이재명 대통령 '미토스 해킹' 대응 주문…AI 주권 확보와 보안 거버넌스 강화 시급

핵심 요약

- 이재명 대통령, 2026년 7월 16일 청와대 업무보고에서 미·중 AI 종속 탈피 및 미토스 해킹 대응 체계 구축 지시 - 중국 AI '키미(Kimi)' 쇼크로 촉발된 AI 주권 확보 논의, 자체 초거대 AI 모델 개발 및 보안 거버넌스 강화 필요성 대두 - 개인정보보호위원회 등 4개 부처 대상 업무보고, AI 기본법 시행과 연계한 개인정보보호 프레임워크 정립 강조

주요 내용

이재명 대통령은 2026년 7월 16일 청와대 영빈관에서 과학기술정보통신부, 우주항공청, 개인정보보호위원회, 방송미디어통신위원회를 대상으로 한 업무보고에서 "미국과 중국의 AI 기술에 종속되지 anında는 자주적인 AI 생태계를 구축해야 한다"고 강조했다. 특히 최근 발생한 '미토스(Mythos)' AI 시스템 해킹 사건을 언급하며 AI 보안 거버넌스 체계의 시급한 정비를 주문했다.

이번 업무보고는 중국의 초거대 AI 모델 '키미(Kimi)'가 글로벌 AI 시장에 충격파를 던진 직후 이뤄져 더욱 주목받고 있다. 키미는 저비용·고성능을 내세우며 미국 중심의 AI 기술 패권에 균열을 가져왔고, 한국 정부로서는 미·중 양강 구도에서 기술 종속을 피하기 위한 독자적 AI 역량 확보가 절실한 상황이다. 이 대통령은 "AI 주권은 단순한 기술 경쟁이 아닌 국가 안보와 경제 안보의 핵심"이라며 범부처 협력을 주문했다.

개인정보보호위원회는 이번 보고에서 AI 기본법 시행(2026년 4월)에 따른 개인정보보호 영향평가(PIA) 강화 방안과 AI 생성 콘텐츠의 개인정보 처리 가이드라인을 제시했다. 특히 바이브 코딩(Vibe Coding) 등 AI 자동 코드 생성 환경에서 발생할 수 있는 개인정보 유출 위험에 대한 선제적 대응 체계를 마련 중이다. 미토스 해킹 사례가 AI 시스템의 취약점을 악용한 것으로 알려지면서, AI 모델 자체의 보안성 검증 절차가 법제화될 필요성이 제기되고 있다.

과기정통부는 국산 초거대 AI 모델 개발 로드맵과 함께 AI 반도체 자급률 제고, AI 데이터센터 확충 계획을 보고했다. 이와 함께 청소년 AI 교육 확대를 위한 '디지털새싹 2.0', '사이버가디언즈' 프로그램 강화 방안도 포함됐다. 정부는 2027년까지 전국 초중고에 AI 윤리 및 보안 교육을 의무화하고, ChatGPT 등 생성형 AI 도구의 안전한 활용 가이드라인을 배포할 예정이다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 미토스 해킹 사건은 AI 시스템의 보안 거버넌스가 전통적인 정보보호 체계와 근본적으로 다른 접근을 요구한다는 점을 보여준다. AI 모델 자체가 공격 벡터가 될 수 있으며, 특히 바이브 코딩 환경에서 LLM이 생성한 코드는 인증 우회, SQL 인젝션, 경쟁 조건(race condition) 등 전형적인 보안 취약점을 내포할 가능성이 높다. 기업들은 AI 자동 생성 코드에 대한 정적·동적 분석 도구를 의무화하고, 개인정보 처리 로직이 포함된 코드는 반드시 인간 개발자의 보안 검토를 거치도록 내부 정책을 수립해야 한다.

AI 주권 확보는 기술 자립을 넘어 데이터 주권, 알고리즘 투명성, 개인정보 자기결정권이라는 다층적 과제다. 중국의 키미 쇼크가 시사하듯, 저비용 AI 모델이 확산되면 중소기업과 공공기관의 AI 도입이 급증할 것이며, 이 과정에서 개인정보보호 거버넌스가 부실해질 위험이 크다. 개인정보보호위원회는 AI 기본법과 개인정보보호법의 정합성을 확보하고, AI 시스템에 대한 사전 개인정보보호 영향평가(Privacy Impact Assessment) 의무화를 검토해야 한다. 특히 바이브 해킹(Vibe Hacking)처럼 프롬프트 조작을 통해 모델을 우회하는 공격 기법에 대한 기술적 대응 기준이 시급히 마련되어야 한다.

CPPG·ISMS-P 연계 포인트

AI 개인정보보호 영향평가(AI-PIA) AI 기본법 제35조는 고위험 AI 시스템에 대한 사전 영향평가를 규정하며, 개인정보보호법 제33조(영향평가)와 연계하여 AI 모델 학습 데이터의 개인정보 포함 여부, 추론 결과의 재식별 가능성, 자동화된 의사결정의 공정성을 평가해야 한다. ISMS-P 인증 시 AI 시스템은 별도 통제 항목으로 관리되어야 한다.

AI 코드 생성 환경의 보안 통제 바이브 코딩 환경에서 LLM이 생성한 코드는 OWASP Top 10 취약점(인젝션, 인증 미비, 민감정보 노출 등)을 포함할 수 있어, ISMS-P 인증기준 2.8.2(보안 취약점 점검) 및 2.9.1(보안 코딩)에 따른 정적 분석(SAST) 및 동적 분석(DAST) 도구 적용이 필수적이다. AI 생성 코드에 대한 인간 검토(human-in-the-loop) 절차를 내부 정책으로 문서화해야 한다.