AI 활용 환경의 보안 관리, 인증정보와 업무 기록까지

한국인터넷진흥원(KISA)은 외부에 노출된 서버 취약점을 악용하는 공격과 함께, API 키·액세스 토큰 등 인증정보 탈취와 AI 프롬프트 유출 위협에 주의가 필요하다고 설명했습니다. AI의 업무 수행 범위를 통제하고 분석 결과를 사람이 최종 검증하는 과정도 강조했습니다.

기업의 AI 활용과 서비스 연계가 늘어나면서 보안관리 대상도 넓어지고 있습니다. 서버와 소프트웨어의 취약점뿐 아니라, 시스템을 연결하는 인증정보와 AI에 축적되는 업무정보까지 함께 살펴볼 필요가 있습니다.

API 키와 액세스 토큰은 프로그램이나 AI 에이전트가 다른 서비스에 접근할 때 사용하는 인증정보입니다. 사람이 직접 로그인하지 않는 자동화 업무에서도 이러한 정보를 통해 데이터 조회와 작업 수행이 이루어집니다.

기업은 각 인증정보가 어떤 서비스에서 사용되고, 어느 범위까지 접근할 수 있는지 확인해야 합니다. 소스코드와 설정 파일에 인증정보가 노출돼 있지 않은지 살펴보고, 사용하지 않는 인증정보와 불필요한 권한을 정리하는 관리가 필요합니다.

AI에 입력하는 질문과 지시에는 내부 문서, 소스코드, 고객 관련 정보 등이 포함될 수 있습니다. 개별 입력 내용뿐 아니라 누적된 대화 기록에도 기업의 업무 흐름과 주요 정보가 담길 수 있습니다.

AI를 업무에 활용할 때는 입력 가능한 정보의 범위를 정하고, 대화 기록의 저장 여부와 접근 권한을 확인할 필요가 있습니다. 구성원이 같은 기준으로 활용할 수 있도록 업무정보의 입력·공유·보관 기준을 마련하는 과정이 중요합니다.

AI가 정보를 분석하는 단계를 넘어 외부 시스템에 접속하거나 실제 작업을 수행하면, 부여된 권한에 따라 업무에 미치는 영향도 커집니다. 분석 결과의 정확성과 함께 실행 가능한 작업의 범위도 검토해야 합니다.

기업은 AI가 수행할 수 있는 업무와 담당자의 확인이 필요한 작업을 구분해야 합니다. 서비스 설정 변경이나 중요 데이터 처리처럼 영향이 큰 작업에는 검토 절차를 두고, 분석 근거와 실행 결과를 확인할 수 있도록 관리할 필요가 있습니다. AI 활용이 확대될수록 인증정보와 업무 기록, 실행 권한을 함께 살펴보는 보안 운영이 중요해집니다.