대학 개인정보 유출 300만건 육박…AI 해킹 지능화·예산 부족 '이중고'

핵심 요약

- 2026년 현재 대학 대상 AI 기반 해킹 공격으로 개인정보 유출 300만건 육박, 첨단산업 연구 데이터까지 위협 - 15년간 등록금 동결로 대학 재정 악화, 개인정보 보호 예산 부족으로 보안 투자 지속 축소 - AI 자동 코드 생성(바이브 코딩) 활용 증가로 보안 취약점 확대, 체계적 보안 검증 체계 필요

주요 내용

2026년 8월 현재 국내 대학들이 AI 기반 지능형 해킹 공격의 주요 타깃으로 부상하며 개인정보 유출 건수가 300만건에 육박하는 것으로 나타났다. 전문가들은 공격자들이 ChatGPT, GitHub Copilot 등 생성형 AI를 활용해 맞춤형 악성코드를 개발하고, 대학 시스템의 취약점을 자동으로 스캔하는 등 공격 수법이 고도화되고 있다고 경고한다. 특히 대학이 보유한 학생·교직원 개인정보뿐 아니라 산학협력 과정에서 축적된 첨단산업 연구 데이터까지 유출 위험에 노출돼 있어 국가 경쟁력 측면에서도 심각한 문제로 지적된다.

문제를 더욱 악화시키는 것은 대학들의 열악한 재정 상황이다. 2011년 이후 15년간 등록금이 동결되면서 대학들의 재정 여력이 크게 약화됐고, 이는 정보보호 예산 삭감으로 직결됐다. 실제 다수 대학이 ISMS-P 인증 유지에 필요한 최소한의 예산조차 확보하지 못하고 있으며, 보안 전문 인력 채용과 최신 보안 솔루션 도입이 지속적으로 미뤄지고 있는 실정이다. 이로 인해 노후화된 시스템과 패치되지 않은 취약점이 방치되며 해커들의 손쉬운 침투 경로가 되고 있다.

특히 우려되는 부분은 대학 IT 부서에서 개발 생산성 향상을 위해 도입한 AI 코드 생성 도구들이 새로운 보안 위협 요인으로 작용하고 있다는 점이다. '바이브 코딩(Vibe Coding)'으로 불리는 자연어 기반 AI 자동 코드 생성 방식은 개발 속도를 획기적으로 높이지만, 생성된 코드에 SQL 인젝션, 크로스사이트 스크립팅(XSS), 인증 우회, 경쟁 조건(Race Condition) 등 전형적인 보안 취약점이 포함될 위험이 크다. 실제로 AI가 생성한 코드를 충분한 검증 없이 학생정보시스템, 장학금 관리 시스템 등에 적용했다가 개인정보 유출 사고로 이어진 사례가 2026년 상반기에만 다수 보고됐다.

대학들은 또한 '바이브 해킹(Vibe Hacking)' 위협에도 노출돼 있다. 공격자들이 AI 프롬프트 인젝션 기법을 활용해 대학 챗봇이나 AI 기반 민원 시스템을 조작하거나, 개발자가 사용하는 AI 코딩 어시스턴트를 통해 악의적 코드를 주입하는 새로운 공격 벡터가 등장하고 있다. 이는 전통적인 보안 솔루션으로는 탐지하기 어려운 영역으로, AI 시대에 맞는 새로운 보안 패러다임이 시급히 요구된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 현재 대학들의 정보보호 관리체계는 AI 기반 위협 환경에 대응하기에 구조적으로 취약하다. 특히 바이브 코딩을 통해 생성된 코드에 대한 보안 검증 프로세스가 부재한 상태에서, 개인정보처리시스템 개발 시 개인정보 영향평가(PIA)나 보안성 검토를 형식적으로만 수행하는 사례가 빈번하다. AI가 생성한 코드라 하더라도 ISMS-P 인증기준 2.8.2(보안 요구사항 분석 및 정의), 2.8.6(시큐어 코딩) 등의 통제 항목을 철저히 준수해야 하며, OWASP Top 10, CWE/SANS Top 25 등 알려진 취약점 패턴에 대한 자동화된 정적·동적 분석을 필수화해야 한다.

대학은 제한된 예산 내에서도 우선순위 기반 보안 투자 전략을 수립해야 한다. 먼저 ①AI 코드 생성 도구 사용 시 보안 가이드라인 수립 및 개발자 교육 강화, ②생성 코드에 대한 자동화된 취약점 스캐닝 도구(SAST/DAST) 도입, ③개인정보 처리 로직에 대한 필수 코드 리뷰 프로세스 정립이 필요하다. 또한 '디지털새싹', '사이버가디언즈' 같은 정보보호 인재 양성 프로그램과 연계해 정보보호학과 학생들을 보안 인턴으로 활용하는 등 인력 문제 해결을 위한 창의적 접근도 고려할 만하다. 장기적으로는 대학 정보보호 예산의 법정 최소 비율 설정, 공동 보안관제센터 구축 등 제도적 개선이 병행되어야 한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 영향평가(PIA) 의무 대상 및 AI 코드 검증
개인정보보호법 제33조에 따라 대학이 운영하는 5만명 이상 정보주체의 민감정보·고유식별정보 처리 시스템은 PIA 의무 대상이다. 2026년 현재 AI 자동 생성 코드를 활용한 시스템 개발 시에도 PIA 수행 과정에서 생성 코드의 보안 취약점, 개인정보 암호화 누락, 접근통제 미비 등을 필수적으로 검토해야 하며, 이는 ISMS-P 인증심사 시 중점 확인 항목으로 부상하고 있다.

2. 안전한 소프트웨어 개발(2.8장) - 시큐어 코딩
ISMS-P 인증기준 2.8.6(보안 약점 제거)는 개발 단계에서 SQL 인젝션, XSS 등 보안 취약점을 사전 제거하도록 규정한다. 바이브 코딩 환경에서는 AI가 생성한 코드에 대해서도 행정안전부 '소프트웨어 개발보안 가이드' 기준 47개 보안 약점 점검을 의무화하고, 자동화 도구를 통한 검증 후 형상관리 시스템에 등록하는 프로세스를 구축해야 한다. 특히 개인정보 처리 API, 인증·인가 로직은 수동 코드 리뷰를 필수로 시행해야 한다.