직원들의 챗GPT 사용이 기업 기밀을 유출시킨다? 한 달간 1만 건의 업로드 파일 분석

How employee usage of generative AI is impacting organizational security

생성형 AI 월 방문 250만 건, 1년 만에 1,200% 증가한 사용량이 보안 위협으로

생성형 AI 플랫폼은 업무 생산성과 혁신을 증가시키는 동시에 조직 보안에 새로운 위험 요소로 자리 잡고 있다. 2022년 11월 출시된 챗GPT(ChatGPT)는 역사상 가장 빠르게 성장한 플랫폼 중 하나로, 불과 2개월 만에 1억 명 이상의 사용자를 확보했다. 이는 틱톡(TikTok)이 9개월, 인스타그램(Instagram)이 2.5년 걸린 수치와 비교하면 놀라운 성장세다. 현재 챗GPT는 전 세계적인 관심을 받고 있으며, 이는 일상적으로 사용되는 수많은 생성형 AI 사이트 중 하나에 불과하다.

사이버 보안 기업 멘로 시큐리티(Menlo Security)의 분석에 따르면 2022년 11월부터 2023년 5월까지 생성형 AI 사용이 1,200% 증가했으며, 이 수치는 매일 증가하고 있다. 조사 대상 500개 글로벌 조직에서 30일 동안 250만 건의 생성형 AI 사이트 방문이 있었고, 78,825명의 사용자가 생성형 AI 사이트를 이용했다. 이는 사용자당 월 평균 32회 방문한 것으로 나타났다.

사용자들이 가장 많이 방문한 생성형 AI 사이트는 오픈AI(OpenAI)의 챗GPT로 1,977,607회를 기록했으며, 그 뒤를 마이크로소프트(Microsoft)의 빙(Bing)이 410,850회, 구글(Google)의 바드(Bard)가 96,181회로 따랐다. 30일 동안 오픈AI는 전체 생성형 AI 방문의 50% 이상을 차지했다.

한 달간 1만 건 이상의 파일 업로드, 개인정보 50.4%·기밀문서 24.6% 유출 위험 발견

직원들이 생성형 AI를 사용하는 방식은 검색창에 질문이나 쿼리를 입력하는 것부터 다른 소스에서 정보를 복사하여 붙여넣기, 파일 업로드까지 다양하다. 대부분의 사용자는 질문과 쿼리를 직접 입력하지만, 파일 업로드와 복사/붙여넣기를 통한 데이터 유출이 가장 큰 영향을 미칠 수 있다.

멘로 시큐리티의 조사에 따르면 30일 동안 10,190건의 파일 업로드와 3,394건의 복사/붙여넣기 이벤트가 발생했다. 이러한 이벤트는 전체 생성형 AI 방문 횟수에 비해 상대적으로 적지만, 데이터 유출 가능성 측면에서는 가장 큰 영향을 미칠 수 있다. 예를 들어, 소스 코드, 고객 목록, 로드맵 계획을 복사하여 붙여넣거나 수백 개의 열이 있는 스프레드시트를 업로드하는 경우가 있다.

업로드된 파일 유형을 살펴보면, 텍스트 파일과 같은 알 수 없는 유형이 1,237건으로 가장 많았고, PDF 133건, 워드(Word) 48건, 엑셀(Excel) 22건, 파워포인트(PowerPoint) 21건 등이 뒤를 이었다. 특히 엑셀과 같은 파일 유형은 우발적인 데이터 유출로 이어질 수 있다. 직원이 파일이 안전하다고 생각할 수 있지만, 숨겨진 행이나 열에 민감하거나 기밀 데이터가 포함될 수 있기 때문이다.

삼성 엔지니어의 소스코드 유출 사례로 본 현실적인 기업 데이터 위험

데이터 유출 방지(DLP)는 사이버 보안 분야에서 새로운 개념이나 기술이 아니다. 하지만 생성형 AI와 함께 이러한 우려가 증가하고 있다. 생성형 AI 사이트로 전송되는 민감한 데이터의 범위는 이것이 공개된 소스 코드 우려를 훨씬 넘어서는 문제임을 보여준다.

멘로 시큐리티는 직원들이 생성형 AI 플랫폼에 민감하고 기밀인 정보를 입력하려는 시도가 얼마나 자주 발생하는지 분석했다. 그 결과, 개인 식별 정보(PII)가 50.4%로 가장 많았고, 기밀 문서가 24.6%, 기타 15.9%, 결제카드정보(PCI) 5.4%, 의료 정보 2.2%, 제한된 정보 1.5% 순으로 나타났다. 조사 대상 조직들은 이러한 사례를 차단하는 정책을 실행하고 있었다.

보고서에 따르면, 삼성(Samsung)의 반도체 그룹 엔지니어들이 소스 코드를 더 효율적으로 만들 수 있는지 확인하기 위해 챗GPT에 소스 코드를 입력한 것으로 보고되었다. 생성형 AI 플랫폼은 모델을 추가로 훈련시키기 위해 사용자가 입력한 데이터를 보존하기 때문에, 삼성 코드는 이제 다른 사용자의 요청에 대한 응답을 공식화하는 데 사용될 수 있다. 이는 취약점을 찾는 위협 행위자나 독점 정보를 찾는 경쟁자가 될 수 있다.

