AI가 데이터 유출의 최대 위협으로 부상하다

기업 리더들은 생산성 향상과 혁신 촉진을 위해 AI 도구에 수십억 달러를 투자해왔다. 그러나 최근 데이터는 많은 조직이 예상하지 못한 중대한 위험을 드러내고 있다. 직원들의 업무 속도를 높여주는 바로 그 AI 플랫폼들이 민감한 데이터가 기업 외부로 유출되는 주요 경로로 부상한 것이다. 연구에 따르면 직원의 77%가 생성형 AI 도구에 데이터를 붙여넣으며, 업로드된 파일의 40%에는 개인 식별 정보나 결제 카드 정보가 포함되어 있습니다. 이는 현재 보안 통제가 충분하다고 믿는 기업 내부에서 대규모로 발생하고 있습니다. 이는 기업이 AI 사용을 가정하는 방식과 직원들의 실제 일상적 상호작용 사이에 근본적인 괴리가 있음을 보여줍니다. 이러한 변화를 인식하는 것이 오늘날 현실에 부합하는 보안 전략을 구축하는 데 있어 중요한 첫걸음입니다.

AI가 새로운 데이터 유출 경로가 된 이유

2년 전만 해도 생성형 AI는 기업 업무 흐름에 거의 포함되지 않았다. 현재는 전체 기업 직원의 45%가 AI 플랫폼을 적극적으로 사용하며, 이는 전체 기업 활동의 11%를 차지한다. ChatGPT만 해도 직원 채택률이 43%에 달하는데, 이는 다른 커뮤니케이션 플랫폼들이 수십 년에 걸쳐 달성한 보급률이다.

이러한 급속한 채택은 보안 공백을 초래했습니다. 기존 데이터 유출 방지 시스템은 파일 전송, 이메일 첨부 파일, 네트워크 트래픽을 대상으로 설계되었습니다. 직원들이 프롬프트 상자에 입력하거나 채팅 인터페이스에 붙여넣는 내용을 모니터링하도록 구축된 적이 없습니다. 이 사각지대는 민감한 정보의 주요 유출 경로로 자리 잡았습니다.

생성형 AI는 현재 기업 계정에서 개인 계정으로 이동하는 전체 데이터의 32%를 차지하며, 파일 공유, 이메일 및 보안 팀이 오랫동안 보호해 온 다른 모든 채널을 넘어 데이터 유출의 단일 최대 경로가 되었습니다. 문제는 단순히 유출량뿐만 아니라 유출의 성격에 있습니다. 문서 서버에 문서를 업로드하면 기록이 남지만, 고객 데이터를 AI 프롬프트에 붙여넣는 행위는 종종 어떠한 기록이나 모니터링 시스템 밖에서 발생합니다.

개인 계정 문제

핵심 문제는 AI 도구 사용 자체가 아니라 직원들의 접근 방식입니다. 기업 보안 모델은 직원들이 단일 로그인, 로그 기록, 감독이 적용된 기업 계정을 사용할 것이라고 가정합니다. 데이터는 이 가정이 틀렸음을 보여줍니다: AI 사용의 약 67%가 관리되지 않는 개인 계정을 통해 이루어집니다. 이는 개인 Gmail 주소, Microsoft 계정 또는 기업 신원 시스템을 완전히 우회하는 직접 가입을 의미합니다. 직원이 개인 이메일로 ChatGPT에 로그인할 때, 회사는 해당 프롬프트, 공유 데이터 또는 응답 내 민감한 정보에 대한 가시성을 전혀 확보하지 못합니다.

기업 계정을 사용하더라도 자격 증명에 연동 기능이 부족한 경우가 많습니다. ERP 로그인 중 83%, CRM 로그인 중 71%가 싱글 사인온 없이 이루어집니다. 이는 기업 로그인 방식이 개인 계정보다 보안성이나 가시성 측면에서 거의 차이가 없음을 의미합니다. 사용자 이름에 회사 도메인이 포함될 수 있지만, 인증 우회로 인해 동일한 보이지 않는 데이터 흐름이 발생합니다.

복사-붙여넣기: 보이지 않는 데이터 유출

기존 데이터 유출 방지 전략은 파일 시스템, 업로드/다운로드/첨부 파일 모니터링에 집중했습니다. 그러나 데이터 분석 결과 유출의 진짜 원인은 파일이 아닌 복사-붙여넣기였습니다. 직원의 77%가 생성형 AI 도구에 데이터를 붙여넣으며, 이 중 82%는 관리되지 않는 개인 계정에서 발생합니다. 평균적으로 각 직원은 개인 계정에서 하루에 15번 붙여넣기를 하며, 그중 최소 4번은 민감한 개인 정보나 결제 카드 데이터를 포함합니다.

이는 민감한 정보가 더 이상 파일 업로드를 통해서만 이동하지 않음을 의미합니다. 프롬프트, 채팅 창, 텍스트 필드에 직접 주입되고 있습니다. 이러한 파일 없는 전송은 기존 DLP 솔루션에 거의 탐지되지 않습니다. 다중 플랫폼에서 높은 빈도로 발생하며 기업 감독 범위 밖에서 이루어집니다.

그 결과, 탐지하기 어려운 경로를 통해 조직 외부로 유출되는 민감한 데이터가 지속적으로 발생하고 있습니다. 복사 및 붙여넣기가 새로운 정보 유출 수단이 되었으며, AI 도구가 주요 유출 대상입니다.

