AI가 바꾼 사이버 보안 지형…IBM 2026년 데이터 유출 보고서 핵심은?

기록적 유출 비용과 'AI 프리미엄'

미국 조직은 건당 평균 **1150만 달러(약 166억 원)**의 유출 비용을 부담했다. 이는 글로벌 평균의 두 배가 넘는 수치이며, 2025년보다 11% 증가한 액수다 . 유출이 해결되지 않은 상태로 남아 있는 시간당 비용은 약 1100달러(약 160만 원)에 달했다 .

AI가 활용된 공격은 비용 증가의 가장 큰 요인으로 작용했다. 악성 유출 4건 중 1건은 AI와 연관되어 있으며, 이는 전년 대비 56% 증가한 수치다. 이러한 AI 기반 유출의 평균 비용은 **600만 달러(약 87억 원)**로, 전체 평균보다 약 100만 달러 더 비쌌다 . 주요 AI 공격 유형으로는 딥페이크 사칭, AI 기반 악성코드, 모델 반전 공격(평균 607만 달러), 프롬프트 인젝션(평균 589만 달러) 등이 있다 .

탐지 및 대응 시간, 5년 만에 악화

5년 연속 개선되던 유출 탐지 및 대응 시간이 처음으로 악화됐다. 유출을 식별하고 차단하는 평균 시간은 247일 (식별 183일, 차단 64일)로 증가했다 . 이는 공격자들이 AI를 활용해 방어 속도보다 더 빠르게 움직이고 있음을 보여준다 . 200일 이상 지속된 유출의 평균 비용은 565만 달러인 반면, 200일 이내에 차단된 유출은 432만 달러에 그쳤다 .

'섀도 AI(Shadow AI)'와 거버넌스 위기

이번 보고서에서 가장 우려되는 지점은 섀도 AI 사고가 두 배 이상 증가했다는 점이다. 섀도 AI란 조직의 승인이나 보안 검토 없이 사용되는 인공지능 도구를 말하며, 피해 조직의 43%가 이러한 경험을 한 것으로 나타났다(전년 20%) .

AI 관련 보안 사고를 겪은 조직 중 무려 92%가 당시 적절한 AI 접근 통제를 갖추지 못했고 , 68%는 아예 AI 거버넌스 정책 자체가 없었다 . AI 모델과 AI 기반 애플리케이션 관련 사고 비율도 13%에서 21%로 증가했다 . 보고서는 프롬프트 인젝션, 모델 반전, 데이터 중독 등 AI 인프라를 표적으로 삼은 공격 사례들을 상세히 기록했다 . AI 관련 유출을 겪었으나 접근 통제가 없던 조직의 평균 비용은 533만 달러로, AI와 무관한 유출(470만 달러)보다 높았다 .

보안 투자 확대 움직임…피해 기업 85%가 '증액 계획'

후속 조사에 따르면, 피해 조직의 85%가 첨단 AI 위협에 대응하기 위해 보안 도구 및 거버넌스 지출을 늘릴 계획이라고 답했다 . 본 조사에서도 64%가 실제 유출 경험이 지출 증가로 이어질 것이라고 응답했다 . 이러한 지출 확대는 업계 전반의 추세와도 일치한다. 같은 기간 시스코(Cisco)는 보안 부문 매출이 전년 대비 14% 성장했다고 보고하며, 기업들의 AI 대응형 보안 투자가 가속화되고 있음을 시사했다 .

기타 주요 결과들

• 공급망 손상은 유출당 평균 227,250달러의 추가 비용을 발생시키는 가장 큰 비용 증폭 요인이었으며, 두 번째로 흔한 공격 경로이면서 식별 및 차단에 258일이 소요됐다 .
• 헬스케어 업종은 여전히 가장 유출 비용이 높은 분야로, 평균 664만 달러를 기록했으나 전년 대비 소폭 감소했다 .
• 인도는 평균 유출 비용이 2550만 루피(약 305만 달러)로 사상 최고치를 기록했으며, 전년 대비 15.9% 증가했다 .
• 반대로 AI와 자동화를 보안에 광범위하게 활용하는 조직은 그렇지 않은 조직에 비해 평균 193만 달러의 비용을 절감한 것으로 나타났다 .
• 유출 후 완전히 복구됐다고 응답한 조직은 42%에 불과했으며, 이는 전년 35%에서 소폭 개선됐지만 여전히 대다수는 수개월 혹은 수년 후에도 복구 중인 상태였다 .

이번 보고서는 2025년 3월부터 2026년 2월까지 수집된 17개국, 17개 업종의 602개 피해 조직을 대상으로 한 연구 결과를 바탕으로 작성됐다 .