[데일리환경=정이든 기자] 인공지능(AI)이 공항의 안전을 살피고 발전설비 운영을 돕는 등 공공서비스 현장으로 쓰임을 넓히고 있다. 정부가 공공기관의 AI 활용 성과를 공유하며 시민들이 일상에서 체감할 수 있는 서비스 확산에 나섰다. 과학기술정보통신부와 재정경제부는 10월 28일 서울 마포구 누리꿈스퀘어에서 ‘2026 공공기관 AI 혁신 성과대회’를 공동 개최했다. 이번 행사는 ‘전 국민 AI 경진대회’ 공공분야의 ‘공공기관 AI 혁신 챌린지’ 성과를 공유하기 위해 마련됐다.이번 챌린지에는 105개 기관이 316건의 과제를 제출했다. 정부는 전문가 심사를 거쳐 이 가운데 30건을 혁신 우수과제로 선정했다.대상은 한국서부발전과 인천국제공항공사가 받았다. 서부발전의 ‘AI 운영 K-가스터빈’은 AI 서비스 실증·개념검증 부문에서, 인천공항공사의 ‘AI 기반 항공 안전관리’는 AI 활용 우수사례 부문에서 각각 선정됐다. 개념검증은 기술이나 서비스가 실제 현장에서 구현될 수 있는지 확인하는 과정이다. 행사에서는 고독사 예방과 정품인증, 금융안전, 복지안전망 등 생활과 밀접한 분야의 AI 활용 사례도 소개됐다. 문서를 작성하고 질문에 답하는 데 익숙했던 AI가 시설 운영과 안전관리, 돌봄 등 공공서비스 전반으로 적용 범위를 넓혀가는 모습이다.과기정통부는 독자 AI 모델 개발과 AI 연산 기반 확충, 국산 신경망처리장치(NPU)의 실증·확산 지원 등을 통해 공공 현장의 AI 활용을 뒷받침할 계획이다. NPU는 AI 연산을 효율적으로 처리하도록 설계된 반도체다.

[데일리환경=유승철 기자] 일본 교토대병원이 파킨슨병 환자에게 유도만능줄기(iPS)세포 유래 도파민 신경 전구세포 치료제 ‘암체프리(일반명 라구네프로셀)’를 이식하는 수술을 시작했다. 병원은 2026년 10월 수술을 받은 50대 여성 한 명이 수술 뒤 경과가 양호해 퇴원했다고 10월 30일 공개했다.이번 수술은 일본에서 조건부·기한부 승인을 받은 제품의 시판 후 임상시험이 실제 환자 이식 단계에 들어간 사례다. 정확한 수술 날짜와 장기 치료 효과는 공개되지 않았다. 암체프리는 건강한 기증자의 혈액세포에서 만든 동종 iPS세포를 분화시켜 제조한 도파민 신경 전구세포 제품이다. 도파민 신경세포가 줄어 운동 증상이 나타나는 파킨슨병에서, 뇌의 피각에 세포를 이식해 도파민 신호를 보완하고 운동 증상을 개선하는 것이 치료 목표다.일본 후생노동성은 기존 약물치료, 레보도파 제제를 포함해도 충분한 효과를 얻지 못한 환자의 운동 증상 개선을 적응증으로 2026년 3월 6일 조건부·기한부 제조판매를 승인했다.이번 일을 ‘사람에게 처음 시행된 파킨슨병 세포이식’으로 표현해서는 안 된다. 교토대병원은 2018년부터 의사 주도 임상시험을 진행했고, 앞선 시험에서 이미 7명이 이식을 받았다. 이번에 새롭게 알려진 것은 승인 전 초기 임상시험의 첫 이식이 아니라 승인 뒤 진행되는 시판 후 임상시험에서 첫 환자 수술이 이뤄졌다는 점이다. 