승인되지 않은 목적지의 민감한 파일

파일 업로드는 여전히 워크플로우의 핵심이지만, 그 목적지는 변화했습니다. 직원들은 더 이상 승인된 저장소나 이메일로 업로드를 제한하지 않고, 생성형 AI 도구, 소비자용 앱, 승인되지 않은 SaaS 플랫폼으로 파일을 이동시킵니다.

데이터에 따르면 생성형 AI 도구에 업로드된 파일의 40%가 개인 정보나 금융 정보를 포함하고 있습니다. 마찬가지로 파일 저장 플랫폼에 업로드된 파일의 41%도 해당 데이터를 포함합니다. 이러한 업로드의 거의 40%가 개인 계정을 통해 이루어집니다.

결과적으로 민감한 데이터는 기업이 가시성도 통제권도 갖지 못하는 환경으로 유입됩니다. 파일이 개인 Google 드라이브, WhatsApp 채팅 또는 AI 프롬프트에 업로드되는 순간, 사실상 기업 영역을 벗어나 추적, 제한 또는 삭제될 수 없게 됩니다.

목적지는 Egnyte, Zendesk 같은 기업용 도구부터 Canva, LinkedIn, WhatsApp 같은 소비자 플랫폼까지 다양합니다. 기업과 소비자 생태계의 혼합은 기업 데이터의 경계를 모호하게 만들고, 승인된 채널과 중앙 집중식 통제를 위해 설계된 기존 DLP의 한계를 드러냅니다.

기업 보안에 미치는 영향

기존의 보안 경계는 무너졌습니다. 과거에는 네트워크 관리, 엔드포인트 보안, 승인된 애플리케이션 모니터링을 통해 데이터를 통제할 수 있었습니다. 이 모델은 업무가 기업 시스템 내에서 이루어지며 외부 플랫폼은 가끔씩 통제된 방식으로만 사용된다는 전제하에 구축되었습니다.

현실은 업무가 브라우저 내에서, 수십 개의 애플리케이션을 가로지르며, 기업 계정과 개인 계정을 모두 활용하고, 감사 추적이 불가능한 방식으로 이루어지는 모습을 보여줍니다. 고객 문제를 조사하는 직원은 내부 시스템을 검색하고, 결과를 ChatGPT에 붙여넣어 요약한 후, 요약본을 Slack에 복사해 동료들과 공유하고, 개인 이메일로 전달해 추후 검토할 수 있습니다. 각 단계마다 민감한 데이터가 기존 도구로는 감지할 수 없는 경로를 통해 이동합니다.

브라우저가 주요 업무 공간으로 자리 잡았지만 보안 통제는 이를 따라잡지 못하고 있습니다. 직원들은 애플리케이션 간 유연하게 이동하며 기업 도구와 개인 도구를 거의 구분하지 않습니다. 효과적이고 편리하며 IT 승인 없이도 사용할 수 있는 도구를 선택합니다. 이로 인해 민감한 정보가 보이지 않는 경로를 통해 지속적으로 외부로 유출되는 환경이 조성됩니다.

AI 시대를 위한 기업 보안 재고

해결책은 AI 도구를 차단하거나 개인 계정을 전면 금지하는 것이 아닙니다. 이러한 접근 방식은 직원들의 실제 업무 방식을 저해하기 때문에 실패합니다. 해당 도구들은 생산성을 높이기 때문에 존재합니다. 개인 계정이 확산되는 것은 기업 계정 제공이 느리고 제한적이기 때문입니다. 이러한 현실을 외면하는 보안은 단순히 우회될 뿐입니다.

효과적인 보호는 업무가 실제로 이루어지는 브라우저 수준의 가시성을 요구합니다. 이는 파일 업로드뿐만 아니라 붙여넣기 작업, 양식 제출, 프롬프트 상호작용, 시스템 간 모든 데이터 이동을 모니터링해야 함을 의미합니다. 사용된 애플리케이션과 무관하게 기업 계정과 개인 계정을 구분하는 정책을 시행해야 합니다.

조직은 데이터 유출 방지를 파일에서 벗어나 파일 없는 전송까지 확대해야 합니다. ChatGPT에 제출된 프롬프트는 이메일 첨부 파일과 동일한 수준의 검증을 받아야 합니다. Slack에 붙여넣기된 내용은 Google Drive에 업로드된 내용과 동일한 검사를 유발해야 합니다. 전송 방식이 보안 적용 여부를 결정해서는 안 됩니다.

신원 통제는 엄격히 시행되어야 합니다. 직원이 개인 계정으로 업무 애플리케이션에 접근할 수 있다면 싱글 사인온(SSO) 제공만으로는 불충분합니다. 민감한 데이터를 처리하는 모든 애플리케이션에 대해 연합 인증(Federated Authentication)은 선택 사항이 아닌 필수 사항이어야 합니다. 연합되지 않은 기업 로그인 방식은 본질적인 보안 위험으로 간주되어야 합니다.

결론

AI는 기업용 소프트웨어에서 가장 빠르게 성장하는 분야이자 데이터 유출의 1순위 경로가 되었습니다. 직원의 77%가 AI 도구에 데이터를 붙여넣습니다. 업로드된 데이터의 40%에는 민감한 정보가 포함됩니다. 이러한 활동의 대부분은 관리되지 않는 계정을 통해 이루어집니다. 기존의 보안 경계는 사라졌습니다. 대부분의 업무는 브라우저에서 수행되며, 텍스트 붙여넣기와 같은 단순한 작업조차도 보안 침해로 이어질 수 있습니다. 이러한 새로운 현실에 맞춰 보안 전략을 업데이트하지 못하는 기업들은 이미 가장 가치 있는 데이터에 대한 통제력을 상실하고 있습니다.