OpenAI와 Hugging Face로의 부정접근이 드러낸 기업의 위험

OpenAI와 Hugging Face가 부정접근을 당함으로써, AI 관련 서비스를 활용하는 기업들에게 있어 사이버보안상의 위험이 다시 한 번 명확히 드러났다. 이번 사건은 자사의 데이터가 외부 AI 플랫폼상에서 적절히 보호되고 있는지를 재검토하는 계기로서, 업계 전반에서 광범위하게 논의되고 있다.

OpenAI는 AI 서비스 분야에서 널리 이용되는 플랫폼이며, Hugging Face는 AI 개발자들이 모델과 데이터셋을 공개하고 공유하는 커뮤니티로서 전 세계적으로 활용되고 있다. 양자는 말하자면 「AI 분야의 기반시설」에 가까운 존재이기 때문에, 여기로의 부정접근은 단순히 하나의 기업 문제에 그치지 않으며, 이들을 업무에 도입하고 있는 수많은 기업과 개발자에게 영향을 미칠 수 있다.

이번 사건을 통해 확인된 교훈은 크게 두 가지로 정리할 수 있다. 하나는 적절한 사이버보안 지침을 이행하고 준수하는 것이다. 다른 하나는 기밀성이 높은 데이터를 안전한 관리 범위 내에 두는 것, 즉 외부 AI 플랫폼에 함부로 맡기지 않는 자세의 중요성이다. 이들은 기업이 AI를 업무에 도입할 때 불가결한 전제 조건으로 위치지어진다.

AI 활용이 확산됨에 따라, 기업이 외부 AI 도구와 플랫폼에 의존하는 상황이 증가하고 있다. 한편, 외부 서비스를 경유한 데이터 유출 위험에 대한 대책이 따라가지 못하는 경우도 적지 않다고 볼 수 있다. 특히 API를 통해 자사 데이터를 AI 서비스에 전송하는 운영 방식에서는, 그 데이터가 어디에 보관되고 누가 접근할 수 있는지를 파악하는 것이 전제가 된다.

이번 사례가 보여주는 바는, AI 플랫폼 자체의 보안을 신뢰하는 것만으로는 불충분하다는 점이다. 기업 측도 자신의 데이터 관리 방침을 명확히 하고, 외부 서비스로의 데이터 연계 범위를 최소한으로 줄이는 「데이터의 최소화」라는 개념을 도입할 필요가 있다. 이러한 취조는 정보보안의 기본 원칙으로서 이전부터 알려져 있는 것이지만, AI 활용의 맥락에서는 개선을 다시 한 번 철저히 할 것이 요구되고 있는 상황이다.

AI 서비스의 보급이 가속화되는 가운데, 보안 사건은 어느 기업에게나 남의 일이 아니다. 향후에는 AI 플랫폼을 선정하는 단계에서 보안 요건을 명시적으로 확인하는 것, 그리고 사내에서의 데이터 취급 규칙을 AI 활용에 맞춰 재검토하는 것이 기업의 위험 관리에 있어 중요한 논점이 될 것으로 위치지어진다.