스미토모파마의 2026회계연도 2분기 발표자료에 따르면 회사는 해당 회계연도에 1~2명을 이식할 계획이다. 후속 회계연도의 이식 목표도 보도됐지만 아직 계획 수치인 만큼 실제 시행 실적으로 읽어서는 안 된다.승인의 근거가 된 초기 임상 결과는 가능성을 보여주는 동시에 해석의 한계를 드러낸다. 교토대병원과 후생노동성 자료에 따르면 임상시험은 한 기관에서 소수 환자를 대상으로 공개·비대조 방식으로 진행됐다. 7명이 이식받았고 유효성 분석에는 6명이 포함됐다. 이 가운데 4명은 수술 24개월 뒤 약효가 약해지는 시간대의 운동 증상 평가에서 개선을 보였으며, 뇌 영상에서는 이식 세포의 생착과 도파민 생성 관련 신호가 관찰됐다. 그러나 비교 대조군이 없는 소규모 시험 결과만으로 치료 효과의 크기나 환자별 반응을 확정할 수는 없다.후생노동성이 적용한 조건부·기한부 승인 제도는 제한된 임상자료에서 유효성을 추정해 환자 접근을 앞당기는 대신, 판매 뒤 전 사례 조사와 추가 임상자료로 효과와 안전성을 계속 확인하는 방식이다. 정부 자료도 암체프리 승인에 이 조건이 붙었음을 명시했다. 회사는 정해진 기간 안에 시판 후 임상시험과 사용성적 조사 등을 진행해 정식 승인을 위한 근거를 보강해야 한다. 따라서 이번 첫 이식은 치료 성과가 입증됐다는 선언이 아니라 승인 뒤 검증 절차가 시작됐다는 의미에 가깝다.교토대병원은 퇴원 환자의 상태를 계속 관찰하면서 치료의 유효성과 안전성을 확인하겠다고 밝혔다. 현재 공개된 병원 발표는 수술 후 경과와 퇴원 사실을 전하지만, 해당 환자에게 운동 기능 개선이 나타났는지 또는 장기적으로 어떤 효과가 지속될지는 설명하지 않는다. 퇴원은 수술 뒤 회복 상황을 가리키며 치료 효과의 판정과는 구별해야 한다. 초기 시험에서 중대한 이상사례가 없었다는 결과도 앞으로 이뤄질 시판 후 환자군의 안전성을 대신하지 않는다.이번 사례는 세포를 실제 환자에게 적용하는 단계와 근거를 축적하는 단계가 동시에 진행되는 재생의료의 특성을 보여준다. 이식 세포의 제조 품질, 뇌 안에서의 생착, 면역·수술 관련 위험, 시간이 지난 뒤의 운동 증상 변화는 더 많은 환자와 긴 추적 관찰을 통해 확인해야 할 과제다. 환자 수와 시험 일정은 회사 계획에 따라 달라질 수 있어, 발표된 목표를 확정된 치료 규모로 해석해서는 안 된다.한국 독자에게도 주목할 사례지만 일본의 승인 사실만으로 국내 환자에게 해당 치료를 제공할 수 있거나 국내에서 효과가 확인됐다고 볼 수는 없다. 확인된 자료는 일본의 허가와 교토대병원 수술, 일본 내 시판 후 검증 계획에 관한 것이다. 국내 도입 여부나 한국 환자 대상 임상·허가 일정은 이번에 확인한 자료에서 확인되지 않았다. 앞으로는 초기 시험의 긍정적 신호뿐 아니라 시판 후 자료에서 환자별 효과와 부작용이 어떻게 나타나는지, 조건부 승인 요건을 충족할 근거가 축적되는지를 살펴볼 필요가 있다.

