빠르게 확산하는 에이전틱 AI…보안 취약 API가 한국 AI 추진 걸림돌

모든 앱과 API 전송 및 보안을 선도하는 글로벌 기업 F5의 최신 보고서 「2025 전략 과제: 에이전틱 AI 시대의 APAC API 보안(2025 Strategic Imperatives: Securing APIs for the Age of Agentic AI in APAC)」에 따르면, 한국에서 빠르게 확산하는 에이전틱 AI가 새로운 보안 위험을 불러오고 있다. 취약한 API(Application Programming Interface)가 그 대표적 사례다. 이번 보고서는 API가 여전히 디지털 경험을 구동하는 핵심 축으로 작동하는 가운데, AI 기술의 확산으로 API 위협 양상이 어떻게 변화하고 있는지 분석했다.

한국 기업의 절반 이상은 이미 AI와 머신러닝 모델 배포에 API를 활용하고 있다. 한때 단순한 데이터 연결 역할에 그쳤던 API는 이제 에이전틱 AI 시스템이 환경을 인식하고 의사결정을 내리며, 빠르고 자율적으로 작업을 수행할 수 있게 하는 핵심 실행 기반이 됐다. 그러나 강력한 보호 장치가 없다면 잘못된 권한 설정이나 허술한 거버넌스가 대규모의 의도치 않은 피해로 이어질 수 있다.

한국 기업의 68%가 API 보안을 ‘사업에 중대한 영향을 미치는 요소’로 평가하고 있지만, 실제 대응 수준은 여전히 미흡하다. 보안 툴·프로세스·인력 측면에서 충분한 수준에 도달했다고 답한 기업은 40%에 그쳤다. 이로 인해 통제가 제대로 이뤄지지 않고 관리 체계에 허점이 발생하면서, 운영 리스크와 규제 준수 리스크가 한층 커지고 있다는 지적이다.

마노즈 메논(Manoj Menon) 트윔빗(Twimbit) 창립자 겸 CEO는 “이번 연구에 따르면 아시아태평양 지역의 많은 기업이 AI의 빠른 확산과 대규모 도입에 대응할 API 보안 준비가 부족한 것으로 나타났다”며 “전담 조직과 일관된 관리, 고도화된 역량이 부족하면 이러한 격차가 곧바로 전략적 취약점으로 이어질 수 있다. 사업 연속성, 규제 준수, 신뢰 확보를 위해서는 보다 강력한 거버넌스와 전 과정에 걸친 관리가 필요하다”고 말했다.

모한 벨루(Mohan Veloo) F5 아시아태평양·중국·일본 지역 CTO는 “AI 에이전트의 속도와 자율성을 고려하면 API 보안은 기업 운영 전반에 내재돼야 한다”며 “API 워크플로에 거버넌스, 가시성, 정책 준수를 포함해 사람과 시스템을 포함한 모든 상호작용이 실시간으로 인증·권한 검증·모니터링되도록 해야 한다. F5는 기업들이 복원성과 민첩성을 유지하면서도 AI 도입을 안정적으로 확장할 수 있도록 지원하고 있다”고 강조했다.

보고서 주요 내용은 다음과 같다.

• 비즈니스 로직 취약점, 가장 큰 보안 위협 요인: 한국 기업 3곳 중 1곳은 민감한 데이터 처리 과정에 대한 무제한적 접근(OWASP API6)을 최우선 API 보안 위험 요소로 꼽았다. 리소스 남용(OWASP API4)과 보안 설정 오류(OWASP API8)도 30% 이상이 지적됐으며, 이러한 문제는 디지털 서비스 장애와 고객 신뢰 저하로 이어질 수 있어 API 차원의 거버넌스 필요성을 보여준다.

• 섀도·좀비 API, 거버넌스 사각지대 형성: 한국 기업의 35%는 좀비 API를 고위험 요소로 평가했지만, 이를 찾아낼 효과적인 체계를 갖춘 곳은 27%에 불과했다. 노후화된 좀비 API는 문서화되지 않은 섀도 API와 함께 손쉽게 악용될 수 있는 보안 공백을 초래한다.

• API 보안 위험 대응 준비 부족: 한국 기업들은 API 보안 위협의 심각성을 인식하고 있으나, 대응 수준은 여전히 미흡하다. 대부분의 OWASP API 보안 위험에 대해 충분한 대비가 되어 있다고 답한 기업은 3분의 1에 그쳤으며, 이는 구조적 준비 부족을 드러낸다. 여전히 웹방화벽(WAF)(55%)과 ID 및 액세스 관리(IAM) 솔루션(33%) 같은 기존 경계 보안에 크게 의존하고 있어, 실시간으로 변화하는 자율적 API 상호작용을 관리하는 데 한계를 보이고 있다.

단편적 대응을 넘어 지속 가능한 보안으로: 에이전틱 AI 5대 전략 과제

조사 결과 한국 기업의 69%가 향후 1년 내 API 보안 예산을 늘릴 것으로 나타나 API 보안이 점차 이사회 차원의 우선순위로 자리잡고 있음을 보여준다. 그러나 예산 확대가 통합적 대응으로 이어지지 못하고 분산되지 않도록 일관된 관리가 필요하다.

AI 전환을 가로막을 수 있는 거버넌스 격차를 해소하기 위해, F5는 기업들이 다음 5대 전략 과제에 집중할 것을 강조했다.

1. C레벨 차원의 엔드투엔드 API 거버넌스 책임 부여: 데브옵스(DevOps)·보안·인프라 부서에 분산된 관리 체계를 통합해, API 정책을 기업의 AI·리스크·전환 전략과 연계한 거버넌스 체계 구축.

2. API 라이프사이클(발견·설정·런타임·테스트) 전 과정 관리 강화: 자동화된 발견, 접근 범위와 속도 제한 정책, 런타임 위협 탐지, 배포 전·후 테스트를 포함한 포괄적 보안 체계 구축.

3. API 트래픽 모니터링에 에이전트 인식 기반 가시성 내재화: 자율적 행동 패턴을 탐지하고, 맥락에 따라 기록하며, 사람과 시스템 활동 전반을 실시간으로 추적할 수 있는 시스템을 구축.

4. OWASP 기반 정책을 일관되게 적용: 사람과 AI 에이전트를 대상으로 기능 단위 권한 검증과 설정 오류 탐지를 위한 런타임 통제를 동일하게 적용.

5. 거버넌스 아키텍처를 통한 API 행동과 비즈니스 연계: API 행동을 에이전트의 의도와 비즈니스 성과에 맞게 연결하고, 자율 시스템이 무엇을 어떤 조건에서 수행할 수 있는지 명확히 정의하며, 에이전트의 행동을 기업 정책과 연계할 수 있는 감독 체계를 마련.

이번 연구는 트윔빗이 2025년 상반기에 F5를 대신해 에이전틱 AI 시대 아시아태평양 지역의 API 보안 현황을 평가했으며, 보안·DevOps·SecOps·애플리케이션 개발 등 다양한 분야의 전문가 1,000명을 대상으로 했다. 응답자는 한국을 비롯해 호주, 중국, 인도, 인도네시아, 일본, 말레이시아, 뉴질랜드, 싱가포르, 대만 등 아시아태평양 10개국에 분포했다.

보고서와 연구 결과는 「2025 아시아태평양(APAC) API 보안 보고서」 전문을 통해 확인할 수 있다.