Maven AGI의 보안과 AI 거버넌스: 나중에 덧붙인 것이 아닌, 처음부터 내재된 설계

생각보다 훨씬 자주 일어나는 대화가 있습니다.

고객이 문제를 해결하려고 상담원과 대화를 나눕니다. 그 과정에서 이름, 이메일 주소, 전화번호, 고객 ID 같은 일반적인 계정 정보를 공유합니다. 그런데 가끔은 필요 이상의 정보까지 공유합니다. 사회보장번호, 신용카드 정보, 진단명이나 처방약 이름 같은 의료 정보가 그렇습니다.

질문은 단순하지만 매우 중요합니다. 그 데이터는 이후 어떻게 처리되어야 할까요?

Maven AGI는 승인된 정보와 불필요한 민감 정보를 명확히 구분합니다. 특정 사용 사례에 명시적으로 승인된 데이터만 AI 처리 파이프라인에 들어갈 수 있습니다. 불필요한 민감 데이터는 수집 단계에서 자동으로 탐지되어 마스킹됩니다. AI 추론에 사용되거나, 외부 모델 제공업체로 전송되거나, 감사 로그에 기록되거나, 상담원 인터페이스에 표시되기 전에 처리됩니다.

이러한 통제는 정책 기반으로 일관되게 적용됩니다. 대화마다 달리 조정되지 않습니다. 고객이 자사 워크플로에서 승인할 정보를 정의하면, Maven AGI가 플랫폼 전반에 걸쳐 해당 정책을 일관되게 적용합니다.

나중에 덧붙인 기능이 아닙니다. 처음부터 시스템을 이렇게 설계했습니다.

엔터프라이즈 AI의 신뢰 문제

이제 엔터프라이즈 AI 도입을 가로막는 것은 모델의 성능이 아니라 신뢰입니다.

대화형 AI 플랫폼을 검토하는 기업들은 같은 현실적인 질문을 던집니다. 이 시스템이 민감한 고객 데이터를 안전하게 처리할 수 있는가? 고위험 정보의 불필요한 노출을 어떻게 방지하는가? 감사인, 규제 기관, 고객에게 통제의 실효성을 어떻게 입증할 것인가? 새로운 위험 없이 규제 환경에 AI를 도입할 수 있는가?

이는 이론적인 우려가 아닙니다. 보안을 중시하는 한 엔터프라이즈 고객은 Maven의 컴플라이언스 체계를 검토한 뒤 곧바로 "이사회가 매우 만족할 것"이라고 말했습니다. 이 반응은 기능에 대한 평가를 넘어선 것이었습니다. AI를 도입해도 거버넌스나 컴플라이언스 리스크가 생기지 않는다는 확신이었습니다.

부가 기능이 아닌 아키텍처로서의 보안

Maven의 접근 방식은 위임형 보안이라는 단순한 원칙에 기반합니다.

고객에게 새로운 ID나 접근 모델을 도입하라고 요구하지 않습니다. 대신 고객이 이미 신뢰하는 시스템과 통합합니다. 고객이 접근 정책을 정의하면 Maven AGI가 이를 일관되게 적용합니다.

이것이 중요한 이유는 보안 요구사항이 모두 같지 않기 때문입니다. 산업과 조직마다 규제, 운영, 리스크 측면의 제약이 다릅니다. 획일적인 보안으로는 충분하지 않습니다.

Maven AGI는 크게 엔터프라이즈 ID 통합, 역할 기반 접근 제어, 권한 있는 사용자를 위한 강력한 인증, 포괄적인 감사 로깅, 전송 중 및 저장 시 암호화, 테넌트 격리, 지속적인 독립 보안 테스트를 제공합니다.

제품 보안: AI 특화 계층

기존 보안 통제는 필요하지만 그것만으로는 충분하지 않습니다. AI 시스템에는 새로운 유형의 장애 요인이 있어 추가적인 보호 장치가 필요합니다.

