88% 문제 이해하기: 범위가 지정되지 않은 권한이 무분별한 AI 사고를 부추기는 이유

By Mirko Peters · 2026-08-28

팟캐스트에 다시 오신 것을 환영합니다! 최근 엔터프라이즈 보안에 관한 저희 대화를 지켜보셨다면, 인공지능의 빠른 도입이…

Automatically translated with AI from the original post. Read the English original

팟캐스트에 다시 오신 것을 환영합니다! 최근 엔터프라이즈 보안에 관한 저희 대화를 지켜보셨다면, 현대 업무 환경에 인공지능이 빠르게 도입되면서 일하는 방식이 완전히 바뀌고 있다는 것을 아실 겁니다. 하지만 큰 힘에는 그만큼 전례 없는 위험이 따릅니다. 이번 블로그 글에서는 모든 CISO(최고정보보안책임자)의 잠을 설치게 할 만한 충격적인 통계를 깊이 있게 살펴보겠습니다. 바로 조직의 88%가 범위가 지정되지 않은 AI 권한과 직접 연결된 보안 사고를 겪고 있다는 사실입니다. 자율형 에이전트가 잘못 구성된 환경을 어떻게 악용하는지 살펴보고, AI 위험의 네 가지 핵심 범주를 분석한 다음, 통제력을 완전히 되찾기 위한 실행 가능한 전략을 알아보겠습니다.

이 주제와 디지털 워크스페이스 보안에 대한 더 자세한 오디오 논의를 원하시면, 전용 에피소드 Control Rogue AI Data Risks with Microsoft Purview를 꼭 들어 보시기 바랍니다.

88% 문제와 범위가 지정되지 않은 권한 소개

인공지능이 미래형 신기술에서 일상적인 엔터프라이즈 업무의 핵심 운영 체제로 바뀌면서, IT 리더들은 점점 커지는 위기에 직면해 있습니다. 자율형 에이전트, Copilot, 타사 AI 통합 기능이 배포되는 속도가 너무 빨라서 기존의 거버넌스 프레임워크가 이를 따라가지 못하는 경우가 많습니다. 기반 데이터 인프라를 감사하지 않은 채 서둘러 AI를 도입하면, 권한이 그대로 활짝 열려 있는 상태로 방치되는 경우가 흔합니다.

범위가 지정되지 않은 권한이란 AI 에이전트나 일반 사용자가 일상 업무를 수행하는 데 실제로 필요한 것보다 훨씬 많은 기업 데이터에 접근할 수 있는 상태를 말합니다. 기존 환경에서는 직원이 편의상 레거시 SharePoint 폴더에 광범위한 읽기 권한을 가지고 있었을 수 있습니다. 오늘날에는 같은 환경에 자율형 AI 에이전트를 투입하면, 그 에이전트는 사람의 판단력을 갖추고 있지 않습니다. 접근할 수 있는 기밀 파일은 무엇이든 수집하고 처리하며, 잠재적으로 노출하거나 외부로 유출할 수 있습니다. 바로 이런 이유로 88%의 조직이 범위가 지정되지 않은 권한에서 직접 비롯된 보안 사고를 보고하고 있습니다. 이 문제를 해결하려면 클라우드 아키텍처와 데이터 보안 태세 관리(DSPM)에 접근하는 방식을 근본적으로 바꿔야 합니다.

AI 기반 데이터 위험과 무분별한 AI 위협 이해하기

조직을 보호하려면 먼저 AI 기반 데이터 위험의 구조를 이해해야 합니다. 무분별한 AI 위협은 더 이상 공상 과학이 아니라, Microsoft 365, SharePoint, OneDrive, Microsoft Teams 같은 최신 협업 플랫폼을 노리는 실제 위협 벡터입니다.

무분별한 AI 위협

무분별한 AI란 기존 보안 통제를 우회하거나, 예측할 수 없이 행동하거나, 외부의 악의적인 공격자에 의해 조작되는 모델, 자율형 에이전트 또는 스크립트를 말합니다. 이러한 위협은 주로 다음 세 가지 벡터를 통해 나타납니다.

