영남이공대, 프롬프트 인젝션 실습 포함 AI 리터러시 직무연수 운영

핵심 요약

- 영남이공대, 2026년 교육자 대상 AI 리터러시 직무연수 운영하며 프롬프트 인젝션 실습 포함 - 개인정보 보호·저작권·허위정보·편향성 등 AI 윤리 이슈와 실시간 딥페이크 시연을 통한 실무 교육 진행 - AI 결과 왜곡 가능성 체험 및 영상데이터 유출 사례로 교육 현장의 AI 보안 인식 제고

주요 내용

영남이공대학교가 2026년 교육자를 대상으로 AI 리터러시 직무연수를 운영하며 프롬프트 인젝션(Prompt Injection) 실습을 핵심 교육 과정에 포함했다. 이번 연수는 ChatGPT 등 생성형 AI가 교육 현장에 빠르게 확산되는 가운데, 교육자들이 AI 활용 시 발생할 수 있는 보안 위협과 개인정보 침해 위험을 직접 체험하도록 설계됐다.

참가자들은 프롬프트 인젝션 실습을 통해 악의적 명령어 삽입으로 AI 응답이 왜곡되는 과정을 직접 확인했다. 이는 학생들이 AI 챗봇에 특정 지시어를 입력해 시스템 설정을 무력화하거나, 부적절한 콘텐츠를 생성하도록 유도하는 '바이브 해킹(Vibe Hacking)' 사례와 연결된다. 교육 현장에서 학생 개인정보가 AI 모델 학습 데이터로 유출되거나, 프롬프트를 통해 민감정보가 추출될 수 있는 위험성을 실제 시나리오로 체험한 것이다.

연수 프로그램은 개인정보 보호, 저작권, 허위정보, AI 편향성 문제를 종합적으로 다루며 AI 윤리 전반을 조망했다. 특히 실시간 스트리밍 딥페이크 시연을 통해 교사나 학생의 얼굴·음성이 실시간으로 합성될 수 있는 기술적 가능성을 보여주고, 영상데이터 유출 시 발생할 수 있는 2차 피해 사례를 공유했다. 이는 학교 CCTV 영상, 온라인 수업 녹화본 등 교육기관이 보유한 영상 정보자산의 보호 필요성을 환기시킨다.

디지털새싹, 사이버가디언즈 등 청소년 AI·코딩 교육이 확대되는 시점에서, 교육자의 AI 보안 리터러시는 필수 역량으로 부상하고 있다. 영남이공대의 이번 연수는 이론 중심을 넘어 실습 기반 체험 교육으로 설계돼, 참가자들이 교육 현장에서 즉시 적용 가능한 AI 안전 활용 지침을 습득할 수 있도록 했다.

전문가 시각

ISMS-P 관점에서 교육기관의 AI 도입은 개인정보 처리 단계 전반에 새로운 위험을 초래한다. 프롬프트 인젝션은 기술적 취약점이지만, 개인정보보호법상 '안전성 확보조치 의무' 위반으로 이어질 수 있다. 학생이나 교직원의 개인정보가 포함된 데이터를 AI 시스템에 입력할 때, ① 입력 데이터 검증(Input Validation) 미비 ② AI 응답에 대한 출력 필터링 부재 ③ 역할 기반 접근통제(RBAC) 미적용 등이 복합적으로 작용하면, 프롬프트 조작을 통해 타인의 성적·상담기록 등이 유출될 수 있다. 영남이공대처럼 실습 중심 교육을 통해 이러한 공격 메커니즘을 이해한 교육자는, AI 도구 선정 시 "시스템 프롬프트 보호 기능", "민감정보 자동 마스킹", "감사 로그 기록" 등 보안 요구사항을 명확히 제시할 수 있다.

바이브 코딩(Vibe Coding) 환경에서 생성된 코드는 인증·인가 로직 누락, SQL 인젝션 취약점, 암호화되지 않은 개인정보 전송 등의 문제를 내포할 가능성이 높다. 교육기관이 학생 프로젝트나 교육용 앱 개발에 AI 코드 생성 도구를 활용할 경우, ① 생성 코드에 대한 보안 코드 리뷰(Secure Code Review) 필수화 ② OWASP Top 10 기준 자동 스캐닝 ③ 개인정보 처리 구간 수동 검증 프로세스를 제도화해야 한다. 이번 연수가 교육자에게 제공한 딥페이크·데이터 유출 체험은, AI 기술의 양면성을 인식하고 '디지털 안전 교육'을 선제적으로 설계하는 출발점이 될 것이다.

CPPG·ISMS-P 연계 포인트

1. 안전성 확보조치 의무(개인정보보호법 제29조) AI 시스템을 통한 개인정보 처리 시 접근통제, 암호화, 접속기록 관리 등 기술적·관리적 보호조치를 적용해야 하며, 프롬프트 인젝션 등 새로운 공격 벡터에 대응하는 입력값 검증·출력 필터링 체계를 구축해야 한다.

2. 영향평가 및 위험 분석(ISMS-P 인증기준 2.6.1) 생성형 AI 도입 시 개인정보 유출·오남용 위험을 사전 평가하고, 딥페이크·프롬프트 조작 등 신종 위협 시나리오를 반영한 위험 분석을 수행해 적절한 통제 방안을 마련해야 한다.