Google, AI 시대의 보안 모델 'Beyond Zero' 발표

Google은 연구논문을 통해 'Beyond Zero'라고 불리는 새로운 보안 모델을 발표했다. 이는 지금까지의 보안 개념인 '제로트러스트'를 AI 에이전트에도 대응할 수 있도록 확장한 것으로, 동사는 'AI 시대의 보안 모델'로 위치지었다.

제로트러스트란 '사내 네트워크 내에 있으니까 안전하다'는 전제를 버리고, 모든 접근을 항상 검증한다는 개념이다. Google은 이전부터 BeyondCorp이라 불리는 제로트러스트형 보안 프레임워크를 제시해 왔으며, Beyond Zero는 그 BeyondCorp의 후속으로 위치지어진다.

Beyond Zero가 기존 접근방식과 크게 다른 점은 접근 판단을 어디서 수행하는가에 있다. 종래에는 애플리케이션 전체에 대해 접근을 허용할지 거부할지를 결정했지만, Beyond Zero에서는 개별 리소스와 액션, 즉 더욱 세밀한 단위마다 판단을 내리는 메커니즘을 취한다. 또한 미리 정해진 규칙에 의한 정적 제어와 AI가 상황에 따라 실시간으로 수행하는 동적 판단을 결합함으로써, 인간과 AI 에이전트 양쪽 모두에 대해 기계적 속도로 접근 제어를 실행할 수 있다고 밝히고 있다.

이러한 체계가 요구되는 배경에는 AI 에이전트의 급속한 보급이 있다. AI 에이전트란 인간의 지시를 받으면서 자율적으로 업무를 수행하는 AI 시스템으로, 메일의 송수신이나 파일 조작, 외부 서비스 접근 등 종래에는 인간이 수행하던 작업을 대신 실행한다. 이러한 에이전트는 이용 편의성을 제공하는 한편, 부정 이용이나 의도하지 않은 작업이 발생했을 경우의 위험도 높아지는 측면이 있다.

종래의 보안 설계는 판단을 내리는 주체가 인간임을 전제하고 있었다. 그러나 AI 에이전트는 인간보다 훨씬 빠른 속도로, 그리고 훨씬 대량으로 액션을 일으키기 때문에, 종래의 인력을 거친 승인 프로세스나 정적 규칙만으로는 대응하지 못하는 상황이 증가하고 있다. Beyond Zero는 이 괴리를 메우는 것을 목표로 한 모델로 볼 수 있다.

Google은 BeyondCorp 공개 이후 업계 전체의 제로트러스트 보급에 일정한 영향을 미쳐 온 것으로 알려져 있다. 이번의 Beyond Zero도 Google이 자사 내 실천 지식을 논문이라는 형태로 외부에 공유한 것이며, 보안 업계의 논의와 표준화 동향에 영향을 미칠 가능성이 있는 것으로 위치지어진다. 구체적인 제품화나 일반 제공 시기는 이번 논문에서 명시되지 않았다.

향후 주목점은 이 개념이 어떻게 구현·표준화되어 갈 것인가이다. AI 에이전트 활용이 기업 시스템에 깊이 있게 조직되어 가는 흐름 속에서, 에이전트를 대상으로 한 세밀한 단위의 접근 제어라는 발상은 보안 설계의 기본 방침으로서 널리 참조되는 것이 될 수 있다는 관점에서 볼 수 있다. 각사가 어떻게 이 접근방식을 채택·응용해 갈 것인가가 향후의 초점이 될 것으로 보인다.