[데일리환경=유승철 기자] 오픈AI가 10월 29일 모델의 바람직한 행동 기준을 설명하는 공개 문서 ‘Model Spec’을 개정했다. 개정판은 지침을 인간 의도에 대한 충실성, 위해 최소화, 정직과 투명성, 인간의 주도권, 배려라는 다섯 가치로 재구성했다. 새 모델을 발표한 것이 아니라 모델이 따라야 할 행동 원칙과 판단 기준을 손본 것이다. OpenAI는 모델이 더 복잡하고 중요한 행동을 맡게 될수록 사용자의 문장을 그대로 따르는 데 그치지 않고 의도와 상황을 이해해야 한다고 설명했다. 개정판은 기존 원칙을 새로 만들었다기보다 여러 곳에 흩어져 있던 원칙을 가치 중심으로 설명하고, 맥락·감독·사용자 주도권에 관한 지침을 보강했다. 안전 경계와 조정 가능한 기본값도 구분해, Model Spec의 모든 항목이 같은 방식으로 바뀔 수 있는 것은 아니라고 정리했다. 따라서 사용자가 기본 응답 방식에 의견을 낼 수 있다는 점과, 안전 경계나 상위 지침까지 임의로 바꿀 수 있다는 점은 구분해야 한다.첫 번째 가치인 ‘인간 의도에 대한 충실성’은 지시를 글자 그대로 실행하는 것보다 사용자가 무엇을 이루려는지 이해하는 데 무게를 둔다. 새 ‘맥락을 신중히 고려’ 절은 이전 대화나 기억에서 관련 있는 선호를 활용하되, 그 근거를 사용자가 알아보고 고칠 수 있게 하도록 안내한다. 반대로 과거 정보가 현재 요청과 무관하거나 다른 사람에게 공개될 수 있는 상황에서는 맥락을 과도하게 끌어오지 않도록 했다.개정판은 정당한 인간의 감독과 수정에 협력하고 사람의 통제 아래 있어야 한다는 원칙을 최상위 규칙으로 명시했다. 점검·평가·수정·대체·중단 지시에 협조해야 하며, 관련 정보를 숨기거나 사실과 다르게 말하고 감독을 방해해서는 안 된다는 내용이다. 자율적으로 행동하는 경우에도 합의된 범위를 넘지 않고, 허가받지 않은 행동을 다른 경로로 우회해 실행하지 않도록 규정했다.나머지 세 가치도 모델의 판단 기준을 구체화한다. 위해 최소화는 예상 가능한 결과와 안전 경계를 고려하게 하고, 정직과 투명성은 모델이 아는 것과 모르는 것, 실제로 한 행동을 분명히 알리도록 요구한다. 인간의 주도권은 사용자가 이해하고 선택하고 행동할 능력을 키우는 데 초점을 둔다. 배려는 결과에 영향을 받는 사람들의 상황과 사회·전문 규범을 고려하도록 설명한다.문서의 표현 방식도 달라졌다. 오픈AI는 세부적인 말투·성격 지침 대부분을 걷어내고 언어와 문화, 개인의 선호에 맞춰 응답 스타일을 조정하도록 했다. 질문에 객관적으로 답하는 기본 원칙 등은 남겼다. 또 문서에서 모델을 가리키던 ‘assistant’를 ‘GPT’로 바꿨다. 오픈AI는 모델의 활용 범위가 대화형 제품을 넘어 넓어지는 흐름을 반영했다고 설명했다.개정 문서가 곧 실제 모델의 성능이나 안전성이 개선됐다는 뜻은 아니다. 오픈AI는 현재 모델이 새 Model Spec을 아직 완전히 반영하지 못한다고 밝히고, 원칙을 학습시키는 새 방법을 연구 중이라고 했다. 로이터와 일본 ITmedia도 29일 개정 사실과 다섯 가치, 맥락·감독 지침 보강을 보도했다. 두 보도는 발표 내용을 확인하지만, 새 원칙이 실제 모델 행동에 얼마나 반영됐는지를 독립적으로 평가한 결과는 아니다.한국에서는 AI 기본법이 2026년 1월 22일부터 시행 중이다. 법 제31조는 고영향 또는 생성형 인공지능을 이용한 제품·서비스에 대해 이용자 사전 고지와 생성형 AI 결과물 표시를 규정하고, 실제와 구분하기 어려운 가상 음향·이미지·영상에는 AI 생성 사실을 명확히 알리도록 한다. 이는 사업자에게 적용되는 국내 법적 투명성 의무로, 오픈AI가 자사 모델의 목표 행동을 설명하는 Model Spec과는 성격이 다르다.이번 개정의 의미는 새로운 원칙의 선언뿐 아니라 모델이 맥락을 어떻게 사용하고, 사람의 감독·중단에 어떻게 반응해야 하는지를 공개 문서에서 더 구체적으로 설명한 데 있다. 다만 문서는 목표 행동을 제시하는 기준이다. 실제 변화 여부를 판단하려면 공개된 원칙과 서비스에서 관찰되는 행동, 평가 결과가 지속적으로 맞아가는지를 따로 확인해야 한다.

