World Story Factory｜AI·경제·생활을 연결하는 실용 지식 플랫폼

AI 보안통제의 컨트롤 갭 기업이 생성형 AI와 AI Agent를 업무에 연결하기 시작하면서 AI Security, AI Risk Management, Security Controls 의 질문도 달라지고 있습니다. 방화벽도 있고, IAM도 있고, DLP와 로그 시스템까지 있는데 정말 새로운 AI 전용 보안통제가 또 필요할까요? 흥미로운 점은 답이 단순히 “필요하다”도, “기존 보안이면 충분하다”도 아니라는 것입니다. 핵심은 기존 통제 중 무엇을 그대로 사용할 수 있고, 무엇을 AI 환경에 맞게 확장해야 하며, 어디에 새로운 Control Gap이 생겼는지를 구분하는 것 입니다. 오늘은 바로 이 과정을 Control Gap Analysis 라는 관점에서 살펴보겠습니다. 새 AI가 들어왔는데 보안팀은 “이미 통제하고 있습니다.”라고 말했다. 다음 이야기는 특정 기업의 실제 사고 사례가 아닙니다. 여러 AI 도입 환경에서 발생할 수 있는 상황을 이해하기 쉽도록 실무에서 자주 접할 수 있는 조건을 재구성한 가상의 시뮬레이션 입니다. 한 회사가 사내 업무용 AI Agent를 도입했다고 가정해보겠습니다. 이 Agent는 직원의 요청을 받아 문서를 검색하고, 이메일 초안을 만들고, 사내 API를 호출합니다. 필요하면 외부 SaaS와 연결해 데이터를 가져올 수도 있습니다. 회의실에서는 꽤 든든한 이야기가 오갑니다. “우리 회사는 IAM이 있습니다.” “DLP도 구축되어 있습니다.” “API Gateway도 있고 로그도 남습니다.” “그러면 AI도 기존 보안체계 안에서 관리되는 것 아닌가요?” 표면적으로 보면 맞는 말처럼 들립니다. 그런데 질문을 조금만 바꾸면 회의실 공기가 달라집니다. IAM은 직원의 권한뿐 아니라 Agent가 직원에게서 위임받은 권한까지 구분할 수 있을까요? DLP는 이메일 첨부파일뿐 아니라 Prompt → RAG Context → Model → Memory → Tool로 이어지는 데이터 흐름도 볼 수 있을까요? API 접근 권한이 있다는 사실과 ‘이 Ag...