보안 AI를 개발하는 조직들은 저마다 다른 취약점 분류 체계와 평가 기준을 쓴다. 연구 결과를 공유하고 싶어도 언어가 달라 협업은 더디고, 취약점을 발견해도 정작 필요한 팀에 제대로 전달되지 않는다. 이런 벽을 허물기 위해 등장한 것이 SAFE Guidelines(Shared AI Findings Exchange)이다.
SAFE는 AI 취약점과 평가 결과를 공유하기 위한 공통 형식과 기준을 정의하는 지침이다. Open Secure AI Alliance가 주도하며, 현재 120개 이상의 기관이 참여하고 있다. NVIDIA, Cisco, CrowdStrike, Hugging Face, Red Hat 등이 초안 작성에 참여 중이다.
취약점을 ‘어떻게’ 말할지 정하는 공통 문법
SAFE의 핵심은 공통 분류 체계와 보고 형식이다. 예컨대 프롬프트 인젝션 취약점을 발견했을 때, 어느 조직이든 동일한 기준으로 심각도를 매기고 동일한 항목으로 보고서를 작성하게 한다.
이것이 중요한 이유는 속도와 신뢰에 있다. 보안 팀이 낯선 연구자의 보고서를 처음부터 해석할 필요 없이, 정해진 형식만 보면 즉시 판단할 수 있다. SAFE는 새로운 취약점 데이터베이스를 만들자는 프로젝트가 아니라, 이미 존재하는 발견들을 서로 통하는 언어로 바꾸자는 프로젝트다. 업계가 공통 포맷에 합의하는 순간, 위협 인텔리전스 공유 속도는 비약적으로 빨라진다.
표준 언어가 도구 연결을 만나면: 실행 속도의 문제
SAFE가 정보 표현의 표준이라면, 실제 워크플로를 연결하려는 움직임도 함께 진행 중이다. Okta는 서로 다른 보안 도구들이 하나의 인증 체계로 매끄럽게 연동되도록 하는 Cross App Access(XAA)라는 개방형 프로토콜을 개발하고 있다.
CrowdStrike는 NVIDIA Nemotron Nano 모델을 사이버 방어용으로 파인튜닝해, 내부 테스트에서 Falcon LogScale 쿼리 생성 96% 정확도를 달성했다1. 복잡한 로그 분석 질의를 자연어로 입력해도, AI가 정확한 쿼리로 변환해준다.
이런 흐름은 선명한 방향을 가리킨다. 표준화된 언어(SAFE)로 취약점을 표현하고, 개방형 프로토콜(XAA)로 도구를 연결하며, 고성능 AI 모델이 그 격차를 좁히는 것이다. 공통 언어와 연결된 도구가 만나면, 단순한 정보 공유를 넘어 대응 체계 전체가 빨라진다.
지금 무엇을 관찰하고 어디서 시작할까
SAFE Guidelines은 아직 초안 단계다. 기업과 개인이 지금 당장 할 수 있는 일은 두 가지다.
첫째, SAFE 초안과 Open Secure AI Alliance의 공개 논의를 추적하라. 향후 채택 속도가 가장 빠를 분야는 규제 대응과 보안 감사다. 둘째, 내부 보안 보고 체계를 SAFE의 분류 기준과 비교해보라. 지금 쓰는 분류 체계가 SAFE와 얼마나 일치하는지 파악해두면, 나중에 채택하거나 감사 기준이 바뀔 때 격차를 빠르게 좁힐 수 있다.
공통 언어가 생기면 늘어나는 것은 문서 작업이 아니라 실행 속도다. SAFE Guidelines은 바로 그 언어의 문법을 만들고 있다.
1AI Leaders Propose SAFE Guidelines for Cybersecurity Transparency
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.