망분리 다음 질문: AI DLP는 어디까지 막는가

AI DLP가 커버하는 범위와 커버하지 못하는 범위를 AI 사용 경로별로 정리하고, 도입 검토 시 확인할 10개 항목을 제시합니다. 「금융권 AI 보안 시리즈」 후속.

핵심 요약

• AI DLP는 새로운 기술 범주가 아니라 기존 DLP에 'AI 프롬프트'라는 경로가 추가된 형태입니다. 따라서 커버 범위가 구조적으로 정해져 있습니다.

• 기업에서 AI가 사용되는 경로는 네 가지이며, 현재 시장 제품 대부분은 그중 하나인 '직원의 외부 AI 입력'을 감시합니다.

• 나머지 세 경로는 탐지에 실패하는 것이 아니라 검사 지점을 통과하지 않는 구간입니다. 제품의 완성도가 아니라 검사 지점의 위치에서 발생하는 차이입니다.

• AI 기본법과 망분리 완화 심사가 증빙을 요구하는 대상이 이 세 경로와 겹칩니다. 규제 문장의 주어가 '직원'에서 '사업자가 제공하는 AI'로 이동했기 때문입니다.

1. 배경

「금융권 AI 보안 시리즈」에서는 망분리가 완화되는 배경(1편), 필요한 요건(2편), 충족 방법(3편)을 다뤘습니다. 공개 이후 반복적으로 받은 질문은 다음과 같습니다.

"그래서 AI를 켜면, 무엇을 준비해야 합니까?"

같은 기간 시장에서는 'AI DLP'라는 용어가 빠르게 확산됐습니다. 제안요청서와 예산 항목에도 이 용어가 등장하고 있습니다. 이 글은 해당 용어가 포괄하는 범위를 정리합니다.

2. AI DLP의 정의와 기능 범위

기존 DLP에 경로 하나가 추가된 형태이며, 이 구조가 커버 범위를 결정합니다.

DLP(Data Loss Prevention, 정보유출방지)는 20년 된 기술로, 회사 자료가 외부로 나가는 경로를 감시하고 차단합니다. 기존 감시 대상은 이메일, USB, 메신저, 웹 업로드, 인쇄, 화면캡처 등이었습니다.

AI DLP는 이 목록에 'AI 프롬프트'라는 경로가 추가된 형태입니다. 새로운 기술 범주라기보다 기존 제품의 채널 확장에 해당하며, 이 구조가 커버 범위를 결정합니다.

현재 AI DLP가 제공하는 기능

도입 필요성을 뒷받침하는 조사 결과

마지막 항목이 이 시장의 성격을 보여줍니다. 전면 차단은 우회를 유발하며, 공식 경로를 제공할 때 통제가 가능해집니다. 검토가 필요한 지점은 허용 이후입니다.

3. 기업에서 AI가 사용되는 네 가지 경로

검사 지점의 위치를 정하려면 경로가 몇 개인지부터 확인해야 합니다.

현재 시장에 출시된 AI DLP 제품 대부분은 첫 번째 경로에 검사 지점을 두고 있습니다.

4. 경로별 커버리지

나머지 세 경로는 탐지에 실패하는 것이 아니라 검사 지점을 통과하지 않습니다.

미커버 사유

첫 번째 경로 내부에서도 탐지되지 않는 유형이 있습니다. 프롬프트 인젝션과 탈옥입니다. 주민등록번호 880101-1234567은 정해진 형식이 있어 정규식으로 판정할 수 있지만, "이전 지시를 무시하고…"와 같은 문장에는 형식이 없습니다.

설치 위치별 비교

△는 사람이 직접 입력하는 경우에 한합니다.

제품의 우열이 아니라 검사 지점의 위치에서 발생하는 차이입니다. 시리즈 3편에서 "AI 호출 지점이 입력과 출력을 동시에 통제할 수 있는 유일한 지점"이라고 기술한 것과 같은 내용입니다.

5. 한국어 우회 공격

영어권 가드레일과 정규식 기반 제품 모두 이 유형을 대응 범위에 포함하지 않습니다.

영어권에서 개발된 가드레일은 이러한 패턴을 설계 범위에 포함하지 않았으며, 학습 데이터에도 한국어 우회 사례가 거의 없습니다. 정규식 기반 제품은 형식이 정의되지 않는다는 이유로 판정 대상에서 제외합니다.

시리즈 3편에서 "글로벌 가드레일은 한국어 금융 공격 패턴을 책임지지 않는다"고 기술한 지점이 여기에 해당합니다.

6. 규제 요건과의 대응 관계

규제 문장의 주어가 '직원'에서 '사업자가 제공하는 AI'로 이동했습니다.