승인된 데이터만 들어오고, 불필요한 민감 데이터는 걸러냅니다. Maven AGI는 고객이 정의하고 정책으로 강제되는 허용 목록(allow-list) 모델을 사용합니다. 이름, 이메일 주소, 전화번호, 계정 식별자처럼 승인된 데이터 항목은 지원 워크플로에 필요할 때 허용됩니다. 사회보장번호, 금융 계좌 정보, 의료 정보처럼 불필요한 고위험 민감 데이터는 수집 단계에서 탐지되어 마스킹됩니다. 마스킹은 외부 모델 호출, 장기 저장, 감사 로깅, 상담원 인터페이스 표시 이전에 이루어집니다.

고객 데이터는 모델 학습에 사용되지 않습니다. Maven AGI는 고객 데이터를 파운데이션 모델의 학습이나 파인튜닝에 사용하지 않습니다. 고객 데이터는 모델 개선을 위해 집계되거나 재사용되지 않습니다.

안전성과 적대적 공격 대응력. 플랫폼은 유해 콘텐츠를 식별하고, 프롬프트 인젝션, 난독화 시도, 민감 데이터 탈취나 시스템 동작 무력화를 노리는 공격 등 AI 특화 위협을 방어하도록 설계되었습니다.

추적 가능한 근거 기반 답변. 응답은 고객이 승인한 지식 소스에 근거합니다. 사용자는 각 응답에 어떤 정보가 사용되었는지 확인할 수 있어, 근거 없는 출력은 줄이고 감사 가능성은 높일 수 있습니다.

설계 단계부터 반영된 사람의 감독. 자동화가 적절하지 않은 경우, Maven AGI는 신뢰도 임계값, 고객 요청, 대화 위험 지표 등 설정 가능한 신호에 따라 상담원에게 에스컬레이션합니다. 상담원은 전체 맥락을 전달받으므로 고객이 같은 내용을 반복할 필요가 없습니다.

독립 감사를 통한 검증

강력한 통제는 중요합니다. 독립적인 검증은 신뢰를 더욱 굳건히 합니다.

Maven의 보안, 개인정보 보호, AI 거버넌스 체계는 제3자 감사와 인증을 통해 검증되었습니다. 여기에는 ISO/IEC 27001:2022(정보보호 관리), SOC 2 Type II(보안, 가용성, 기밀성 통제), ISO/IEC 27017(클라우드 보안 통제), ISO/IEC 27018(클라우드 환경의 개인정보 보호), PCI-DSS v4.0 Level 1 AOC, HIPAA/HITECH(BAA 체결 가능), ISO/IEC 27701(개인정보 관리), ISO/IEC 42001(AI 경영 시스템)이 포함됩니다.

ISO/IEC 42001은 Maven의 AI 시스템이 단순히 배포된 채 방치되는 것이 아니라, 정의된 정책, 모니터링, 인시던트 관리를 통해 관리되고 있음을 독립적으로 입증합니다.

규제 대상 엔터프라이즈 환경의 보안과 거버넌스

인증은 중요하지만, 더 큰 체계의 일부일 뿐입니다.

진정한 성공의 척도는 기업이 확신을 갖고 AI를 도입할 수 있는가입니다. 데이터가 보호되고, 의무가 충족되며, AI 시스템이 운영 환경에서 예측 가능하고 책임감 있게 작동한다는 확신 말입니다.

엔터프라이즈나 규제 산업을 위한 대화형 AI를 검토 중이라면, 벤더에게 다음 질문을 해보시기 바랍니다. AI 시스템에 어떤 정보가 명시적으로 허용되는가? 불필요한 민감 데이터는 어디서, 언제 마스킹되는가? 고객 데이터가 모델 학습에 사용되는가? 실제로 취득한 인증은 무엇인가? 필요한 경우 온프레미스로 배포할 수 있는가? 프롬프트 인젝션 등 AI 특화 공격에는 어떻게 대응하는가? AI가 사람에게 에스컬레이션할 때 고객이 처음부터 다시 설명해야 하는가?

Maven AGI에게 보안과 AI 거버넌스는 나중에 고려하는 사항이나 마케팅 문구가 아닙니다. 엔터프라이즈 AI 도입을 가능하게 하는 아키텍처의 기반입니다.

이 접근 방식을 직접 확인하고 싶다면 데모를 요청하시거나 Trust Center를 방문해 주십시오.