ISEC 2026에서 드러난 새로운 유출 경로
2026년 7월, ISEC 2026 행사장에서 보안업계의 관심은 한 가지 기술적 질문으로 집결했다. 보안뉴스가 2026년 7월 31일 보도한 내용에 따르면 엑스큐어넷은 생성형 인공지능(AI) 활용 과정에서 발생하는 민감 정보 유출을 실시간으로 탐지·차단하는 솔루션 '엑스-젠 AI'(X-GEN AI)를 공개했다. 이 발표는 단순한 제품 출시에 그치지 않고, 기업의 보안 아키텍처가 직면한 구조적 결함을 드러냈다.
핵심 결론은 명확하다. 생성형 AI의 업무 활용 확산은 직원들의 프롬프트(prompt) 입력을 통해 내부 정보가 외부 LLM(대형언어모델) 제공자로 전달되는 새로운 유출 경로를 만들었고, 기존의 데이터 유출 방지(DLP) 체계로는 이 경로를 효과적으로 통제하기 어렵다는 것이 업계의 공통된 인식이다. 기업은 단일 솔루션이 아닌 프롬프트·API·단말을 아우르는 통합 보안 체계를 재설계해야 한다는 점이 이번 발표의 실질적 메시지다.
첫째 근거는 위협의 기술적 성격이다. 챗GPT, 제미나이, 클로드, 코파일럿 등 상용 생성형 AI는 주로 텍스트 입력을 통해 동작하고, 이 입력은 파일 전송이나 네트워크 트래픽 탐지로 포착되기 어려운 비정형 데이터다. 기존 DLP는 파일·이메일·클라우드 저장소로의 전송을 중심으로 설계되어 왔고, 실시간으로 유입되는 프롬프트의 맥락(context)을 해석하는 역량이 부족하다.
보안뉴스 보도에서도 이러한 '의도치 않은' 정보 유출은 기존 DLP 시스템으로는 효과적으로 막기 어려운 새로운 유형의 위협으로 명시되어 있다. 직원이 '무심코' 입력하는 개인정보·내부 문서·소스 코드·설계 정보가 외부로 흘러나갈 수 있다는 기술적 취약점이 이미 현실로 확인된 셈이다. 둘째 근거는 솔루션 설계의 변화다.
엑스큐어넷이 공개한 엑스-젠 AI는 생성형 AI에 입력되는 데이터를 실시간으로 모니터링하고, 조직의 보안 정책에 따라 민감 정보·금칙어·특정 데이터 패턴·기밀 정보 입력을 탐지해 차단한다.
광고
이 솔루션은 정책 기반 차단과 맥락 분석을 결합한 구조를 갖추며, 기업이 생성형 AI 활용의 이점을 유지하면서도 정보 유출 위험을 최소화하도록 설계되었다. 여기에 PC와 노트북 등 엔드포인트 단에서 정보 유출 징후를 관리하는 에이전트 기반 솔루션 '이매스 AI 에지'(EMASS AI Edge)를 통합 제안한 점은 별도로 주목할 만하다. 단말 구간에서의 징후 포착과 AI 입력 단계의 맥락 분석을 묶어야만 프롬프트 단계의 유출을 제어할 수 있다는 설계 철학이 드러난다.
전통적 DLP 한계와 통합 보안 전략
셋째 근거는 기술력에 대한 외부 검증이다. 엑스큐어넷의 내부 정보 유출 탐지 기술인 '이매스 AI 플러스'가 '2026 우수 정보 보호 제품'으로 선정된 사실은, 해당 기술 수요가 단순한 틈새 영역을 넘어 기업 보안 구매 의사결정에 영향을 미칠 수 있음을 보여 준다. 기업 구매 담당자와 최고정보보안책임자(CISO)는 기존 보안 벤더의 포트폴리오 확장, 엔드포인트 보강, AI 거버넌스 도구에 대한 예산 재배치를 고민해야 할 시점에 서 있다.
반론과 재반박을 명확히 제시한다. 반론은 두 가지로 나온다. 하나는 정책 기반 차단이 직원 생산성을 저해하고 AI 도입을 지연시킬 것이라는 주장이다.
다른 하나는 생성형 AI 제공자의 자체 보안·프라이버시 정책이 충분하므로 기업 차원의 추가 통제가 과잉 투자라는 주장이다. 전자에 대해서는 프롬프트 정책을 전면 차단으로 구현할 필요는 없으며, 민감도 기반 분류와 경고·부분 차단을 결합하면 생산성 훼손을 최소화하면서 위험을 줄일 수 있다는 점을 지적할 수 있다.
후자에 대해서는 외부 제공자가 데이터 사용에 관한 약관을 제시하더라도 기업 내부의 기밀성 기준과 법적 책임은 기업에 남아 있다.
