인터넷을 수많은 사람들이 아늑한 커피숍부터 고도의 보안이 필요한 금고까지 다양한 건물에 들어가려고 애쓰는 거대하고 북적이는 도시라고 상상해 보세요. 오랫동안 도시의 성문 앞에 있는 보안 요원들은 당신이 도착했을 때 신분증을 한 번 확인했습니다. 만약 신분증이 괜찮아 보이면, 당신이 제한 구역에 들어가거나 이상하게 행동하더라도 남은 하루 동안은 안전할 것이라고 가정하고 입장을 허용했습니다. 하지만 최근에 이 도시는 변했습니다. 사람들은 집에서 일하고, 곳곳에서 기기를 사용하며, "도시의 성벽"은 사라졌습니다. 이제 새로운 종류의 골칫거리인 "딥페이크(Deepfake)"가 등장했습니다. 이는 컴퓨터로 만든 디지털 걸작으로, 당신의 얼굴과 목을 완벽하게 흉내 내어 똑똑한 경비원들조차 가짜를 진짜라고 믿게 만들 수 있습니다. 이를 해결하기 위해 과학자들은 "제로 트러스트(Zero-Trust)"라고 불리는 새로운 종류의 보안 시스템을 구축하고 있습니다. 이것은 결코 아무도 믿지 않고, 심지어 당신조차도 믿지 않으며, 당신이 도시 어디에 있든 상관없이 문을 열려고 할 때마다 매번 당신의 신분, 목소리, 그리고 행동을 확인하는 경비원이라고 생각하면 됩니다.

이 논문은 DAZT-IAM이라는 이름의 새롭고 매우 스마트한 보안 시스템을 소개합니다. 이것은 세 가지 강력한 도구가 함께 작동하는 고성능 입구 관리 클럽과 같습니다. 즉, 지울 수 없는 디지털 장부(블록체인), 가짜 얼굴과 목소리를 찾아낼 수 있는 AI 탐정 팀(딥페이크 탐지), 그리고 당신이 여전히 당신이 맞는지 끊임없이 확인하는 "신뢰 측정기"입니다. 연구진은 비밀번호를 훔치거나 컴퓨터로 생성된 가짜를 사용하여 침입하는 해커들을 막기 위해 이 시스템을 구축했습니다. 그들은 컴퓨터 시뮬레이션을 통해 자신들의 아이디어를 테스트했으며, 이 시스템이 기존 방식보다 가짜 사칭범을 훨씬 더 잘 잡아내는 동시에 실제 사용자는 빠르게 통과시킨다는 것을 발견했습니다.

옛날 방식 vs. 새로운 방식

옛날에는 보안 시스템에 들어가는 것이 마치 정문에서 카드 키를 보여주는 것과 같았습니다. 경비원이 카드를 스와이프하고 "가세요"라고 말하면, 당신은 건물 안을 자유롭게 돌아다닐 수 있었습니다. 하지만 누군가 당신의 카드 키를 훔치거나, 해커가 카메라를 속이기 위해 당신의 완벽한 사진을 사용한다면, 그들은 바로 들어와서 영원히 머무를 수 있었습니다. 이 논문은 이러한 "한 번 확인하고 영원히 믿는" 모델이 무너졌다고 주장합니다. 이 모델은 모든 열쇠를 보유한 단일 중앙 컴퓨터에 너무 많이 의존하며, 이는 도둑들에게 아주 매력적인 표적이 됩니다.

새로운 시스템인 DAZT-IAM은 규칙을 완전히 바꿉니다. 이 시스템은 **"절대 믿지 말고, 항상 검증하라"**는 단순한 원칙에 따라 작동합니다. 모든 열쇠를 가진 하나의 커다란 중앙 컴퓨터 대신, 시스템은 블록체인을 사용합니다. 이것을 클럽의 모든 사람이 볼 수 있지만, 한 번 기록되면 아무도 지우거나 수정할 수 없는 거대한 공공 노트라고 상상해 보세요. 이 노트는 당신의 디지털 신원(이를 "탈중앙화 식별자" 또는 "DID"라고 부릅니다)을 보유합니다. 이 노트는 여러 컴퓨터에 의해 공유되기 때문에, 해킹할 수 있는 단일한 "보스" 컴퓨터가 존재하지 않습니다. 만약 해커가 당신인 것처럼 속이기 위해 노트를 수정하려고 하면, 네트워크의 다른 컴퓨터들이 "아니요, 그것은 일치하지 않습니다"라고 말하며 변경을 거부할 것입니다.

