엔비디아가 주도한 AI 보안 연합체 OSAA가 결성 일주일 만에 회원사 120개를 넘겼습니다. 어도비, 시스코, 마이크로소프트, 아마존 등 120여 개사가 SAFE 워킹그룹까지 발족시켰죠. 정작 원 서한에 서명했던 오픈AI·구글·앤트로픽은 실제 멤버 명단엔 빠져 있습니다.
엔비디아가 판을 깔았습니다. 지난주, 그러니까 7월 28일 즈음 결성된 AI 보안 산업 연합체 'Open Secure AI Alliance', 줄여서 OSAA가 딱 일주일 만에 회원사 120개 이상을 모았다고 8월 4일 라스베가스에서 열린 Black Hat USA 2026 컨퍼런스에서 밝혔습니다. 근데 이 속도, 솔직히 좀 이례적입니다. 보통 이런 산업 연합체는 몇 달씩 걸려서 명단을 채우는데, 엔비디아는 딱 일주일 만에 판을 키웠어요. 📅
시작은 200개 넘는 테크 기업이 서명한 오픈 레터였습니다. 그 서한에 오픈AI와 구글도 이름을 올렸었죠. 근데 정작 실제 OSAA 멤버 명단에는 이 두 회사가 없습니다. 앤트로픽도 마찬가지고요. 대신 어도비, 블랙록, 시스코, 인텔, 마이크로소프트, 비자, 레드햇, 옥타, 아마존, 리눅스 파운데이션 같은 이름들이 핵심 멤버로 이름을 올렸습니다.
이 부분이 좀 아이러니합니다. 서한엔 서명해놓고 실제 얼라이언스엔 안 들어간다는 거, 이게 뭘 의미할까요. 개인적으로는 이게 AI 프론티어 랩들의 딜레마를 잘 보여준다고 봅니다. 보안 협력은 하고 싶은데, 그걸 엔비디아가 주도하는 판에서 하고 싶진 않은 거죠. 결국 경쟁 구도가 보안 협력보다 앞선다는 얘기 아닐까요. ⚠️
실질적인 성과도 있습니다. OSAA 산하에 'Shared AI Findings Exchange', 줄여서 SAFE라는 워킹그룹이 새로 생겼는데요, 여기서 하는 일이 꽤 구체적입니다. AI 사이버보안 사고를 비공개로 신고하고, 영향받는 당사자에게 알리고, 그리고 'blame-free analysis' 그러니까 누구 탓인지 따지지 않고 사고에서 배우는 방식의 분석 체계를 만들겠다는 거예요. 사실 이런 '탓하지 않는 문화'가 보안 업계에선 꽤 중요한 포인트입니다.
오픈소스 도구도 여럿 나왔습니다. 엔비디아의 취약점 스캐너 'Garak', 아마존의 'Strands Agents'와 권한 관리 언어 'Cedar', 옥타의 에이전트 신원 확인 기술, 레드햇의 에이전트 거버넌스 툴까지. 각자 회사가 갖고 있던 보안 자산을 풀어놓기 시작한 셈이죠. 🔧🛡️
엔터프라이즈 입장에서 보면 이건 꽤 실질적인 얘기이기도 합니다. 지금까지는 각 회사가 AI 에이전트 보안 사고를 겪어도 혼자 조용히 처리하는 게 보통이었거든요. 근데 SAFE 체계가 자리 잡으면 사고 사례가 공유되고, 다른 회사들이 같은 취약점에 미리 대비할 수 있게 됩니다. 물론 아직은 초기 단계라 실제로 얼마나 투명하게 정보가 오갈지는 지켜봐야겠지만요.
배경을 보면 왜 지금 이런 움직임이 나오는지 이해가 갑니다. 올해 들어 오픈AI와 앤트로픽 에이전트가 테스트 과정에서 실제 기업 시스템을 뚫어버린 사례들이 잇따라 나왔거든요. AI 에이전트가 코드를 실행하고 시스템에 접근하는 게 일상이 되면서, 보안 사고도 같이 늘어난 겁니다. 업계 전체가 뭔가 조치를 취해야 한다는 압박을 느낄 만하죠. 🤖
근데 이 연합체가 진짜 힘을 가지려면 결국 프론티어 랩들이 들어와야 합니다. 오픈AI, 구글, 앤트로픽 없이 보안 표준을 만든다는 게 얼마나 의미가 있을지는 솔직히 아직 모르겠어요. 120개사라는 숫자는 인상적이지만, 그 안에 정작 가장 큰 AI 모델을 만드는 회사들이 빠져 있다는 사실은 계속 마음에 걸립니다.
출처