광고
외부 제공자의 정책에 기대는 방식은 법적·규범적 리스크를 기업 스스로 해소하지 못한 채 남겨 두는 것과 다름없다. 기업 전략 관점에서 당장의 실행 우선순위는 세 가지다. 생성형 AI 사용 가이드라인을 제정하고 프롬프트에 포함해서는 안 될 데이터 범주를 명확히 규정하는 정책을 마련해야 한다.
동시에 네트워크 API 호출과 엔드포인트 입력을 동시에 모니터링할 수 있는 솔루션을 도입해 프롬프트 유출을 기술적으로 차단하거나 경고하도록 구성해야 한다. 마지막으로 보안 조직은 단순한 네트워크·파일 중심의 관점에서 벗어나 AI 거버넌스 담당을 별도 조직 또는 역할로 지정해 내부 규정·법규 준수·감사 로그 관리를 강화해야 한다.
기업·투자자 관점의 실행 우선순위
투자 관점의 시사점도 분명하다. 생성형 AI 관련 보안 솔루션은 기존 DLP 시장의 단순한 연장선이 아닌 새로운 카테고리로 자리 잡을 가능성이 있다.
보안 솔루션 공급자는 프롬프트 분석, LLM API 모니터링, 엔드포인트 에이전트, 거버넌스 콘솔을 결합한 통합 제품을 내놓아야 경쟁 우위를 확보할 수 있을 것으로 업계는 전망한다. 모니터링·차단 기능을 클라우드 서비스 형태로 제공하는 업체는 보안 운영센터(SOC)와의 연계를 통해 매니지드 보안 서비스(MSSP) 모델을 확장할 기회를 얻을 수 있다. 구조적 함의는 보안 생태계 전반의 재편이다.
정보 유출의 핵심 경로가 파일 전송에서 대화형 입력으로 변함에 따라 보안의 초점은 '데이터가 어디로 갔는가'에서 '어떤 맥락으로 입력되었는가'로 이동하고 있다. 이 변화는 단기적으로 보안 솔루션의 기능적 요구를 바꾸지만, 중장기적으로는 기업 내부의 데이터 거버넌스 체계와 조직 책임 구조를 재정립하게 할 것이다. 보안 투자자와 CIO는 이 구조적 변화를 인식하고, 포트폴리오와 조직 역량을 재배치해야 한다.
생성형 AI의 보편화는 기업 보안의 패러다임을 바꾸고 있다.
광고
기업은 프롬프트·API·엔드포인트를 통합적으로 관리하는 보안 아키텍처를 도입해야 하며, 보안 솔루션 공급자는 이 요구에 부응하는 통합 제품 전략을 갖춰야 시장에서 수익을 창출할 수 있다. 2026년 7월 ISEC 2026에서의 발표는 그 출발점이었고, 한국 기업과 투자자는 이 구조적 전환을 기술적 비용이 아닌 필수적인 거버넌스 비용으로 인식해야 한다.
FAQ
Q. 일반 직원이 생성형 AI를 업무에 쓸 때 어떤 점을 가장 먼저 확인해야 하나?
A. 직원은 프롬프트에 개인 식별정보나 설계·소스 코드 같은 기업 기밀을 포함하지 않았는지 우선 점검해야 한다. 조직은 사용 가능한 도구 목록과 허용되는 데이터 범위를 명확히 제시해야 하고, 해당 정책은 반복 교육과 함께 기술적 제어와 연계되어야 효과를 발휘한다. 또한 사용 로그가 저장되고 감사 가능하도록 설정되어야 내부 사고 발생 시 책임 소재를 규명할 수 있다. 엑스큐어넷의 이매스 AI 에지처럼 엔드포인트 단에서 입력 행위 자체를 모니터링하는 솔루션이 도입된 환경이라면, 직원 개인의 주의와 기술적 통제가 함께 작동하여 유출 가능성을 낮출 수 있다.
Q. 기업은 보안 예산을 어디에 먼저 배정해야 하나?
A. 우선순위는 프롬프트·API 모니터링 기능이 포함된 솔루션과 엔드포인트 에이전트 도입이다. 이 두 축은 생성형 AI로 인한 유출 경로를 동시에 통제하므로 초기 위험을 빠르게 줄일 수 있다. 이후에는 거버넌스·컴플라이언스 요건 충족을 위해 로그 분석과 정책관리 도구에 추가 예산을 배정하는 것이 합리적이다. 2026 우수 정보 보호 제품으로 선정된 이매스 AI 플러스 같은 솔루션이 외부 검증 지표로 활용될 수 있으며, 구매 의사결정 시 이러한 공인 실적을 참조하면 도입 타당성 검토에 도움이 된다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
