사이버 방어를 위한 공동 호소문: 서명은 많지만 구속력도, 검증 지표도 없다

2026년 8월 27일 목요일, OpenAI 웹사이트에 「A call for collective action on cyber defense」라는 제목의 공개서한이 게시됐다. 문서에는 성격이 제각각인 조직들이 이름을 올렸다. 정확한 서명 수는 집계마다 다른데, CNBC가 센 116곳부터 SecurityWeek이 밝힌 130곳 가까이까지 폭이 있다. 서명자에는 OpenAI, Anthropic, Google 같은 AI 기업, 인프라·보안 공급업체(Microsoft, AWS, Cisco, Cloudflare, CrowdStrike, Palo Alto Networks), Visa·Mastercard·General Motors 같은 다른 업종의 기업, 그리고 SAP와 도이체 텔레콤 같은 유럽 기업집단이 포함된다. 이번 움직임은 규제 관심이 높은 시점에 나왔다. 시스템 위험 모델에 관한 유럽 AI법 조항이 2026년 8월 2일부터 적용되기 시작한 지 몇 주밖에 지나지 않았다.

본문은 세 가지 원칙으로 짜여 있다. 첫째는 현재의 방어가 충분하지 않다는 지적이다. 레거시 시스템, 잘못된 설정, 업데이트되지 않은 소프트웨어가 남긴 기술 부채가 발목을 잡고 있다. 나머지 둘은 방어하는 쪽에 AI 도구를 쥐여 줄 것, 그리고 조율된 대응을 가동할 것을 요구한다. 조직에는 방어를 경영진의 우선순위로 다루고, 위험이 가장 높은 취약점부터 고치며, 패치가 필수 서비스를 중단시킬 경우에는 보완 통제를 적용하라고 요청한다. 보안 공급업체에는 자사 시스템을 프런티어 모델에 맞서 시험할 것을, 정부에는 재원이 없는 필수 인프라에 자금을 댈 것을 요구한다. 같은 맥락에서 OpenAI는 자체 약속 세 가지를 발표했다. 그중 하나는 공공기관, 비영리단체, 오픈소스 소프트웨어 메인테이너, 핵심 인프라 운영자를 대상으로 한 Daybreak Cyber 모델군의 보조금 지원 접근이며, 취약점을 비공개로 신고하기 위한 승인된 테스트 프로그램이 함께 제공된다.

문서는 “사이버 방어를 강화할 수 있는 시간은 제한돼 있다”고 적었다. 그러나 서한은 어디까지나 자발적 성격의 의사 표명에 머문다. 본문에는 실행 기한도, 공식적인 예산 배정도, 배분된 자원의 실효성을 평가할 재현 가능한 지표도 없다. AI 기업들의 입장은 비판을 받았다. 보안 전문가 존 갤러거는 공급자 역할의 모호함을 “소화기를 파는 방화범”이라는 말로 요약했다. 이 비유가 가리키는 모순은 기록으로 확인된다. 서한에 서명한 바로 그 기업들이 사이버 공격의 비용을 낮추는 상용 모델을 팔고 있기 때문이다.

전통적인 시스템만으로는 더 이상 충분하지 않다는 인식은 마땅한 출발점이다. 다만 이행 일정도 감사 기준도 정하지 않은 채 대책만 권고한다면, 구조적인 문제가 의사 표명 수준으로 쪼그라들 위험이 있다. 이 이니셔티브의 실질적인 쓸모는 운영상의 영향을 보여주는 데이터가 공개되고 검증 가능해질 때에야 비로소 가늠할 수 있다. — Olya