프롬프트 인젝션이 드러낸 AI 거버넌스 공백과 법무 책임자 과제

프롬프트 인젝션이 드러낸 AI 거버넌스 공백과 법무 책임자의 과제

Lexology는 ‘Prompt injection exposes a wider AI governance gap’에서 대화형 AI가 외부 입력에 속아 내부 지침을 무시하는 프롬프트 인젝션을 사례로 들며, 기업 AI 거버넌스 체계의 통제 공백을 지적하고 법무 총괄(GC)의 대응 역할을 제시한다.
프롬프트 인젝션은 이메일·문서·웹페이지에 숨겨진 지시가 AI 에이전트에 흡수돼 정책, 접근권한, 금지행위를 우회하게 만드는 공격으로 설명되며, 단순 모델 취약점이 아니라 데이터·권한·업무 절차를 아우르는 운영 거버넌스의 결함으로 규정한다.
기사에서 GCs는 AI 정책 문서 작성자에 그치지 않고, AI 에이전트가 접근하는 시스템 목록과 승인 절차를 총괄하는 ‘AI 운영 안전 책임자’로서, 프롬프트 인젝션을 전제로 한 스트레스 테스트와 내부 보고 체계 마련을 요구받는다고 강조한다.
Lexology는 기업 AI 도입이 2024~2025년 사이 급증하면서도, ISO/IEC 42001 같은 AI 관리 시스템 표준 적용과 실제 런타임 통제는 뒤따르지 못하고 있다고 언급하며, AI 사용 부서 수, 연간 프로젝트 수에 비해 승인된 거버넌스 프레임워크는 극히 제한적이라고 지적한다.
이 분석은 AI를 사용하는 조직에서 통제 공백이 주로 런타임 단계, 즉 프롬프트·도구 호출·데이터 접근이 이루어지는 시점에 집중돼 있고, 이를 메우지 못한 상태에서 생산성 도입이 확산될 경우 규제 조사, 데이터 유출, 계약 위반이 동시다발적으로 발생할 수 있음을 경고한다.
한국 정책 관점에서 프롬프트 인젝션은 향후 공공 AI 챗봇·행정 보조 에이전트의 오작동을 유발할 수 있으므로, AI 보안 가이드라인에 ‘프롬프트 인젝션 대비 런타임 거버넌스’ 항목을 포함하고, 국가·지자체·대형 기업의 법무·보안 조직에 역할 분담과 인증 기준을 제시하는 것이 시급하다.