웍스AI 도입을 둘러싼 보안성검토와 내부망 제약

27일 오전, 공공AX 네트워크 대화방에 질문이 하나 올라왔다. 한 참가자가 웍스AI를 쓰는 기관이 있는지 물은 것이다. 웍스AI는 대화에서 다른 AI를 감싸 제공하는 서비스, 이른바 AI 래퍼(wrapper)라는 말이 붙었다. 몇 분 사이에 이 질문은 도입 방식에서 보안성검토로 옮겨 갔다. 보안성검토는 한 참가자의 설명대로 기관이 어떤 소프트웨어나 시스템을 들일 때 거치는 검토 절차다.

웍스 같은거 쓰시는 기관 계실까여

수의계약 이야기와 보안성검토 논쟁

질문에 한 참가자가 이미 쓰고 있다고 했고, 다른 참가자는 위에서 해 줬다고 했다. 또 다른 참가자는 수의계약으로 하더라는 이야기를 전했다. 수의계약은 일반적으로 경쟁 입찰 없이 특정 업체와 맺는 계약을 뜻하지만, 대화에는 풀이가 없었다.

수의계약 하시던데

같은 참가자는 도입이 편한 것 같다고 했고, 이유로 기관 입장에서 보안성검토 자료를 다 맞춰 준다는 점을 들었으나, 추측하는 어조였다. 웍스 쪽에서 입찰에 들어오려 하지 않는다는 이야기가 있다고도 했다. 이는 전해 들은 이야기로, 확인된 사실로 이어지지는 않았다.

여기서 처음 질문한 참가자가 이의를 제기했다. 서비스 구독에 보안성검토가 필요한지 되물었고, 자기 기관은 챗지피티를 2년째 쓰는데 그런 절차 없이 부서 구매로 써 왔다고 했다. 국가 보안기관의 실사가 나와도 문제가 없었다는 것도 이 참가자 본인의 말이다.

같은건데 왜 웍스는 보안성검토를?

반대편 설명도 나왔다. 한 참가자는 웍스가 일종의 클라우드 서비스이고, 챗지피티는 엔터프라이즈 요금제든 개인용이든 해외 서버로 정보를 보내 결과를 받는 구조라고 짚었다. 다른 참가자는 검토 대상의 범위를 이렇게 적었다.

네트워크 트래픽 나오는 sw든 시스템이든 서버든 전부 보안성검토 대상

범위를 적은 참가자는 이어 챗지피티는 보통 검토를 했거나 기관장이 눈감아 준 경우라고 했다. 클라우드 서비스라고 본 참가자는 기관 내부 결재로 검토를 끝내느냐, 국가 보안기관까지 가서 받느냐의 차이는 있어도 검토는 받아야 한다고 했다. 처음 질문한 참가자는 이런 구독을 상급기관에 올리는 경우는 본 적이 없다고 맞받았다. 어느 쪽이 맞는지 정리된 결론은 대화에 없다.

낮에 나온 두 질문

낮 12시 무렵에는 질문이 둘 더 올라왔다. 한 참가자는 보안성검토가 정보화사업의 공고 전에 하는 절차처럼 적혀 있는데, 바이브코딩으로 만든 프로그램은 각 기관에서 어떻게 검토받느냐고 물었다. 다른 참가자는 웍스AI가 느려서 실효성이 없어 보이는데 보안 때문에 공공에서 쓰는 것이냐고 물었다. 두 질문에 이어진 답은 확인되지 않았다.

오후에는 내부망이 화두로

27일 오후 3시대에는 같은 주제가 망 구조로 옮겨 갔다. 오후 3시 30분대에 한 참가자가 오픈소스를 쓸 때 상용 모델과 로컬 인프라가 계속 병목이라고 적었다. 3시 40분대에 어떤 문제냐는 물음이 나오자 같은 참가자는 내부망이나 폐쇄망에 못 들어가는 문제라고 답했는데, 무엇이 못 들어가는지 주어는 적지 않았다. 이어 보안성검토는 로컬 방식이 직빵이라고 하면서도, 그래픽카드 가격을 들으면 다들 물러선다고 했다. 다른 참가자는 외부 MCP API 연동을 내부망까지 안전하게 이어 줄 장치를 구현하기가 더 어렵다고 했고, 파일 무결성 점검 이야기를 꺼냈다. MCP API 연동이라는 말은 대화에서 풀이되지 않았다. 앞 참가자는 그 대목에서 거의 불가능에 가깝지 않겠느냐고 받았고, 다른 참가자는 그 점검에 일주일씩 걸린다고 덧붙였다.

현장 방식도 올라왔다. 한 참가자는 과거 개인정보 유출 사건 이후 기관이 내부망과 외부망을 사실상 분리했다고 적었다.

내외부망을 KVM 말고는 오고갈 수 없도록

KVM은 일반적으로 키보드·모니터·마우스 한 벌을 여러 컴퓨터에 번갈아 연결하는 전환 장치를 말하는데, 대화에서는 따로 풀이가 없었다. 같은 참가자는 PC가 두 대라고 했고, 또 다른 참가자도 자기 쪽도 KVM으로만 오간다는 취지로 적었다. 한편 한 참가자는 내부망과 외부망을 전환해 컴퓨터 한 대로 쓰는 방식을 언급했다.

읽을 점

오전에는 도입 경로와 서비스 성격, 두 가지 설명이 맞섰다. 수의계약으로 들이는 서비스와 부서 구매로 쓰는 서비스에 서로 다른 검토가 따랐다는 경험이 있었고, 한편으로는 클라우드 서비스이고 네트워크 트래픽이 나온다는 점이 검토 대상의 이유로 거론됐다. 오후에는 로컬 방식이 검토에 수월하다는 말과, 외부 연동은 점검이 오래 걸린다는 말이 나왔다. 대화가 보여 주는 것은 정해진 기준보다 기관마다 달랐던 체감이며, 이 방 밖에서 같은 기준이 쓰이는지는 확인되지 않았다.