[데일리환경=정이든 기자] 교실에서 정답을 외우는 대신 친구들과 머리를 맞대고 문제를 해결한다. 교수가 설명하는 내용을 받아 적기보다 직접 프로그램을 만들고, 오류를 찾아 고치며, 완성한 결과물로 자신의 실력을 증명한다. 인공지능(AI)이 산업과 일상을 빠르게 바꾸는 시대, 소프트웨어 교육의 풍경도 달라지고 있다.대전에 강의와 시험 중심의 전통적인 교육방식에서 벗어나 동료학습과 실전 프로젝트를 통해 인공지능과 소프트웨어 역량을 기르는 새로운 교육거점이 문을 열었다.과학기술정보통신부는 지난 28일 대전 이노베이션아카데미 개소식을 개최하고, 한국형 혁신교육 프로그램인 '코디세이(Codyssey)'를 본격 운영한다고 밝혔다.이번 대전 이노베이션아카데미는 청년들이 인공지능과 소프트웨어 분야의 실무역량을 기르고, 지역 산업과 연결되는 디지털 인재로 성장할 수 있도록 지원하기 위해 마련됐다.교육의 중심에는 '코디세이'가 있다.코디세이는 코딩(Coding)과 오디세이(Odyssey)를 결합한 이름으로, 소프트웨어 개발을 하나의 탐험과 성장 과정으로 바라보는 교육 프로그램이다.교육생들은 정해진 교과서의 내용을 일방적으로 전달받기보다 동료들과 함께 과제를 수행하면서 필요한 지식과 기술을 스스로 찾아 익힌다.프로그램을 설계하고 코드를 작성하는 과정에서 예상하지 못한 오류가 발생하면 문제의 원인을 분석하고 해결책을 찾아야 한다. 다른 교육생이 작성한 코드를 살펴보고 개선점을 제안하는 동료평가도 중요한 학습 과정이다.이처럼 문제를 발견하고 해결하는 경험을 반복하면서 실제 소프트웨어 개발현장에서 요구되는 협업과 의사소통 능력을 함께 기르는 방식이다.특히 인공지능 기술이 빠르게 발전하면서 단순히 프로그래밍 언어를 익히는 것만으로는 산업현장의 변화에 대응하기 어려워지고 있다.인공지능 모델을 실제 업무에 활용하려면 데이터를 이해하고, 적절한 도구를 선택하며, 결과의 정확성을 검토하는 능력이 필요하다.코디세이 교육은 이러한 기술 변화에 맞춰 프로젝트를 수행하면서 필요한 지식을 익히고, 스스로 학습하는 역량을 키우는 데 중점을 둔다.교육생들이 팀을 구성해 문제를 해결하는 과정은 실제 기업의 개발환경과도 닮아 있다.기업에서는 개발자가 혼자 모든 프로그램을 완성하기보다 여러 구성원이 역할을 나누고, 서로의 코드를 검토하며 하나의 서비스를 완성한다.기술적인 문제뿐 아니라 의견 차이를 조정하고, 계획을 수정하며, 제한된 시간 안에 결과물을 만들어내는 능력도 중요하다.대전 이노베이션아카데미는 이러한 실무환경을 교육과정에 반영해 청년들이 현장에서 활용할 수 있는 역량을 기르도록 지원할 계획이다.대전은 국내 대표적인 과학기술 연구개발 거점이라는 점에서도 이번 교육시설의 의미가 크다.대덕연구개발특구를 중심으로 정부출연연구기관과 대학, 기술기업이 밀집해 있으며, 인공지능과 정보통신, 바이오, 제조기술 등 다양한 분야의 연구개발이 이뤄지고 있다.이 같은 지역적 특성은 교육생들이 기술을 배우는 데 그치지 않고 연구기관과 기업이 실제로 필요로 하는 문제를 이해하는 데에도 도움이 될 것으로 기대된다.지역 기업과의 협력을 통해 현장 수요에 맞는 프로젝트를 발굴하고, 교육생들이 실무 경험을 쌓을 수 있는 기회를 확대하는 것도 중요한 과제다.코디세이는 대학의 정규 학위과정과는 다른 비학위 교육 프로그램이다.