• 무단 접근: 기밀 파일이 통제되지 않은 채 노출되는 사례가 만연합니다. 협업 도구의 잘못된 권한 구성으로 인해 의도하지 않은 사용자와 자동화된 에이전트가 민감한 지식 재산, 재무 데이터, 인사 기록에 접근할 수 있게 됩니다.
• 데이터 유출: 기존 경계 방어로는 모니터링하기 어려운 프롬프트와 입력을 통해 민감한 데이터가 유출됩니다. 직원들이 승인되지 않은 공개 AI 도구에 독점 소스 코드나 고객 데이터를 입력할 수 있으며, 이는 섀도 AI와 에이전트 난립을 키웁니다.
• 규정 준수 문제: AI 상호 작용에 대한 가시성을 잃으면 즉각적인 규제 위반이 발생합니다. 과도한 공유와 프롬프트 인젝션 취약점은 의도치 않게 개인 식별 정보(PII)를 노출할 수 있으며, 이는 GDPR, HIPAA 및 기타 글로벌 표준에서 대규모 규정 준수 실패로 이어질 수 있습니다.

AI 위험의 네 가지 범주

이러한 취약점을 체계적으로 분류하기 위해 보안 전문가들은 일반적으로 AI 위험을 네 가지 범주로 나눕니다.

• 오용: Microsoft 365 Copilot과 같은 정당한 AI 도구가 의도적으로 또는 실수로 활용되어, 승인되지 않은 비즈니스 경로를 통해 기밀 파일에 접근하고 배포하는 경우입니다.
• 잘못된 적용: 작업을 수행하도록 설계되거나 검증되지 않은 AI 모델을 배포하는 경우로, 그 결과 거의 예외 없이 치명적인 데이터 유출이나 심각한 분석 오류로 이어집니다.
• 잘못된 표현: AI가 거짓이거나 편향되었거나 완전히 환각된 정보를 생성하고, 이를 의심하지 않는 직원들이 사실로 받아들이는 경우입니다.
• 잘못된 사고: 디지털 테넌트 전반에서 신뢰받는 서비스를 가장한 침해된 자율 에이전트가 일으키는 순수한 운영상 사고나 연쇄적인 시스템 장애입니다.

Microsoft Purview가 AI 환경을 보호하는 방법

점점 커지는 이러한 위협에 대응하려면 조직에는 보안, 컴플라이언스, 데이터 보호를 아우르는 통합된 접근 방식이 필요합니다. 바로 여기서 Microsoft Purview가 엔터프라이즈급 데이터 거버넌스 관제 센터 역할을 합니다.

통합 데이터 거버넌스

데이터 확산을 관리하려면 자산 검색, 분류, 수명 주기 관리를 하나로 묶은 통합 플랫폼이 필요합니다. Microsoft Purview는 하이브리드 및 멀티 클라우드 환경 전반에서 민감한 정보를 자동으로 찾아내는 통합 거버넌스 플랫폼을 제공합니다. DLP(Data Loss Prevention), Insider Risk Management, 자동 카탈로그화를 단일 화면으로 결합하여 조직은 사후 대응 중심의 보안 태세에서 사전 예방 중심의 위협 차단으로 전환할 수 있습니다.

민감한 정보 보호

생성형 AI 모델은 인사이트를 생성하기 위해 방대한 양의 데이터를 소비하므로, 핵심 디지털 자산을 보호하는 것이 무엇보다 중요합니다. Purview는 고급 분류 엔진과 데이터와 함께 이동하는 민감도 레이블을 활용합니다. 문서가 변환되거나, 이메일로 전송되거나, AI 모델에 입력되더라도 포함된 민감도 레이블은 계속 유효합니다. 이를 통해 AI가 생성한 모든 후속 결과물이 가장 엄격한 보안 정책을 자동으로 상속하며, 우발적인 데이터 유출에 노출되는 기간을 크게 줄일 수 있습니다.

컴플라이언스 적용

AI로 혁신하고 있다는 이유로 규제 준수가 뒷전으로 밀려서는 안 됩니다. Purview는 기본 제공 컴플라이언스 평가, 자동화된 감사 추적, 지속적인 위험 모니터링을 기본으로 갖추고 있습니다. 사용자 지정 모델 미세 조정 파이프라인에 정제되고 규정을 준수하는 데이터 세트만 투입되고 있음을 입증해야 하거나, 지역별 데이터 상주 법규가 엄격히 준수되고 있음을 확인해야 하는 경우에도 Purview가 필요한 컴플라이언스 인프라를 제공합니다.

무단 AI 접근 방지 및 권한 관리

통제되지 않은 AI 사고를 막으려면 접근 제어를 강화하고, 사용자와 에이전트가 데이터와 상호 작용하는 방식을 실시간으로 파악하는 것부터 시작해야 합니다.

접근 제어와 최소 권한 아키텍처

기업 보안의 황금률은 최소 권한이며, AI 시대에는 그 중요성이 두 배로 커집니다. 민감한 협업 공간에 대한 접근을 허용하기 전에 사용자 위험, 디바이스 규정 준수 여부, 위치를 동적으로 평가하는 적응형 조건부 액세스 정책을 구현해야 합니다. 다단계 인증은 기본 요건이지만, 이를 Microsoft Purview의 민감도 레이블과 함께 사용하면 사용자 계정이 권한을 가지고 있다는 이유만으로 AI 도구가 과도한 권한을 상속받는 일을 막을 수 있습니다.

