제로 트러스트

제로 트러스트는 누군가 한 번 신원을 확인받았다고 그 이후로 계속 믿어주지 않고, 어떤 접근이든 매번 다시 확인하는 보안 방식이다.

회사 건물을 떠올려보면 쉽다. 예전 방식은 정문에서 출입증을 한 번 찍으면 그 뒤로는 건물 안 어디든 자유롭게 돌아다닐 수 있는 구조였다. 제로 트러스트는 정문뿐 아니라 회의실, 서버실, 자료실 문 앞에서도 다시 출입증을 찍게 하는 것과 같다. 안에 이미 들어와 있다는 사실 자체는 신뢰의 근거가 되지 않는다.

최근에는 이 원칙이 사람뿐 아니라 AI 프로그램에도 적용되기 시작했다. AI가 스스로 코드를 읽고, 파일을 열고, 작업을 처리하는 일이 늘면서, 그 AI가 지금 이 작업을 할 권한이 정말 있는지, 누구의 지시로 움직이는지를 매번 다시 확인할 필요가 생긴 것이다. 사람에게 적용하던 출입 통제 방식을 AI에게도 그대로 확장하는 셈이다.

마이크로소프트는 기존 신원·기기·데이터 중심의 제로 트러스트 점검 항목에 'AI' 필라를 새로 추가하고, AI 에이전트가 코드를 만들고 배포하는 전 과정에 적용할 통제 항목을 공개했다. 오픈AI도 보안 특화 모델을 내놓으면서 '검증된 사용자에게만 더 센 권한을 준다'는 같은 논리를 썼다. 오해하기 쉬운 점은, 제로 트러스트가 특정 제품이나 소프트웨어의 이름이 아니라는 것이다. 이는 '누구든, 언제든, 매번 확인한다'는 보안 설계 원칙을 가리키는 말이며, 회사마다 이를 구현하는 도구와 절차는 다르다.