AI 경비원과 "딥페이크" 함정

이 새로운 시스템의 가장 흥미로운 부분은 "딥페이크" 문제를 어떻게 처리하느냐 하는 것입니다. 딥페이크는 디지털 꼭두각시와 같습니다. 컴퓨터는 이제 사람들이 하지 않은 말을 하는 것처럼 보이거나, 하지 않은 행동을 하는 것처럼 보이는 영상을 만들 수 있습니다. 기존 보안 시스템은 종종 이러한 것에 속아 넘어갑니다.

DAZT-IAM 시스템은 멀티모달 생체 인식(Multimodal Biometric) 방식을 사용합니다. 단순히 얼굴만 확인하는 대신, 다음 세 가지를 동시에 확인합니다:

1. 당신의 얼굴: 영상 피드를 살펴봅니다.
2. 당신의 목소리: 당신이 말하는 것을 듣습니다.
3. 당신의 행동: 당신이 타이핑하거나 마우스를 움직이는 방식을 관찰합니다.

하지만 여기에는 영리한 트릭이 있습니다. 시스템 내부에 특별한 "딥페이크 탐지기"가 내장되어 있습니다. 이 탐지기를 디지털 그림 속의 아주 미세하고 보이지 않는 균열을 찾아내는 법의학 예술가라고 생각해 보세요. 실제 인간의 얼굴과 목소리는 자연스럽고 미세한 불완전함과 리듬을 가지고 있습니다. 컴퓨터로 생성된 가짜는 인간은 볼 수 없지만 AI는 포착할 수 있는 타이밍이나 색상 패턴의 미세한 글리치(glitch)를 가지고 있습니다. 시스템은 이러한 "주파수 영역 아티팩트(frequency-domain artifacts, 미세한 디지털 글리치를 뜻하는 어려운 용어)"를 분석하고, 영상이 시간이 지남에 따라 실제처럼 움직이는지 확인합니다. 만약 AI가 얼굴이나 목소리가 가짜라고 의심하면, 얼굴이 완벽해 보이더라도 즉시 당신의 "신뢰 점수"를 낮춥니다.

잠들지 않는 "신뢰 측정기"

세 번째 마법의 재료는 **지속적인 신뢰 점수 산정(Continuous Trust Scoring)**입니다. 기존 시스템에서는 일단 내부로 들어오면 안전했습니다. 하지만 이 새로운 시스템에서는 보안 요원이 내내 당신을 지켜보고 있습니다.

당신이 보안 구역 안에 있다고 상상해 보세요. 몇 초마다 시스템은 다음과 같이 묻습니다: "이 사람은 여전히 동일 인물인가? 컴퓨터는 안전한가? 적절한 위치에 있는가?" 시스템은 당신의 생체 인식 점수(얼굴, 목소리, 타이핑)를 맥락적 단서(예: "이 사람이 갑자기 다른 나라에서 로그인했는가?")와 결합합니다. 그리고 0과 1 사이의 **신뢰 점수(Trust Score)**를 계산합니다.

• 만약 점수가 높으면(1에 가까우면), 접근 권한을 유지합니다.
• 만약 점수가 떨어지면(예: 타이핑 스타일이 변했거나 시스템이 세션 탈취를 의심하는 경우), 시스템은 단순히 머물게 두지 않습니다. 시스템은 당신에게 다시 본인임을 증명하도록 요청하거나("단계별 인증"), 아예 밖으로 쫓아낼 수도 있습니다.

이는 해커가 당신의 비밀번호를 훔쳐서 들어왔더라도, 그들이 수상한 행동을 하거나 시스템이 무언가 "이상하다"고 느끼는 즉시 접근이 차단된다는 것을 의미합니다. 논문은 시뮬레이션에서 이러한 지속적인 확인 작업이 "세션 하이재킹(해커가 로그인된 세션을 가로채는 것)"을 막아낸다는 것을 보여줍니다.