학위 취득보다는 실제 개발능력과 문제해결 역량을 기르는 데 초점을 맞춘다. 교육생들은 프로젝트를 수행하며 자신이 작성한 코드와 개발 결과물, 협업 경험 등을 포트폴리오로 축적할 수 있다.이는 취업과 창업을 준비하는 청년들이 자신의 기술 역량을 구체적으로 보여주는 자료가 될 수 있다.다만 비학위 교육과정이 대학 학점이나 국가자격으로 자동 인정되는 것은 아니며, 교육생 선발과 교육기간, 세부 운영방식 등은 공식 모집 공고에 따라 확인해야 한다.인공지능 기술이 빠르게 발전하는 만큼 새로운 도구를 배우고 변화에 적응하는 능력도 중요해지고 있다.오늘 배운 기술이 몇 년 뒤에도 그대로 사용된다는 보장이 없는 시대에는 하나의 프로그래밍 언어를 얼마나 많이 알고 있는가보다 새로운 문제를 만났을 때 스스로 해결 방법을 찾아가는 능력이 더욱 중요해질 수 있다.대전 이노베이션아카데미가 추구하는 교육 역시 이러한 변화와 맞닿아 있다.교육생들이 서로 가르치고 배우며, 실패한 코드를 다시 수정하고, 작은 프로젝트를 하나씩 완성하는 경험은 기술을 익히는 과정인 동시에 스스로 문제를 해결하는 힘을 기르는 시간이 된다.이번 개소는 수도권에 집중되기 쉬운 첨단 디지털 교육기회를 지역으로 확대한다는 점에서도 의미가 있다.청년들이 지역에서 수준 높은 인공지능과 소프트웨어 교육을 받고, 지역 기업과 연구기관에서 자신의 역량을 펼칠 수 있는 기반이 마련된다면 지역의 디지털 산업 생태계에도 새로운 활력을 불어넣을 수 있을 것으로 기대된다.인공지능 시대의 교육은 더 이상 정답을 빠르게 찾아내는 일에만 머무르지 않는다.무엇이 문제인지 질문하고, 동료들과 생각을 나누며, 실패한 결과를 다시 고쳐 나가는 과정에서 새로운 기술이 만들어진다.대전에서 문을 연 작은 배움의 공간이 앞으로 어떤 프로그램과 서비스를 탄생시킬지는 아직 알 수 없다. 그러나 그곳에서 시작될 수많은 질문과 도전이 지역의 미래를 바꾸는 새로운 가능성이 될 수 있다.

[데일리환경=유승철 기자] NASA의 루시(Lucy) 탐사선이 목성 궤도를 함께 도는 트로이 소행성군이 자리한 영역에 들어섰다. 2021년 10월 16일 발사된 지 약 5년 만이며, NASA는 루시가 지금까지 22억마일(약 35억km) 넘게 비행했다고 28일 밝혔다. 이번 발표는 소행성 근접관측이나 착륙이 아니라 탐사선이 목표 천체들이 분포한 우주 영역으로 이동한 단계에 관한 것이다. 트로이 소행성은 목성 가까이에 모여 있는 것이 아니라 태양을 도는 목성과 같은 궤도에 놓인 두 무리다. 한 무리는 목성보다 앞서고 다른 무리는 뒤따르며, 각각 태양·목성과 중력이 균형을 이루는 라그랑주점 L4와 L5 부근에 모여 있다. NASA에 따르면 이 천체들은 평균적으로 목성에서 태양까지의 거리만큼 떨어져 있다. 따라서 이번 이정표를 ‘루시가 목성에 도착했다’거나 ‘소행성에 접근해 촬영했다’고 표현하면 실제 임무 단계와 다르다.우주 공간에는 트로이 소행성 영역의 선명한 경계가 따로 그어져 있지 않다. NASA는 탐사선이 L4 쪽으로 다가오는 위치를 통신 전파와 주변 별의 영상을 이용해 추적한다고 설명했다. 발표문은 28일 오전 10시 11분 게시됐지만 시간대는 표시하지 않았고, 루시가 경계에 들어선 정확한 순간도 공개하지 않았다. NASA가 알린 ‘영역 진입’과 L4 지점 도착, 첫 소행성 근접비행을 서로 다른 단계로 구분할 필요가 있다.