.svg)
AI 솔루션 문의하기
신원 보안용 에이전트 AI는 AI 에이전트에게 신원을 부여하고, 그 신원으로 무엇을 할 수 있는지 관리하는 보안 체계를 말합니다. 에이전트 AI 신원 보안이라고도 부르며, 에이전트마다 ID를 발급하고 권한을 나누고 행동을 기록하는 것이 핵심입니다. 그런데 에이전트의 신원은 스스로 생기지 않습니다. 누군가 에이전트를 등록하고 권한을 맡겼기 때문에 존재합니다. 그래서 에이전트 신원의 출발점은 에이전트를 처음 등록한 사람이 실제로 누구인지에 대한 증명이고, 이 증명이 약하면 그 위에 쌓은 모든 신원 관리가 함께 약해집니다.
에이전트 ID를 아무리 잘 관리해도, 처음 등록한 사람이 남의 계정을 쓴 공격자였다면 그 에이전트의 모든 기록은 공격자를 정상 사용자로 인정하게 됩니다. 이후의 권한 관리, 승인, 감사는 모두 이 최초 등록 정보를 기준으로 움직이기 때문입니다. 예를 들어 구매 담당자의 계정을 탈취한 공격자가 그 이름으로 구매 에이전트를 등록하면, 이후 에이전트가 낸 주문과 결제는 모두 구매 담당자가 맡긴 정상 업무로 기록됩니다. 계정 아이디와 비밀번호, 문자 인증번호만으로 등록을 받으면 탈취한 계정으로도 쉽게 통과할 수 있습니다. 이런 정보는 피싱 한 번으로 함께 빼앗길 수 있기 때문입니다. 그래서 최초 신원 증명은 계정을 가진 사람이 아니라 실제 사람을 확인하는 방식으로 해야 하고, 그 중심에 라이브니스가 있습니다. 라이브니스는 카메라 앞에 실제 사람이 있는지를 확인하는 기술로, 신분증과 얼굴 매칭이 놓칠 수 있는 사진이나 영상 위조를 걸러 내는 역할을 합니다.
에이전트를 등록하는 사람의 신원은 다음 네 단계로 확인하는 것이 일반적입니다. 각 단계는 서로 다른 위조를 막기 때문에 하나라도 빠지면 빈틈이 생깁니다.
단계별 결과는 따로 기록해 두어야 어느 단계에서 실패했는지 알 수 있고, 사용자에게도 처음부터 다시 하게 하지 않고 실패한 단계만 다시 안내할 수 있습니다. 에이전트의 권한 수준에 따라 1원 인증처럼 일부 단계를 선택 항목으로 두는 것도 방법입니다.
최초 신원 증명을 한 번에 처리하려면 신분증, 얼굴, 계좌 확인이 하나의 환경에서 자연스럽게 이어져야 합니다. 알체라 eKYC는 신분증·얼굴·계좌 인증을 통합 제공하며, 얼굴 인증 단계에서는 촬영된 얼굴의 위변조 여부를 판별한 뒤 신분증 사진과 매칭합니다. 1원 인증은 금융결제원 오픈뱅킹 API와 연동해 오픈뱅킹과 펌뱅킹 방식을 모두 지원하므로, 결제 권한을 맡기는 에이전트의 등록 단계에도 그대로 적용할 수 있습니다.
최초 신원 증명은 한 번 통과하면 오랫동안 효력을 갖습니다. 이후 에이전트가 수없이 많은 작업을 하는 동안 이 증명 결과가 계속 기준으로 쓰입니다. 그래서 처음 한 번의 확인에서 위조를 놓치면 그 피해가 오래 이어집니다. 매일 하는 로그인보다 최초 등록 단계에 더 강한 확인을 두어야 하는 이유입니다.
