소프트캠프 "AI는 허용, 통제는 필수"…AI 에이전트 시대 보안 전략 제시

생성형 AI를 넘어 AI 에이전트가 사람 대신 문서를 읽고 사내 시스템에 접속하는 시대가 오면서, 기업 보안의 초점도 '차단'에서 '권한 통제'로 옮겨가고 있다. AI 사용을 무조건 막는 방식이 아니라, 누가 어떤 권한으로 무엇을 다루는지 추적하고 통제하는 체계가 필요하다는 지적이다.

소프트캠프는 2일 서울 여의도 페어몬트 앰배서더 서울 그랜드볼룸에서 '소프트캠프 솔루션데이 2026'을 열고 AI 에이전트 시대의 보안 전략을 제시했다. 올해 행사의 주제는 'AI는 허용, 통제는 필수: AI 에이전트 시대의 새로운 보안 패러다임'이다.

메시지는 명확하다. AI를 쓰지 못하게 막는 보안은 한계에 이르렀고, 이제는 AI 활용을 조직의 관리 체계 안으로 끌어들여야 한다는 것이다. 생성형 AI와 AI 에이전트가 업무에 깊숙이 들어오면서 보안 담당자는 사람이 다루는 데이터뿐 아니라, AI가 읽고 호출하고 실행하는 업무까지 관리해야 하는 과제를 안게 됐다.

소프트캠프는 AI 시대 보안의 핵심 원칙으로 △추적 △통제 △인증 △검증을 제시했다. 데이터가 어디서 생성되고 어떻게 이동하는지 추적하고, 생성형 AI로 향하는 기밀 유출을 통제하며, 사람과 AI 에이전트의 신원을 인증하고, 소프트웨어 공급망 전 주기를 검증해야 한다는 구상이다.

기조연설은 배환국 소프트캠프 대표가 맡았다. 이어 장항배 중앙대학교 산업보안학과 교수가 'AI 전환(AX)을 위한 보안 전략'을 주제로 외부 세션을 진행했다. 이후 소프트캠프와 자회사 레드펜소프트의 보안 전략 발표가 이어졌다.

'추적되지 않는 데이터는 통제할 수 없다' 세션에서는 데이터 생성과 이동을 추적하는 가시성 확보 방안을 다뤘다. '지금 이 순간에도 기밀은 생성형 AI로 빠져나가고 있다' 세션에서는 생성형 AI 활용 과정에서 발생할 수 있는 기밀 유출 통제 방안을 소개했다.

AI 에이전트 보안은 별도 세션으로 다뤄졌다. 'AI 에이전트는 당신의 새로운 내부자다' 세션은 사람을 대신해 시스템에 접근하는 AI 에이전트를 새로운 내부 위협으로 보고, 이에 대한 신원 관리 방안을 제시했다. 자회사 레드펜소프트는 'AI 시대의 SW 보안 자산관리: 취약점 대응은 어떻게 달라져야 하는가'를 주제로 소프트웨어 공급망 검증 방안을 발표했다.

현장에서는 솔루션 체험 이벤트 'AI Security Quest'도 진행됐다. 참관객은 추적·통제·인증·검증 등 4개 존을 돌며 AI 시대에 필요한 보안 솔루션을 직접 체험했다.

소프트캠프는 행사에서 AI 시대 보안 체계를 구현하기 위한 솔루션도 소개했다. 문서 출처를 자동 식별해 업무 시스템별 보안 등급을 관리하는 '인포디스커버리', 조직 내 문서 사용 흐름을 추적·시각화하는 '인포리니지', 외부 AI와 SaaS를 안전하게 이용하도록 돕는 제로트러스트 기반 웹 격리 보안 서비스 '쉴드게이트', 클라우드 문서보안 오케스트레이션 '쉴드 DRM', 클라우드 계정 관리 서비스 '쉴드 ID', 소프트웨어 공급망 보안 관리 솔루션 '엑스스캔 시큐어 에셋' 등이 포함됐다.

신규 솔루션 2종도 공개했다. '시큐리티365 컴플라이언스 스튜디오'는 마이크로소프트 365 환경의 계정, 공유, 정보보호, 감사로그 등 흩어진 점검 항목을 한 화면에서 확인하고 한국형 보안 컴플라이언스 충족 여부를 진단하는 가시성 플랫폼이다.

'쉴드 AI 게이트웨이'는 AI 에이전트 시대를 겨냥한 신규 솔루션이다. 외부 AI 사용 통제를 넘어 내부 AI 에이전트의 호출과 도구 사용을 관리하는 것이 핵심이다. 소프트캠프는 AI가 무엇을 할 수 있는지를 AI 스스로 판단하게 두는 것이 아니라, 보안 정책이 결정하도록 해야 한다고 설명했다.

배환국 대표는 "AI를 쓰지 말라는 시대는 이미 지났다"며 "이제 보안의 역할은 AI 활용을 막는 것이 아니라, 무엇을 누가 어떤 권한으로 다루는지 추적하고 통제해 안전하게 허용하는 것"이라고 말했다. 이어 "소프트캠프 솔루션데이가 AI 에이전트 시대에 보안 담당자들에게 실질적인 보안 실행 전략을 제시하는 자리가 되길 바란다"고 덧붙였다.