포티넷, AI 보안 통합 플랫폼 '포티AI' 공개...ISEC 2026서 AI 거버넌스 전략 발표

핵심 요약

- 포티넷코리아, ISEC 2026에서 AI 보안 통합 플랫폼 '포티AI'와 포티OS 8.0 기반 차세대 보안 전략 공개 예정 - AI 자동 생성 코드(바이브 코딩)의 보안 취약점 탐지 및 실시간 위협 대응 기능 강화 - 생성형 AI 시대 개인정보보호 및 AI 거버넌스 프레임워크 제시

주요 내용

포티넷코리아가 2026년 8월 개최되는 국내 최대 정보보호 전시회 ISEC 2026에서 AI 기반 보안 통합 플랫폼 '포티AI(FortiAI)'와 차세대 운영체제 '포티OS 8.0'을 중심으로 한 AI 보안 전략을 공개한다고 31일 밝혔다. 이번 발표는 생성형 AI 활용이 급증하면서 나타나는 새로운 보안 위협, 특히 '바이브 코딩(Vibe Coding)' 환경에서의 취약점 대응에 초점을 맞춘다.

바이브 코딩과 보안 취약점의 이해

바이브 코딩은 개발자가 자연어로 원하는 기능을 설명하면 ChatGPT, GitHub Copilot 등 AI 도구가 자동으로 코드를 생성하는 개발 방식이다. 반대로 '바이브 해킹(Vibe Hacking)'은 공격자가 AI에게 악의적 프롬프트를 입력해 취약한 코드를 생성하도록 유도하는 공격 기법을 의미한다. 포티넷의 분석에 따르면, AI가 생성한 코드에서는 ① SQL 인젝션, XSS 등 입력값 검증 누락 ② 인증·권한 체크 로직 미비 ③ 민감 정보 하드코딩 ④ 경쟁 조건(Race Condition) 취약점 ⑤ 안전하지 않은 암호화 알고리즘 사용 등이 빈번하게 발견된다.

포티AI는 이러한 AI 생성 코드의 보안 취약점을 실시간으로 탐지하고, 개발 단계부터 보안 가이드를 제공하는 'Shift-Left Security' 기능을 탑재했다. 특히 AI 모델이 학습한 코드 패턴에 내재된 레거시 취약점을 식별하고, 개인정보 처리 로직의 적법성을 자동 검증하는 기능이 강화됐다. 포티OS 8.0은 AI 워크로드에 최적화된 보안 정책 엔진을 통해 AI 서비스의 입출력 데이터를 실시간 모니터링하며, 개인정보 유출 시도를 차단한다.

개인정보보호 관점의 위험 요소

AI 자동 생성 코드 환경에서는 개인정보보호 측면의 구조적 위험이 존재한다. 첫째, AI 모델이 학습 데이터에 포함된 개인정보 처리 패턴을 무비판적으로 재현할 수 있다. 예를 들어 주민등록번호를 평문으로 저장하거나, 동의 없이 제3자 제공하는 코드가 생성될 수 있다. 둘째, 개발자가 AI 생성 코드의 로직을 완전히 이해하지 못한 채 배포하면서 숨겨진 개인정보 수집 경로가 발생한다. 셋째, AI 개발 도구 자체가 입력된 프롬프트와 코드를 학습 데이터로 활용하면서 기업의 민감한 개인정보 처리 로직이 유출될 위험이 있다.

전문가 시각

ISMS-P 심사 현장에서 최근 가장 두드러진 변화는 개발팀의 AI 코딩 도구 사용 비율이 2026년 상반기 기준 60%를 넘어섰다는 점이다. 그러나 대부분 조직이 AI 생성 코드에 대한 보안 검증 절차를 수립하지 않았다. 개인정보 영향평가(PIA) 수행 시 "AI가 생성한 코드는 검토 대상인가"라는 질문을 받는 빈도가 급증했으며, 실제로 AI가 작성한 개인정보 처리 로직에서 목적 외 수집, 암호화 누락 등의 미준수 사항이 다수 발견되고 있다. 특히 청소년 대상 코딩 교육에서 ChatGPT를 활용하는 디지털새싹, Build with AI 등의 프로그램이 확대되면서, 학생들이 생성한 코드에 보안 취약점이 그대로 남는 사례가 우려된다.

포티넷의 이번 솔루션은 AI 거버넌스 체계 구축의 실무적 출발점이 될 수 있다. 기업은 ① AI 코딩 도구 사용 정책 수립 ② AI 생성 코드 보안 검증 프로세스 의무화 ③ 개인정보 처리 로직 수동 리뷰 체크리스트 운영 ④ AI 도구 제공업체와의 데이터 처리 위탁 계약 체결 ⑤ 개발자 대상 바이브 해킹 인식 교육을 즉시 시행해야 한다. 특히 포티AI와 같은 자동화 도구를 도입하더라도, 최종 책임은 개발자와 정보보호 담당자에게 있음을 명확히 해야 한다. AI 보조 개발 환경에서는 "AI가 만든 코드도 우리가 만든 코드"라는 인식 전환이 필수적이다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 안전성 확보조치 - 개발·운영 단계 보안
ISMS-P 인증기준 3.4.3(개발보안)에서는 소프트웨어 개발 시 보안 취약점을 제거하도록 규정한다. AI 생성 코드도 개발 산출물이므로 소스코드 보안 약점 진단 대상에 포함되며, 특히 개인정보 처리 구간에서는 인증·접근통제·암호화·로깅 등 안전조치 요구사항 준수 여부를 수동 검증해야 한다.

2. AI 기본법 시행에 따른 AI 신뢰성 확보
2025년 제정된 AI 기본법 제33조(AI 신뢰성 확보)는 AI 시스템 개발·운영 시 보안성과 견고성을 확보하도록 명시한다. AI 생성 코드의 취약점은 AI 시스템의 보안성을 직접 훼손하므로, AI 사업자는 자동 생성 코드에 대한 보안 검증 체계를 AI 영향평가 및 위험관리 계획에 반드시 포함해야 한다.