SK텔레콤·업스테이지, 보안 AI 컨소시엄 구성...국내 9개 보안기업 합류

핵심 요약

- SK텔레콤과 업스테이지가 사이버보안 특화 AI 파운데이션 모델 개발을 위한 컨소시엄 출범 - 국내 보안 전문기업 9곳이 참여하며, CPO 조직 포함 149명 규모의 보안 인력 투입 - 공격자 관점의 위협 인텔리전스를 AI 모델에 통합하여 선제적 보안 대응 체계 구축

주요 내용

SK텔레콤과 AI 전문기업 업스테이지는 2026년 8월 사이버보안에 특화된 인공지능 파운데이션 모델 개발을 위한 컨소시엄을 공식 출범했다. 이번 컨소시엄에는 국내 주요 보안기업 9곳이 참여하며, SK텔레콤의 개인정보보호책임자(CPO) 조직을 포함한 149명 규모의 보안 전문 인력이 투입될 예정이다.

이번 프로젝트의 핵심은 공격자 관점(Adversarial Perspective)에서 사이버 위협을 분석하고 대응할 수 있는 AI 모델 개발이다. 전통적인 방어 중심 접근에서 벗어나, 실제 공격자의 전술·기법·절차(TTP)를 학습한 AI가 선제적으로 취약점을 탐지하고 대응 방안을 제시하는 방식이다. 이는 최근 급증하는 AI 기반 사이버 공격에 대응하기 위한 전략적 접근으로 평가된다.

특히 SK텔레콤은 통신사업자로서 보유한 방대한 네트워크 트래픽 데이터와 보안 이벤트 로그를 AI 학습에 활용할 계획이다. 업스테이지의 LLM 기술력과 결합하여 실시간 위협 탐지, 보안 인시던트 자동 분석, 대응 시나리오 생성 등의 기능을 구현할 예정이다. 컨소시엄 참여 보안기업들은 각자의 전문 분야(침입탐지, 엔드포인트 보안, 클라우드 보안 등)에서 도메인 지식과 데이터를 제공한다.

이번 컨소시엄은 국내 보안 산업의 AI 전환을 가속화하는 동시에, 글로벌 보안 AI 시장에서 경쟁력을 확보하기 위한 전략적 연합으로 해석된다. 특히 개인정보보호 조직이 초기 단계부터 참여함으로써 AI 모델 개발 과정에서 개인정보 보호와 데이터 최소화 원칙을 내재화(Privacy by Design)할 수 있는 구조를 갖췄다는 점이 주목된다.

전문가 시각

ISMS-P 인증 심사 경험에 비추어 볼 때, 이번 컨소시엄의 가장 중요한 성공 요인은 다중 기업 간 데이터 공유 시 개인정보보호 거버넌스 구축이다. 149명 규모의 보안 인력 중 CPO 조직이 포함된 점은 매우 긍정적이나, 실제로는 ①컨소시엄 참여 기업 간 데이터 처리 계약(DPA) 명확화 ②AI 학습 데이터의 비식별화·가명처리 기준 통일 ③모델 학습 과정의 감사 추적성(Audit Trail) 확보 ④AI 생성 결과물의 개인정보 포함 여부 검증 체계가 선행되어야 한다. 특히 공격자 관점의 위협 인텔리전스 데이터에는 실제 공격 로그가 포함될 수 있어, 공격 대상 시스템의 개인정보나 민감정보가 노출될 위험이 있다.

또한 보안 AI 모델 자체가 새로운 공격 대상이 될 수 있다는 점도 간과해서는 안 된다. 적대적 머신러닝(Adversarial ML) 기법을 통해 보안 AI의 탐지를 우회하거나, 모델 역공학을 통해 방어 체계의 약점을 파악하려는 시도가 증가하고 있다. 따라서 AI 모델의 보안성 평가(Model Security Assessment), 모델 접근 권한 관리, 학습 데이터의 무결성 검증 체계가 동시에 구축되어야 실효성 있는 보안 AI 컨소시엄이 될 수 있다. 특히 AI기본법 시행('25.2월)에 따라 고위험 AI 시스템 분류 및 규제 준수 사항도 사전에 검토해야 할 것이다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 영향평가(PIA) 의무 대상
ISMS-P 인증기준 3.3.4에 따르면, 100만 명 이상의 정보주체 정보를 처리하거나 민감정보·고유식별정보를 처리하는 개인정보파일 운용 시 사전 영향평가가 필수다. 통신사업자의 네트워크 데이터를 활용한 AI 학습은 대규모 개인정보 처리에 해당하므로, 컨소시엄 출범 단계부터 PIA 수행 및 보호조치 이행 계획을 수립해야 한다.

2. 공동 개인정보 처리 시 책임 범위 명확화
개인정보보호법 제26조의2(공동 개인정보 처리자)에 따라, 컨소시엄 참여 기업들이 공동으로 개인정보를 처리할 경우 각 주체의 역할과 책임을 명확히 문서화하고 정보주체에게 공개해야 한다. ISMS-P 인증심사 시 공동 처리 계약서, 역할 분담표, 정보주체 고지 내용의 적정성을 중점 점검하므로, 사전에 법률 검토 및 계약 체계 정비가 필요하다.