또 생성형 AI가 발전하면서 공개된 사진 몇 장으로도 그럴듯한 얼굴 영상을 만들 수 있게 되었습니다. 임원이나 관리자처럼 공개된 사진이 많은 사람일수록 얼굴을 흉내 내기 쉬워졌습니다. 얼굴 매칭만 하는 방식은 이런 위조 앞에서 그대로 통과될 수 있으므로, 처음부터 라이브니스를 함께 넣어야 합니다. 나중에 위조로 등록된 사실이 드러나면 그동안 에이전트가 처리한 작업을 모두 다시 확인해야 하므로, 처음에 한 단계를 더 두는 편이 운영 비용 면에서도 유리합니다.
라이브니스는 사용자에게 동작을 요청하는지에 따라 능동 방식과 수동 방식으로 나뉩니다.
고개를 좌우로 돌리거나, 눈을 깜빡이거나, 화면에 나온 지시대로 표정을 짓게 해서 실제 사람인지 확인하는 방식입니다. 사용자가 무엇을 확인받는지 이해하기 쉽다는 장점이 있습니다. 반면 동작을 따라 하는 데 시간이 걸리고, 지시를 놓치면 실패가 늘어납니다. 정해진 동작을 흉내 내도록 만든 영상에 대비해야 한다는 점도 고려해야 합니다.
별도 동작 없이 촬영한 얼굴 이미지에서 피부 질감, 빛 반사, 화면이나 종이 특유의 흔적 같은 단서를 분석해 실제 사람인지 판단하는 방식입니다. 사용자는 카메라를 바라보기만 하면 되므로 빠르고 편합니다. 대신 단서를 분석하는 기술의 수준이 결과를 크게 좌우하므로, 국제 평가를 통과한 기술인지 확인하는 것이 중요합니다. 얼굴 위변조 탐지에 대해서는 ISO/IEC 30107-3 같은 국제 표준과 이를 기준으로 한 독립 시험 기관의 평가가 있어, 솔루션을 고를 때 참고 기준으로 삼을 수 있습니다.
최초 신원 증명처럼 정확도가 중요한 단계에서는 검증된 수동 방식을 기본으로 쓰고, 의심 신호가 있을 때 능동 방식을 추가로 요청하는 조합도 많이 씁니다. 처음 보는 기기에서 등록하거나 같은 계정에서 실패가 반복되는 경우가 대표적인 추가 확인 조건입니다.
라이브니스가 주로 막는 것은 카메라 앞에 실제 사람이 아닌 것을 보여 주는 프레젠테이션 공격입니다.
다만 카메라를 거치지 않고 가상 카메라나 에뮬레이터로 영상을 직접 넣는 인젝션 공격은 프레젠테이션 공격과 방식이 다릅니다. 이 공격은 촬영 환경과 기기 상태를 확인하는 별도 장치로 대비해야 하므로, 라이브니스만으로 모든 위조를 막는다고 보면 안 됩니다. 위조 수법은 계속 바뀌므로 솔루션을 한 번 도입하고 끝내지 않고, 새로운 공격 유형에 맞춰 탐지 기술이 꾸준히 갱신되는지도 함께 확인해야 합니다.
최초 신원 증명을 마쳤다면 그 결과가 에이전트 신원 정보와 연결되어야 합니다. 에이전트 등록 정보에 등록한 사람의 ID, 증명 시각, 거친 단계, 각 단계의 결과를 함께 남깁니다. 결제 권한처럼 1원 인증이 필요한 에이전트라면 계좌 확인 결과도 함께 기록합니다.
최초 증명은 한 번으로 끝나지 않을 수 있습니다. 등록한 사람이 기기를 바꾸거나, 오랫동안 쓰지 않던 에이전트를 다시 쓰거나, 에이전트의 소유자가 바뀌는 경우에는 같은 순서로 다시 증명받도록 정해 둡니다. 이렇게 하면 시간이 지나도 에이전트 신원의 출발점이 실제 사람과 계속 연결됩니다. 증명 기록에는 원본 얼굴 이미지 대신 확인 결과를 중심으로 남기고, 생체정보는 민감정보로 별도 동의를 받아 정해진 기간이 지나면 파기하도록 운영 기준을 함께 정합니다.
.png)
.svg)
.svg)
