breakinglog
영국 정부가 AI를 활용한 사이버 보안 시범사업에서 정부 코드 취약점 1,352건을 찾아 대응했다고 10월 12일(현지시간) 발표했습니다. 18개 부처의 코드 저장소 548개가 대상이었습니다. 정부는 이런 점검을 다른 기관으로 확대하고, 자율형 AI 에이전트 사고에 대비한 대응 체계도 만들기로 했습니다.
이번 발표는 AI 모델의 성능 점수만 공개한 것이 아니라 실제 정부 시스템의 취약점 탐지와 대응에 AI를 적용한 성과를 공개했다는 데 의미가 있습니다. 다만 숫자는 영국 정부가 발표한 시범사업 실적이며, 모든 취약점의 심각도나 독립 검증 자료가 함께 공개된 것은 아닙니다.
1,352건은 어떤 실적인가요?
영국 정부가 10월 12일 의회에 제출한 공식 서면 성명에 따르면, 정부 사이버 조직은 프론티어 AI를 활용한 시범사업 2건에서 18개 부처, 코드 저장소 548개에 걸친 취약점 1,352건을 발견하고 대응했습니다. 진전된 사이버 위협 탐지에도 AI를 활용했다는 설명입니다.
정부는 이 사업을 긴급 확대해 주요 공공 서비스의 취약한 시스템을 우선 점검할 계획입니다. 기존에는 일부 시범사업 수준이었다면, 이번 발표부터는 부처 전반에 활용 범위를 넓히겠다는 것이 새 변화입니다. 정부 발표가 구체적으로 공개한 것은 발견 및 대응 건수와 참여 범위입니다. 취약점별 위험 등급, 모든 수정의 독립 재현 결과, AI가 단독으로 수정을 완료한 비율은 해당 성명에 제시되지 않았습니다.
취약점 수정 시간이 50일에서 8일로 줄었다는 뜻인가요?
AI 담당 장관 카니슈카 나라얀은 같은 날 공식 연설에서 중앙 취약점 모니터링 서비스의 보안 문제 해결 기간이 50일에서 8일로 단축됐다고 밝혔습니다. 다만 이 수치는 앞서 발표한 1,352건 시범사업과 별도로 소개된 모니터링 서비스의 성과입니다.
따라서 “AI가 1,352건을 자동으로 수정해 처리 시간이 50일에서 8일로 단축됐다”는 식으로 합쳐 해석해서는 안 됩니다. 영국 정부는 두 지표를 제시했지만 같은 실험의 전후 비교라고 밝히지는 않았습니다.
Gemini 4 Argon도 정부가 검증하고 있습니다
영국 AI안전연구소(AISI)는 최신 프론티어 모델의 위험과 보호장치를 시험하고 있으며, 의회 성명에서 구글 Gemini 4 Argon도 평가 대상이라고 명시했습니다. 개발사가 제시한 안전성 주장만으로 판단하지 않고 정부 연구자가 모델을 직접 평가하겠다는 취지입니다.
여기서 Argon이 10월 12일 처음 출시된 것은 아닙니다. 구글은 이미 9월 30일 공식 발표에서 보안 전문가 대상의 단계적 제공을 안내했습니다. 영국 발표의 새 사실은 모델 출시가 아니라 영국 AISI의 실제 평가 진행 확인입니다. 이번 발표만으로 모든 사용자가 Argon에 접근할 수 있게 된 것도 아닙니다.
AI 에이전트 사고 신고 의무가 생겼나요?
아직 아닙니다. 영국 정부는 진행 중인 사이버보안 및 복원력 법안(Cyber Security and Resilience Bill)을 통해 AI 관련 중대 사고, 사고 직전 상황(near miss), 자율형 AI의 통제 이탈 위험을 더 잘 파악할 방안을 검토하겠다고 밝혔습니다. 정부 보도자료에서도 관련 방안은 의회와 전문가, 운영기관과 논의할 사항으로 설명됩니다.
국가사이버보안센터(NCSC), 관련 부처, AISI가 협력해 자율형 AI 에이전트가 심각한 피해를 일으켰을 때 원인을 조사하고 영향을 줄이는 대응 방식을 준비한다는 계획도 포함됐습니다. 하지만 구체적인 신고 대상, 의무 부과 기준, 시행일이 확정됐다는 공지는 아닙니다.
개발자와 기업이 지금 확인할 내용
영국 공공부문에 시스템을 공급하거나 AI 에이전트를 운영하는 조직이라면, 이번 발표를 즉시 새 신고 의무가 생긴 것으로 받아들이기보다 법안 논의와 NCSC의 후속 지침을 확인하는 것이 정확합니다. 실무적으로는 에이전트가 어떤 권한으로 어떤 데이터에 접근했고 무엇을 변경했는지 추적할 수 있는 로그, 사고 발생 시 접근권한 차단과 재현 경로를 미리 마련해 두는 것이 도움이 됩니다.
개인 챗봇 이용자의 요금제나 사용량이 바뀐 발표도 아닙니다. 이번 발표의 직접적인 변화는 영국 정부의 AI 보안 점검 확대와 AI 에이전트 사고 대응 준비이며, 민간 기업에 대한 새로운 법적 의무는 추후 법안의 구체적인 내용과 시행 여부를 확인해야 합니다.
