PHP 사태로 본 AI 보안, 오래된 시스템의 유지 조건을 묻다

오래 작동했다는 믿음을 돌아볼 때

최근 보도는 PHP 사태를 계기로 AI가 오랫동안 숨은 보안 결함을 찾아낼 수 있다는 가능성과 한국 보안의 약한 고리를 함께 다뤘다. 취약점 발견이 늘어날 것이라는 불안과 AI가 방어에 유용한 무기라는 평가도 나왔다. 여기서 독자가 생각해볼 문제는 AI의 능력만이 아니다. 오래 문제없이 사용한 시스템을 앞으로도 유지해도 되는지 판단하는 기준이다.

일반적으로 소프트웨어가 오랫동안 작동했다는 사실과 보안상 안전하다는 평가는 다르다. 문제가 드러나지 않았더라도 점검이 충분하지 않았거나 사용 환경이 바뀌었을 수 있다. 반대로 오래됐다는 이유만으로 위험하다고 단정할 수도 없다. 이번 논의를 시스템의 나이보다 현재 누가 관리하고 어떤 근거로 사용을 이어가는지 묻는 계기로 삼을 필요가 있다는 분석이다.

발견의 증가와 위험의 증가를 구분하자

분석의 출발점은 결함을 더 잘 찾게 되는 것과 실제 피해가 커지는 것을 구분하는 데 있다. AI가 검사 범위를 넓힌다면 이전에 보이지 않던 문제가 드러날 가능성이 있다. 그러나 발견된 결함이 모두 같은 피해로 이어지는 것은 아니다. 외부에서 접근할 수 있는지, 중요한 정보와 연결되는지, 어떤 조건에서 악용될 수 있는지에 따라 의미는 달라질 수 있다.

따라서 기업이 확인할 것은 발견 건수의 많고 적음만이 아니다. 해당 프로그램이 고객 접점에 쓰이는지, 내부 업무에만 쓰이는지, 중단되면 어떤 기능이 멈추는지를 함께 살펴야 한다. 이런 정보가 없다면 오래된 시스템을 무조건 교체하거나 계속 방치하는 판단으로 흐르기 쉽다. 보안 점검 결과를 업무의 중요도와 연결해야 유지와 교체의 선택에도 설명 가능한 근거가 생긴다.

유지보수 계약에 종료 조건이 있는가

이 관점에서 기업이 지금 꺼내볼 자료는 시스템 목록과 유지보수 계약이다. 일반적으로 외부 업체가 만든 서비스라도 실제 운영에 쓰이는 프로그램의 지원 상태까지 자동으로 보장되는 것은 아니다. 계약에서 보안 점검과 수정이 어디까지 포함되는지, 지원이 끝나는 구성요소가 생기면 누가 알리는지 확인할 필요가 있다. 담당자가 바뀌어도 이 내용을 파악할 수 있어야 한다.

계속 사용하는 데 필요한 비용도 다시 볼 만하다. 분석상 오래된 시스템의 비용은 매달 지급하는 유지보수료만으로 계산하기 어렵다. 구조를 아는 인력을 확보하는 부담, 변경 후 업무가 정상 작동하는지 확인하는 비용, 교체할 때 데이터를 옮기는 수고도 포함된다. AI가 결함 탐지를 돕더라도 이런 일까지 사라진다고 기대하기는 어렵다. 탐지 비용과 운영 비용을 나눠 봐야 하는 이유다.

기업은 교체 기준을, 개인은 선택권을

기업에는 사용을 계속할 조건과 교체 검토를 시작할 조건을 미리 정하는 방식이 도움이 될 수 있다. 예컨대 지원 상태를 확인할 수 없거나 필요한 수정을 맡을 주체가 없다면 사용 지속의 근거를 다시 검토하는 것이다. 교체를 결정하더라도 업무 중단과 데이터 이전을 함께 준비해야 한다. 이는 특정 기술을 일괄 퇴출하자는 주장이 아니라 시스템의 수명을 관리하자는 제안이다.

개인이 서비스 내부의 프로그램을 직접 평가하기는 어렵다. 대신 중요한 자료를 내려받을 수 있는지, 보안 관련 안내와 문의 창구가 있는지, 필요할 때 다른 서비스로 옮길 수 있는지 확인할 수 있다. 이런 조건만으로 안전이 보장되지는 않지만 이용자가 대응할 여지는 넓어진다. AI 보안의 발전을 평가할 때도 결함 발견의 성과와 함께 서비스를 책임 있게 유지할 조건이 갖춰지는지 살펴야 한다.