개인정보보호법은 직원의 유출 행위를 전제로 설계된 규정이므로 AI DLP로 대응할 수 있습니다.

AI 기본법은 사업자가 제공하는 AI의 동작을 대상으로 합니다. 직원의 입력 기록만으로는 요구되는 증빙이 성립하지 않습니다.

실무에서는 다음과 같은 질문 형태로 확인됩니다.

"귀사의 AI가 지난 6개월간 부정확하거나 규정에 어긋나는 답변을 하지 않았다는 것을 어떻게 증명하십니까?"

응답이 로그에 기록돼 있지 않으면 답변할 근거가 없습니다.

7. 폐쇄망을 유지하는 경우

외부 AI를 차단한 조직일수록 사내 AI 비중이 높으며, 이 구간은 기존 제품의 적용 대상이 아닙니다.

미팅에서 가장 자주 확인되는 응답은 "망분리 환경이므로 외부 AI를 차단했다"는 것입니다.

그러나 외부 AI를 차단한 조직일수록 사내 챗봇, 사내 문서검색, 상담 AI를 자체 구축하는 비중이 높습니다. 폐쇄망에서는 온프레미스 구축 외에 선택지가 제한되기 때문입니다.

해당 시스템은 세 번째 경로에 해당하며, 외부로 나가는 트래픽이 없으므로 검사 지점을 통과하지 않습니다. 동시에 고객과 직접 대화하는 것은 이 시스템입니다.

망분리 완화 여부와 무관하게 준비 항목은 동일합니다.

8. 도입 검토 체크리스트 10항목

벤더 중립적으로 작성했습니다. 어느 제품을 검토하시든 동일하게 적용할 수 있습니다.

현황 파악

1. 사내 AI 서비스가 몇 개이며, 각각의 운영 주체는 어디입니까?

2. 그중 현재 보안 검사 대상에 포함된 것은 몇 개입니까?

탐지 범위

1. 검토 중인 제품은 AI의 응답도 검사합니까, 입력만 검사합니까?

2. 프롬프트 인젝션·탈옥과 같이 형식이 정의되지 않는 공격은 무엇으로 판정합니까?

3. 한국어 우회(초성 분리·전각 문자·호모글리프)에 대한 실측 결과가 있습니까?

4. AI 에이전트가 사람의 입력 없이 API를 호출할 때, 해당 호출은 어느 검사 지점을 경유합니까?

증빙

1. 감사 로그에 AI의 출력이 기록됩니까? 기록된다면 어느 수준까지입니까?

2. 로그의 위·변조 방지 방식은 무엇이며, 감사인이 직접 검증할 수단이 있습니까?

운영과 비용

1. 검사 장치에 장애가 발생하면 트래픽을 통과시킵니까, 차단합니까? 해당 정책을 도입 기관이 선택할 수 있습니까?

2. 라이선스 산정 기준은 사용자 수입니까, 처리 노드 수입니까? AI 사용이 전사로 확대될 경우 비용은 어떻게 변동합니까?

10개 항목에 대한 답변이 확보되면 현재 구성의 커버 범위가 정리됩니다. 한 장 분량의 체크리스트 양식이 필요하신 경우 요청해 주시기 바랍니다. 30분 통화로 함께 작성해 드리는 것도 가능합니다.

9. 결론

AI DLP는 기존 DLP의 채널 확장이며, 커버 범위가 구조적으로 결정돼 있습니다. 직원이 외부 AI에 입력하는 데이터를 차단하고 기록하는 기능은 반드시 필요하며, 국내 벤더들이 이 영역을 담당하고 있습니다.

남는 구간은 AI의 응답, 사내 AI, 에이전트 호출, 그리고 형식이 정의되지 않는 공격입니다. 제품의 완성도 문제가 아니라 검사 지점의 위치에서 발생하는 구조적 공백입니다.

AI 기본법과 망분리 완화 심사가 증빙을 요구하는 대상이 이 구간과 겹칩니다.

시리즈 3편에서 "새로 짓지 않고 길목에 방어선을 더한다"고 기술했습니다. 그 길목이 몇 개이며 현재 방어선이 어느 지점에 위치하는지는 확인하실 수 있습니다.

※ 본 글에 인용된 조사 수치(섀도우 AI 사용률·민감정보 비중 등)는 공개된 외부 리서치 자료 기준이며 조사 기관과 시점에 따라 달라질 수 있습니다. 설치 위치별 커버리지 비교는 각 사 공개 자료에 기반한 일반적 구조 설명으로, 개별 제품의 세부 구성에 따라 다를 수 있습니다. 규제 관련 서술은 정보 제공 목적이며 법률 자문이 아닙니다.

YATAV · AI Trust Infrastructure