AI 서비스 차단은 답이 아니다… 클라우드 보안 브라우저와 데이터 입력 제한으로 안전하게 활용하기

조직을 보호하기 위해 일부 기업들은 생성형 AI 사이트를 완전히 차단했다. 하지만 생성형 AI 서비스에 대한 액세스를 차단하는 것은 잠재적 보안 위험에 대한 해결책처럼 보일 수 있지만, 이는 임시방편일 뿐이다. 챗GPT와 수많은 다른 생성형 AI 플랫폼은 비즈니스 프로세스를 간소화하고, 지루한 작업을 자동화하거나, 글쓰기, 디자인 또는 코딩 프로젝트를 시작하는 데 사용할 수 있는 강력한 비즈니스 도구다. 이러한 사이트를 차단하면 생산성과 비즈니스 민첩성도 함께 차단될 수 있다.

불행히도 기존의 데이터 유출 방지(DLP) 솔루션, 클라우드 액세스 보안 브로커(CASB) 및 기타 내부자 위협 솔루션은 이 새로운 기술의 미묘한 차이를 다루기에 충분하지 않다. 감지-대응 접근 방식을 사용하는 이러한 솔루션은 조직에서 유출되는 엄청난 양의 트래픽 중에서 키워드나 문구를 찾는다. 솔루션이 데이터 유출을 감지하더라도 이미 너무 늦을 수 있다. 정보가 생성형 AI 플랫폼으로 전송되면 이를 되돌릴 방법이 없으며, 데이터는 플랫폼에 남아 쿼리에 대한 응답을 계속 제공할 수 있다.

조직은 직원들이 이러한 유용한 도구를 사용하는 것을 방해하지 않는 방식으로 생성형 AI 플랫폼과 챗봇에 정보가 입력되는 것을 방지해야 한다. DLP가 유용하지만, 조직은 만능 솔루션에 집중하는 대신 계층화된 접근 방식이 필요하다.

첫째, 조직은 문자 수를 제한하거나 알려진 코드를 차단하는 등의 정책으로 입력 필드에 붙여넣기 할 수 있는 내용을 제한할 수 있다. 누구도 수천 줄의 소스 코드를 수동으로 입력하지 않으므로, 붙여넣기 기능을 제한하면 이러한 유형의 데이터 유출을 효과적으로 방지하고 사용자가 입력하려는 정보에 대해 다시 생각하게 할 수 있다.

가장 중요한 것은 조직이 웹 브라우저에서 벗어나 챗GPT 및 기타 생성형 AI 플랫폼과의 상호 작용을 지시해야 한다는 점이다. 클라우드의 보안 브라우저에서 앱 명령을 실행하면 사용자와 인터넷 사이에 추가 보호 계층이 제공되어 데이터 유출이 발생하기 전에 악의적인 활동(의도적이든 아니든)을 중지할 기회가 조직에 주어진다.

조직은 또한 이벤트 로깅 또는 브라우저 녹화 시작과 같은 추가 보안 제어를 트리거하는 보안 정책을 적용하여 문제 해결 및 이벤트 후 분석을 지원할 수 있다. 내부자로 인한 위반에 대한 조사는 의도에 대한 증거를 제공해야 한다는 점을 기억하는 것이 중요하다. 이벤트와 브라우저 세션을 기록하면 사용자가 악의적이었는지 또는 단순히 태만했는지에 대한 가시성과 통찰력을 제공할 수 있다.

FAQ

Q: 생성형 AI가 조직에 어떤 보안 위험을 가져오나요?

A: 생성형 AI는 직원들이 의도치 않게 고객 데이터, 영업 비밀, 기밀 정보, 지적 재산권 등 민감한 회사 데이터를 공유하고 노출시킬 위험이 있습니다. 생성형 AI 플랫폼은 모델을 훈련하고 개선하기 위해 채팅 기록과 같은 데이터를 저장하므로, 입력된 데이터가 나중에 다른 사용자에게 노출될 가능성이 있습니다.

Q: 일반 사용자가 생성형 AI를 안전하게 사용하려면 어떻게 해야 하나요?

A: 생성형 AI를 사용할 때는 개인 식별 정보, 기밀 문서, 소스 코드 등 민감한 정보를 입력하지 않도록 주의해야 합니다. 파일을 업로드하거나 정보를 복사/붙여넣기 전에 해당 내용에 민감한 데이터가 포함되어 있는지 확인하고, 가능하면 회사에서 승인한 생성형 AI 도구를 사용하는 것이 좋습니다.

Q: 기업은 생성형 AI 관련 데이터 유출을 어떻게 방지할 수 있나요?

A: 기업은 단순히 생성형 AI 사이트를 차단하는 대신 계층화된 보안 접근 방식을 채택해야 합니다. 입력 필드에 붙여넣기 할 수 있는 내용을 제한하고, 클라우드의 보안 브라우저를 통해 생성형 AI와의 상호 작용을 유도하며, 이벤트 로깅이나 브라우저 녹화와 같은 추가 보안 제어를 적용하는 것이 효과적인 방법입니다.

해당 기사에서 인용한 리포트 원문은 링크에서 확인할 수 있다.

이미지 출처: Menlo Security

기사는 클로드와 챗GPT를 활용해 작성되었습니다. 

관련 콘텐츠 더보기