AI 활동 및 내부자 위험 모니터링

가시성은 섀도 AI와 통제되지 않은 에이전트 동작에 맞서는 가장 좋은 방어 수단입니다. Microsoft Purview Communication Compliance와 같은 도구를 활용하면 보안 팀이 고위험 콘텐츠를 포착하고, AI 프롬프트 동작을 모니터링하며, 본격적인 침해로 이어지기 전에 비정상적인 데이터 접근 패턴을 발견할 수 있습니다. Insider Risk Management는 머신 러닝을 활용해 생성형 AI 사용과 관련된 비정상적인 내부 데이터 유출 시도를 탐지함으로써 이러한 기능을 한층 정교하게 만듭니다.

AI 워크플로의 컴플라이언스 및 거버넌스 보장

복잡하고 빠르게 변화하는 현대의 규제 체계를 헤쳐 나가려면 지속적인 감독이 필요합니다. 유럽연합 AI 법(EU AI Act), GDPR, 그리고 산업별 개인정보 보호법은 기업이 자동화된 시스템이 개인 정보와 독점 데이터를 처리하는 방식에 대한 감사 가능한 기록을 유지하도록 요구합니다.

Microsoft Purview의 감사 및 eDiscovery 도구 세트를 사용하면 컴플라이언스 담당자가 Exchange, SharePoint, OneDrive, Teams 전반을 검색하여 AI 기반 결정이나 데이터 상호 작용의 정확한 출처를 재구성할 수 있습니다. 변경할 수 없는 감사 로그를 유지하고, 콘텐츠 가드레일을 배포하고, 정기적인 개인정보 영향 평가를 실시함으로써 조직은 규제 준수 상태를 해치지 않으면서 빠른 혁신을 추진할 수 있습니다.

AI 데이터 보안 및 지속적 모니터링을 위한 모범 사례

범위가 지정되지 않은 권한과 통제되지 않은 AI로부터 조직을 보호하는 일은 한 번으로 끝나는 프로젝트가 아니라 지속적으로 이어가야 하는 운영 과제입니다. 견고한 보안 태세를 유지하려면 검증된 다음 모범 사례를 도입하십시오.

• 정기적인 정책 검토 수행: 구성 드리프트를 조기에 발견할 수 있도록 데이터 액세스 정책, 민감도 레이블 체계, AI 에이전트 권한을 분기별로 다시 평가하십시오.
• 포괄적인 교육 프로그램 도입: 실제 상황을 가정한 시뮬레이션과 역할 기반 교육 모듈을 통해 프롬프트 엔지니어링, 섀도 AI, 무단 데이터 공유에 따른 구체적인 위험을 직원들에게 교육하십시오.
• 플랫폼 업데이트를 지속적으로 활용: Microsoft Purview의 기능 릴리스를 꾸준히 확인하고, AI를 위한 고급 데이터 보안 태세 관리(DSPM) 기능이 제공되는 즉시 활성화하십시오.
• 자동화된 해결 조치 적용: Purview의 자동 정책 엔진을 활용해 위험한 AI 출력물을 즉시 격리하고, 금지된 프롬프트 제출을 차단하며, 과도하게 공유된 SharePoint 링크를 제한하십시오.

결론

88% 문제는 Microsoft 365에 AI를 도입하는 모든 기업에 분명한 경고입니다. 범위가 지정되지 않은 권한과 통제되지 않은 자율 에이전트는 조직의 가장 민감한 데이터에 명백하고 즉각적인 위협이 됩니다. 그렇다고 해서 이러한 보안 과제를 속수무책으로 마주할 필요는 없습니다. 견고한 거버넌스 프레임워크를 구축하고, 엄격한 데이터 손실 방지 정책을 시행하며, Microsoft Purview가 제공하는 기능을 충분히 활용하면 통제되지 않은 AI 위협을 효과적으로 차단하고 책임감 있고 안전한 혁신을 추진할 수 있습니다.

테넌트를 보호하고 데이터 거버넌스를 확실히 익히는 실질적인 전략을 더 깊이 살펴보려면, 전체 팟캐스트 에피소드 Control Rogue AI Data Risks with Microsoft Purview를 꼭 확인해 보십시오. 계속 경계를 늦추지 말고, 권한 범위를 엄격하게 유지하십시오. 다음 에피소드에서 다시 만나겠습니다!