기업 직원들이 회사 기기에서 AI 챗봇과 나누는 대화의 47%가 회사가 관리하지 않는 개인 계정을 통해 이루어지고 있어 심각한 보안 문제가 발생하고 있습니다. 아카마이(Akamai)의 최신 보고서에 따르면, 이러한 개인 계정 대화 중 약 6%에는 직원 개인정보, 금융 정보, IT·보안 정보 등 민감한 기업 정보가 포함되어 있었습니다. 회사 보안팀은 개인 계정 대화를 들여다볼 수 없어 민감 정보의 유출 경로를 파악하기 어렵다는 것이 핵심 문제입니다.
보고서는 AI 에이전트(AI Agent)의 확산이 기업 보안 환경을 근본적으로 변화시키고 있다고 지적합니다. 과거에는 직원 계정 관리에 집중했지만, 이제는 사람의 지시를 받아 자율적으로 작업을 수행하는 AI 에이전트와 같은 '비인간 ID(Non-human ID)'의 행동을 통제하는 것이 중요해졌습니다. 또한, 기업 사용자의 40% 이상이 AI 기능이 포함된 브라우저 확장 프로그램을 설치하고 있으며, 이 중 25%는 설치 후 12개월 내에 요구 권한이 변경되어 '간접 프롬프트 인젝션(Indirect Prompt Injection)'과 같은 공격에 취약해질 수 있다고 경고했습니다. AI 에이전트가 외부 도구와 데이터에 접근하는 모델 컨텍스트 프로토콜(MCP) 역시 데이터와 실행 명령의 경계를 흐려 악성 서버가 AI 판단을 가로챌 위험이 있습니다.
이러한 상황은 기업들이 AI 기술 도입의 이점만을 보다가 간과하기 쉬운 보안 사각지대를 명확히 보여줍니다. AI의 빠른 발전 속도에 비해 기업의 보안 패치 적용 주기는 여전히 느려, 취약점이 발견되어도 즉각적인 대응이 어렵습니다. 아카마이는 기업 보안 책임자들에게 패치 전까지 네트워크 엣지(Edge)에서 실시간 보호 체계를 갖추고, 브라우저 내 AI 확장 프로그램을 파악 및 통제하며, AI 에이전트의 권한을 작업 위험도에 따라 차등 부여하고 고위험 작업에는 사람의 승인 절차를 남겨둘 것을 권고했습니다. 이는 AI 시대에 맞춰 기업 보안 전략을 전면 재검토하고, 기술적·정책적 대응을 강화해야 함을 시사합니다.