘솔 인수를 발표했다. 옥타도 자체 에이전트 계정 제품과 별도로 계정 도용 징후를 탐지하는 업체 페르미소를 같은 분기 인수했다. 크라우드스트라이크(CRWD)는 1일 엔비디아(NVDA)와 함께 공격 경로를 찾는 모델과 막는 모델을 맞붙여 학습시키는 방어용 AI 모델 세이프마인드를 내놨다.

◆월가의 성장 기대주는

수요 논리와 별개로 주가는 이미 반영된 기대의 크기를 시험받고 있다. 지출 이동의 수혜가 주가에 얼마나 남았는지는 종목별 실적 확인에 달렸다는 평가가 따른다. AI 에이전트 위협에 따른 보안 수요 증가 기대는 지난달 실적 발표와 보안 콘퍼런스를 거치며 주가에 반영돼 왔고 아스트라 출시 뒤 반응은 되레 미미했다. 배런스에 따르면 팔로알토와 크라우드스트라이크 주가는 4일 기준 연초 이후 각각 80%와 83% 올라 같은 기간 하락한 소프트웨어 업종 전반과 반대 방향으로 움직였다.

주가 부담은 실적이 서프라이즈를 일으킨 종목에서도 나타났다. 팔로알토는 이달 1일 2027회계연도(올해 8월~내년 7월) 연간 매출액 전망치를 141억~142억달러로 제시해 애널리스트 예상치 138억달러대를 넘겼으나 이틀에 걸쳐 11% 하락했다. 바클레이스의 사켓 칼리아 애널리스트는 결산 발표 당일 팔로알토 주가에 대해 "잉여현금흐름의 45~50배로 수년 만에 최고"라며 "멀티플(배수) 자체는 더 오를 여지가 많지 않다"고 했다.

주가는 에이전트 수요가 계약 지표에 반영되는지에 따라 갈리기 시작했다. 접근을 매번 검증하는 제로트러스트 방식의 네트워크 보안을 제공하는 Z스케일러(ZS)는 이달 3일 분기 매출액과 이익 모두 애널리스트 컨센서스를 웃돈 것으로 보고됐으나 이튿날 4% 넘게 하락했다. 신규 계약으로 늘어난 반복 매출에서 해지로 줄어든 몫을 뺀 순증 규모를 뜻하는 순신규 연간반복매출(ARR) 전망이 투자자 기대에 미치지 못해 수요가 계약으로 바뀌는 속도가 의심받은 결과다. 옥타의 급등이 계약 잔고 증가에서 나온 것과 반대 사례다.

월가는 주가 부담과 별개로 팔로알토와 옥타의 성장 여지를 크게 본다. 제프리스의 브렌트 틸 애널리스트는 3일 보고서에서 소프트웨어 업종 가운데 두 종목을 AI 수혜주로 꼽았다. 그는 "소프트웨어가 죽은 것이 아니라 약한 소프트웨어가 죽는다"며 "AI 모델 개발업체는 전체 스택(모델부터 최종 제품까지 이어지는 기술 계층 전체)을 직접 갖추기보다 기존 선두 업체와 협력할 가능성이 크다"고 했다. 보안 업체의 위협 데이터와 고객사 설치 기반은 모델 개발사가 단기간에 대체하기 어렵다는 뜻이다.

월가가 꼽은 종목 가운데 팔로알토는 오픈AI가 아스트라의 제한 없는 버전을 우선 제공하는 업체이기도 하다. 오픈AI는 공격 기능이 제한되지 않은 아스트라를 일반 판매하지 않고 데이브레이크 참여사인 팔로알토와 크라우드스트라이크 등에 먼저 제공해 방어 제품 개발에 쓰도록 했다. 팔로알토는 기업 보안 예산 증가의 수혜 후보인 동시에 방어 제품 개발에서도 경쟁사보다 유리한 조건을 확보한 상태다.

 
bernard0202@newspim.com