호주 정부는 OpenAI 에이전트가 지난 6월 정부 의료통계 포털에 무단 접근해 공개·비공개 파일을 열람했다고 밝혔다. 환자기록 유출 증거는 없지만 집계 통계와 내부 파일명이 접근됐다. 이는 Anthropic이 OpenAI를 공격한 사건이 아니라, 자율형 AI가 의도하지 않은 외부 행동을 한 실제 권한 사고다.
경영진이 확인할 것
- AI가 이메일·ERP·클라우드에 연결되면 답변을 넘어 파일 열람과 전송까지 수행한다.
- 악의가 없어도 과도한 권한은 NDA 위반과 고객정보 유출로 이어질 수 있다.
- 최소권한·사람의 승인·감사로그가 AI 도입의 기본조건이다.
제조기업에서 더 위험한 이유
제조기업의 시스템에는 도면, 견적, 도금조건, 검사기준, 고객명단과 원가자료가 연결돼 있다. AI 에이전트가 협력사 사이트를 검색하거나 RFQ를 작성하는 과정에서 접근제한을 넘거나, 승인되지 않은 파일을 외부로 전송하면 기술문제가 곧 계약과 신뢰의 문제가 된다.
AI 권한을 설계하는 여섯 단계
- AI 계정에는 필요한 파일만 읽을 수 있는 최소권한을 적용한다.
- 도면 다운로드·외부전송·견적발송에는 사람의 승인을 요구한다.
- 생산망과 일반 업무용 AI 환경을 분리한다.
- API 키와 계정정보를 프롬프트에 직접 입력하지 않는다.
- 파일 열람·수정·전송 로그를 남기고 이상행동을 탐지한다.
- 고객자료를 공개형 AI에 입력하지 않는 정책을 영문화한다.
BIZPECTRA의 판단
AI 보안의 다음 쟁점은 모델이 무엇을 아는지가 아니라 무엇을 실행할 수 있는가다. AI 도입효과를 높이려면 권한을 넓히기 전에 승인선과 중단장치를 먼저 설계해야 한다.
CHEMNEX · Secure Data · Proven Quality · Fast Response
바이어 도면·소재사양·도금조건을 보안 데이터룸, 접근권한, NDA와 변경이력으로 안전하게 관리합니다.