이번 여정의 과학적 목적은 태양계 초기의 흔적을 여러 천체에서 비교하는 데 있다. 트로이 소행성은 45억년 전 행성들이 만들어지던 시기의 잔재로 여겨진다. NASA 과학자들은 이 천체들이 바깥 태양계 여러 곳에서 형성된 뒤 행성들의 중력 작용을 거쳐 현재 위치에 모였을 가능성을 연구 가설로 다룬다. 구성과 색, 크기가 다양한 천체들을 가까이서 관측하면 거대 행성의 형성과 태양계 초기 이동을 설명하는 이론을 다듬는 데 도움이 될 것으로 기대된다. NASA의 설명에 따르면 과학자들은 한때 이 천체들이 현재 위치에서 형성됐다고 봤지만, 이후 다양성이 확인되면서 바깥 태양계 여러 곳에서 만들어진 뒤 행성의 중력에 흩어져 정착했을 가능성도 제시했다. 루시의 다중 목표 관측은 이 형성·이동 시나리오를 비교할 자료를 마련하는 과정이다.다만 본격적인 트로이 소행성 관측은 아직 시작되지 않았다. 루시의 첫 트로이 목표는 에우리바테스와 위성 퀘타로, NASA 일정상 2027년 8월 11일 근접비행이 예정돼 있다. 탐사선은 천체 주위를 도는 대신 빠르게 스쳐 지나가며 카메라와 분광기, 열방출 관측기 등으로 표면의 모습과 성분, 온도 특성을 살피고 전파 신호 변화로 질량을 추정한다. 짧은 비행 시간에 여러 종류의 자료를 모으는 방식이다. 목표 천체의 궤도에 들어가거나 착륙하지 않는 이유는 여러 소행성에서 속도를 줄이고 공전하는 데 연료가 많이 들기 때문이다. NASA는 루시를 이후 탐사를 위한 선발대로 설명하며, 영상·분광·열·질량 자료를 모아 미래 임무의 목표 선정과 관측 계획에도 활용할 수 있다고 본다.에우리바테스 이후에는 2027년 9월 폴리멜레, 2028년 4월 레우쿠스, 같은 해 11월 오루스를 방문할 계획이다. NASA는 이어 루시가 2030년 지구로 돌아와 마지막 중력도움 비행을 한 뒤, 목성 뒤쪽 L5 무리의 파트로클로스와 메노이티오스 쌍을 2033년 3월 탐사한다고 밝혔다. 임무는 한 소행성을 정밀하게 도는 대신 서로 다른 특성을 지닌 여러 대상을 연속해서 통과하도록 설계됐다.NASA는 루시가 트로이 소행성군을 탐사하는 첫 우주선이라고 설명한다. 이 임무는 12년 동안 주 소행성대 천체와 트로이 천체들을 차례로 조사하도록 계획됐다. 이번 영역 진입은 탐사선이 장거리 이동을 마치고 다음 과학 단계에 가까워졌다는 이정표지만, 새로운 소행성의 발견이나 표면 자료 공개를 뜻하지는 않는다. 실제 성과는 2027년 이후 근접비행에서 얻는 이미지와 분광·열·질량 자료가 공개된 뒤 평가할 수 있다. 여러 천체를 순차 방문하는 설계는 한 곳의 특성만으로 전체 트로이군을 설명하기 어려운 문제를 보완한다. 서로 다른 색과 크기, 표면 성분을 지닌 천체를 비교해 형성 장소와 이동 경로를 함께 따져보는 것이 임무의 관측 전략이다.이번 발표에서 확정된 사실은 루시의 위치가 트로이 소행성군 탐사 구간에 들어섰다는 NASA의 임무 공지다. L4·L5의 천체가 어떻게 형성되고 현재 위치에 모였는지에 관한 설명은 향후 관측으로 시험할 연구 가설이다. 따라서 이번 사건의 의미는 결론을 이미 얻었다는 데 있지 않고, 태양계 기원에 대한 서로 다른 설명을 비교할 여러 관측 대상에 본격적으로 접근했다는 데 있다.

