싱가포르 사이버보안청이 스스로 계획하고 작업을 수행하는 AI 코딩 도우미의 보안을 평가할 실무 안내서를 공개했다.
15일 사이버보안청(CSA)에 따르면 안내서는 보안 담당자와 개발자가 도입 환경의 위험을 살피고 적절한 보호조치를 정하도록 돕기 위해 마련됐다. 실제 코딩 도우미를 평가한 경험을 토대로 구성했다.
AI 코딩 도우미는 개발환경의 자료와 외부 도구에 접근할 수 있어 업무 자동화와 함께 새로운 위험을 만든다. 공격자가 이를 조작하면 민감정보 유출이나 악성 명령 실행, 부여된 권한의 오용으로 이어질 수 있다는 설명이다.
안내서는 통합개발환경에서 쓰는 도구와 명령줄 방식 도구의 일반적인 작업 흐름을 정리한다. 소프트웨어 개발 과정에서 외부 정보와 도구가 어떻게 연결되는지도 살핀다.
구성 요소마다 신뢰 범위가 달라지는 지점과 위협, 공격 경로를 제시하고 MITRE ATLAS 등의 분류와 연결했다. 각 위협에 적용할 통제 방안도 함께 안내한다.
보호조치는 중요도에 따라 나눠 조직이 적용 순서를 정할 수 있도록 했다.
이 자료는 공격과 대응 목록을 따로 나열하는 데 그치지 않고, 이용자가 여러 구성 요소를 따라 위험이 생기고 전파되는 과정을 살펴보도록 만든 대화형 자원이다.
CSA는 2024년 AI 시스템 보안 지침을 발표한 데 이어 에이전트형 AI의 자율성과 접근 범위에 따른 보안 고려사항을 보완해 왔다. 이번 안내서는 그 내용을 코딩 도우미라는 구체적 활용 분야에 연결했다.