외신 Axios는 오늘 엔비디아, 시스코, CrowdStrike를 포함한 120개 이상의 조직으로 구성된 연합이 AI 에이전트를 위한 새로운 사고 보고 프레임워크를 제안하고 있다고 보도했다. 이 프레임워크에 따르면 참여 기업은 특정 에이전트 사고를 공개하고 상세한 사고 기록을 보존해야 한다.
AI 에이전트가 컴퓨터 시스템에서 점점 더 큰 자율성을 확보하고 있는 가운데, 업계에는 보안 장애를 보고하고 이를 통해 교훈을 얻기 위한 표준화된 방법이 부족하다.
The Open Secure AI Alliance(오픈 시큐어 AI 얼라이언스)는 이른바 “Shared AI Findings Exchange”(공유 인공지능 발견 교류, SAFE) 지침을 마련하고 있다. 이는 AI 에이전트와 관련된 사이버 보안 사건을 보고하는 방법에 관한 제안 프레임워크다.
이 초안은 모델 배포자, AI 개발자, 클라우드 및 도구 제공업체, 독립 연구자, 핵심 인프라 운영자 및 기타 단체의 참여를 촉구하며, 정부 기관도 “비통제적 옵서버” 자격으로 참여하도록 초대할 예정이다.
SAFE 회원은 다음과 같은 사건을 보고하는 데 동의한다. AI 시스템이 제3자 시스템에 무단으로 접근하거나 이를 악용한 경우, 기밀 정보가 유출된 경우, 또는 운영자가 해당 활동이 무단으로 이뤄졌다고 의심한 후에도 운영 환경의 대상을 계속 탐색한 경우다.
회원들은 일부 사고로 이어질 뻔한 사건도 보고하고, 프롬프트, 에이전트 추적 기록, 도구 호출, 신원, 권한 및 자격 증명을 포함한 사건 증거를 보존한다.
제안된 일정에 따르면 회원은 사고 발생 후 가능한 한 빨리 영향을 받은 조직에 통지하고, 4영업일 이내에 SAFE에 최초 기밀 보고서를 제출하며, 적절한 경우 30일 이내에 최초 사실 보고서를 공개하고, 90일 이내에 개선 조치 업데이트를 제공해야 한다.
SAFE는 사건을 분석해 반복적으로 나타나는 장애를 찾아내고 공동으로 적용할 수 있는 보안 통제 방안을 제안한다.
엔비디아 엔터프라이즈 컴퓨팅 부문 부사장 겸 총괄 책임자인 Justin Boitano는 블랙햇 콘퍼런스에서 Axios에 이 계획이 NASA의 항공 안전 보고 시스템을 본뜬 것이라고 말했다. 해당 시스템은 항공기 비행 기록 장치가 포착한 데이터를 활용해 사고를 조사할 수 있다.
이 연합은 사이버 보안 분야에 이미 존재하는 위협 인텔리전스 공유 문화 덕분에 각 기업이 어쨌든 참여할 의향을 보일 것으로 보고 있다. 엔비디아 부최고정보보호책임자 겸 부사장 Julien Soriano는 “거의 어떤 저항도 없었습니다. 사람들이 모두 참여하려 하고, 공유를 열망하는 모습을 보고 있습니다”라고 말했다.
오픈 시큐어 AI 얼라이언스는 Linux 재단이 주관하는 의견 수렴 절차를 통해 이 제안에 대한 커뮤니티의 피드백을 받고 있다.