20일 국회 의원회관에서 개최된 '피지컬 AI 시대, 일자리와 보안' 토론회(사진=위즈경제)

[위즈경제] 이정원 기자 = AI가 빠르게 대중화되고 있는 가운데 피지컬 AI 영역의 보안 문제가 부각되고 있다. 기존 데이터 유출에 머물렀던 사이버 보안을 넘어 사람에게 실질적인 피해가 발생할 수 있다는 것이다.

노병규 연세대학교 바른ICT연구소 교수는 20일 국회 의원회관에서 열린 'AI 인사이트 토론회'에서 '피지컬 AI 보안'을 주제로 발표하며 "기존에는 데이터가 새어나갔지만, 이제는 로봇이 사람을 다치게 한다"고 경고했다.

노 교수는 기존 사이버 보안과 피지컬 AI 보안의 근본적인 차이를 먼저 짚었다. 

그는 "기존 사이버 보안에서는 데이터 유출과 서비스 중단이 최악의 시나리오로 탐지하고 격리하고 해제하면 종료되는 구조였다"라며 "하지만 로봇은 자율적으로 행동하기 때문에 인간이 개입할 틈조차 주지 않을 수 있으며, 제조사가 뚫리면 그 로봇을 도입한 모든 기관이 동시에 위험해지고 국가 인프라와 연동된다면 국가 전체가 단일 침해로 위험에 빠질 수 있다"고 설명했다.

아울러 노 교수는 위협이 현실화되는 속도도 빨라지고 있다고 지적했다.

보안 취약점 공개(CVE) 이후 악성코드를 생성하는 데 시간은 2020년 700일에서 현재 44일로 줄어 16배 빨라졌고, GPT-4를 이용해 공개 취약점을 자율적으로 악성화하는 데 성공한 비율은 87%에 달한다는 것이다.

노 교수는 현행 법·제도의 공백도 지적했다. 

그는 "2024년 12월 AI 기본법이 통과돼 2026년 1월 시행되는 중요한 첫걸음"이라면서 "그러나 피지컬 AI 보안 관점에서는 사각지대가 많다"고 지적했다. 

AI 기본법이 생성형 AI와 고영향 AI의 투명성·윤리 중심으로 설계됐고, 당시 논의 초점이 GPT 서비스류, 딥페이크, 개인정보 침해에 집중돼 있기 때문이라는 설명이다.

이어 "사람이 다쳤을 때 제조사 책임이 어느 정도인지 해킹 시 사고 책임 주체가 누구인지 취약점 공시 의문 그리고 텔레메트리 국외 이전 기준 등이 없다"면서 "과기부는 AI 기본법, 산업부는 지능형 로봇법, 국토부는 자율주행차법을 각각 운영하고 있지만, 피지컬 AI 보안을 통합적으로 책임지는 컨트롤타워도 부족해 보인다"고 설명했다.

이에 노 교수는 제도 정착 전 기술적 선제 대응으로 시큐리티 바이 디자인, 제로 트러스트 아키텍처, AI 모델 강화 등을 제시했다.

아울러 △피지컬 AI안전·보안 특별법 제정 △로봇 취약점 공시 의무화 △로봇 텔레메트리 데이터 국외이전 규제 △피지컬 AI 보안 융합 인재 양성 체계 구축 △한국형 피지컬 AI 보안 국제 표준 선점 △피지컬 AI 보안 민관군 상설 협의체 구성 등 6가지 정책 제안도 내놨다. 

그는 "피지컬 AI 안전·보안 특별법을 제정해 AI 기본법의 빈자리를 채워야 한다"며 "로봇의 사이버 보안 설계 의무, 사고 시 제조사와 운영자 책임 분담 기준을 법으로 명확히 해야 한다"고 설명했다.

이어 "피지컬 AI 보안 인증 체계를 도입하고, 인증 없는 제품은 주요 인프라에 들어올 수 없도록 하고, 로봇 취약점 공시를 의무화해야 한다"면서 "300초마다 해외 서버로 가는 데이터를 막을 법적 근거가 현재는 없어 텔레메트리 데이터의 국제 이전을 규제해야 한다"고 말했다.

노 교수는 "피지컬 AI 보안은 로보틱스와 사이버 보안을 동시에 이해하는 인재가 필요한 고도의 융합 분야로서 이를 위해 영역을 넘나드는 융합인재 양성 프로그램이 필요하다"며 "또한 피지컬 AI는 군사, 물류 등 공공 핵심 인프라에 급속히 확산되고 있어 수요 기관이 분리된 채 대응하는 현재 구조로는 체계적 대응이 어려운 만큼 이를 위해 범정부 차원의 피지컬 AI 안전위원회를 설치할 필요가 있다"고 전했다. 

노 교수는 정책의 연속성을 위한 3단계 로드맵도 제안했다. 

1단계에서 특별법 제정과 피지컬 AI 안전위원회 설치로 법적 기반을 구축하고, 2단계에서 인증 체계와 SBOM 제출 의무, 피지컬 AI 보안 융합인재 프로그램을 운영한 뒤, 3단계에서 국내 가이드라인을 국제 표준 초안으로 채택해 글로벌 표준을 선점한다는 구상이다.

그는 "정권이 바뀌어도 일관되게 추진할 수 있는 법적 로드맵이 필요하다"며 "피지컬 AI 안전위원회가 주도해 1년 주기로 성과를 평가하는 것이 중요하다"고 말했다.