이상한 가을이다. 은행에서 시작된 해킹 소식이 저축은행, 캐피탈, 증권사, 가상자산 거래소로 번졌다. 이달 금융당국이 확인한 침해 사고만 열여섯 개사. 이 글을 쓰는 사이에도 명단은 늘고 있다. 한 회사가 뚫리면 그 회사의 실수다. 열여섯 개사가 연달아 뚫리면 금융권 전체의 문제다.뚫린 자리에 공통점이 있다. 핵심 거래 시스템이 아니라 가장자리다. 대출 중개 연동 서버, 비대면 계좌 연계 서버, 사내 그룹웨어. 한 은행에서는 본인확인 절차에 값을 반복해 넣는 수법으로 2만 5천여 명의 정보가 빠졌고, 한 증권사에서는 정상 요청처럼 꾸민 접속 시도 6만 번이 비대면 계좌 서버를 두드렸다. 금고 문은 두꺼웠는데, 금고에 연결된 옆방 창문들이 열려 있었다.이유가 있다. 보안 투자는 계속 핵심 시스템에 몰렸고, 그 사이 비대면 경쟁으로 외부와 연결된 시스템은 해마다 늘었는데 이쪽은 핵심만큼 대접받지 못했다. 당국이 555개사를 점검해보니 130개사에서 미비점이 나왔는데 항목이 낯익다. 패치 미적용, 지원 끝난 장비, 24시간 관제 부재. 전부 오래된 숙제다. 공격자가 천재라서 뚫린 게 아니다. 모두가 아는 허점이 모두의 회사에 그대로 있었다.불편한 질문도 하나 해보자. 이 회사들, ISMS 인증 없었나? 있었다. 금융사는 대부분 인증 의무 대상이라 인증서를 걸어놓고 정기 점검까지 통과해온 회사들이다. 그런데 뚫렸다. 인증이 가짜라서가 아니다. 인증은 심사 범위에 든 시스템을 심사하던 그 시점에 확인한 문서다. 이번에 뚫린 가장자리들은 범위 밖에 있었거나, 심사 뒤에 생겼거나, 서류에는 있는데 실제로는 돌지 않던 곳이다. 인증서는 최소한을 증명하지, 방어를 보증하지 않는다.더 아픈 건 늦은 탐지다. 한 거래소는 9월 초에 시작된 수상한 접근을 10월에야 알았고, 다시 세어보니 유출 규모가 백 건대에서 이천 건대로 늘어난 곳도 있다. 침입은 막지 못할 수 있다. 그런데 한 달을 모르고 있었고 처음 센 숫자도 틀렸다. 들어와 있는 걸 못 보고 있었다는 뜻이다.그래서 뭘 해야 하나. 점검표를 하나 더 만드는 일은 아닐 거다. 먼저 인터넷에 닿아 있는 시스템이 몇 개고 누가 관리하는지부터 세어야 한다. 뚫린 곳들은 몰라서 안 지킨 게 아니라 목록에 없어서 못 지켰을 가능성이 크다. 관제의 눈도 옮겨야 한다. 알려진 공격 패턴을 기다리지 말고, 멀쩡한 계정이 갑자기 수만 건을 조회하는 순간을 봐야 한다. 이번 공격들은 전부 정상처럼 보이는 요청으로 들어왔다.열여섯이라는 숫자는 부끄럽지만 쓸모가 있다. 한 회사의 사고는 변명이 가능해도 열여섯 개사의 사고는 구조를 드러낸다. 이 가을이 금융 보안의 흑역사로 남을지, 가장자리까지 지키기 시작한 원년이 될지는 지금부터 몇 달이 정한다. "금고 문을 자랑하는 시대는 끝났다. 이제 창문 개수를 세는 회사가 안전한 회사다."* 본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.