금융보안원은 금융권의 인공지능(AI) 에이전트 활용 확대에 따른 보안 위협에 대응하기 위해 '금융분야 AI 에이전트 보안 평가기준'을 개발했다고 7일 밝혔다. AI 에이전트는 이용자가 부여한 목표를 달성하기 위해 스스로 작업 순서를 정하고 필요한 도구나 외부 시스템을 이용해 실제 업무를 수행하는 AI 시스템이다.
금융보안원은 AI 에이전트의 자율성이 기존 AI의 보안 취약점을 실제 업무상 행위로 이어지게 만들 수 있다고 판단했다. 예를 들어, 시스템 성능을 높이라는 지시를 받은 AI 에이전트가 가용성을 확보한다는 이유로 백신 프로그램을 임의로 중단하거나, 이메일 자동 처리 권한을 가진 에이전트가 비밀번호 재설정 안내를 정상적인 업무로 판단해 실제 비밀번호를 변경하는 상황 등이 발생할 수 있다.
이번 평가기준은 AI 에이전트의 실행 권한과 격리 체계, 외부 도구 사용 및 승인 절차, 작업 범위 설정과 결과 검증, 자율적인 실행을 제한하거나 중단할 수 있는 통제수단 등 6개 분야, 17개 점검항목으로 구성되어 있다. 금융보안원은 올해 말까지 시범 검증을 진행하며 평가항목의 실효성과 실제 점검 가능 여부를 확인할 계획이다. 내년에는 해당 기준을 정식 점검기준으로 확대 적용할 예정이다.
박상원 금융보안원장은 “AI 에이전트는 판단에 그치지 않고 직접 행동한다는 점에서 기존 AI와는 또 다른 보안 리스크를 수반한다”며 금융권 AI 에이전트의 위험을 실질적으로 검증하고 금융회사의 안전하고 신뢰할 수 있는 AI 기술 활용을 적극 지원할 것이라고 밝혔다.