숫자가 말해주는 것들

연구진은 자신들의 시스템이 기존 방식과 비교하여 어떤 성능을 보이는지 확인하기 위해 시뮬레이션 데이터를 사용하여 테스트했습니다. 결과는 다음과 같습니다:

• 정확도: 새로운 시스템은 실제 사용자를 **98.6%**의 확률로 정확하게 식별했습니다. 이는 단순한 비밀번호 시스템(91.2%)보다 약간 더 높고, 얼굴만 확인하는 시스템(95.4%)보다 조금 더 높은 수치입니다.
• 가짜 포착: 이 부분이 새로운 시스템이 빛을 발하는 지점입니다. 딥페이크 공격에 직면했을 때, 기존의 "얼굴 전용" 시스템은 딥페이크를 **38.7%**밖에 잡아내지 못했습니다. 반면, 새로운 DAZT-IAM 시스템은 가짜의 **96.1%**를 잡아냈습니다. 이는 엄청난 차이입니다!
• 속도: 새로운 시스템은 결정을 내리는 데 시간이 조금 더 걸립니다(평균 약 310밀리초). 이는 단순한 비밀번호 확인(180밀리초)보다 느립니다. 그러나 저자들은 이 지연 시간이 여전히 매우 빠르며(1초 미만), 이러한 높은 보안을 위한 작은 대가라고 언급했습니다.

"만약에" 시나리오 (Ablation Study)

시스템이 실제로 핵심적인 역할을 하고 있는지 확인하기 위해, 연구진은 시스템의 일부를 제거하여 어떤 일이 발생하는지 테스트했습니다. 이를 "절제 연구(ablation study)"라고 합니다.

• 딥페이크 탐지기를 제거했을 때, 공격자를 막는 시스템의 능력이 크게 떨어졌습니다. "공격자 성공률"이 **2.4%**에서 **31.8%**로 치솟았습니다. 이는 딥페이크 탐지기가 가짜 미디어를 막는 데 가장 중요한 부분임을 입증합니다.
• **지속적 재점수 산정(Continuous Re-scoring)**을 제거했을 때(로그인 시에만 한 번 확인하도록 설정), 세션 하이재킹에 대한 공격자 성공률이 **2.4%**에서 **18.3%**로 급증했습니다. 이는 한 번만 확인하는 것으로는 부족하며, 계속해서 확인해야 한다는 것을 보여줍니다.

완벽한가요?

이 논문은 아직 해결하지 못한 부분에 대해서도 매우 솔직합니다. 제시된 결과는 실제 기업 환경에서의 테스트가 아닌 시뮬레이션 결과입니다. 저자들은 실제 환경에서 오탐(실제 사람을 차단하는 경우)이 발생하지 않도록 시스템을 세밀하게 조정해야 한다고 제안합니다. 또한, 해커들이 더 정교한 딥페이크를 만들어냄에 따라 AI 탐지기도 계속 학습하고 업데이트되어야 한다고 언급했습니다. 아울러, 이 시스템은 블록체인을 사용하기 때문에 완전히 개방된 공용 인터넷보다는 신뢰할 수 있는 조직들의 그룹("허가형" 네트워크)에서 가장 잘 작동하며, 이는 복잡성을 더한다는 점도 명시했습니다.

큰 그림

요약하자면, 이 논문은 조작 불가능한 디지털 노트(블록체인), 디지털 가짜를 찾아내는 AI 탐정 팀, 그리고 결코 눈을 떼지 않는 보안 요원을 결합함으로써 우리가 더 안전한 인터넷을 구축할 수 있음을 시사합니다. 이는 "일회용 열쇠"라는 개념에서 벗어나, 당신의 신원이 끊임없이 검증되는 세상으로 나아가는 것이며, 해커들이 훔친 비밀번호나 가짜 얼굴을 사용하여 침입하는 것을 매우 어렵게 만듭니다. 비록 모든 것을 즉시 해결하는 마법의 해결책은 아닐지라도, 시뮬레이션 결과는 이 시스템이 우리의 디지털 삶을 안전하게 지키기 위한 매우 강력한 진전임을 보여줍니다.