패스키·물리키 기반 Advanced Account Security 도입
AI 계정, 개인·기업 핵심 자산으로 재정의

AI 시대의 보안 기준이 근본적으로 바뀌고 있다. OpenAI는 2026년 4월 30일 ‘Advanced Account Security’ 기능을 공식 도입하며, 기존 비밀번호 기반 인증 체계를 사실상 폐기하는 방향으로 전환했다. 이번 조치는 단순한 보안 강화가 아니라, AI 계정이 개인과 조직의 핵심 자산으로 자리 잡고 있다는 인식 변화에서 출발한 것으로 분석된다.

이번 기능은 ChatGPT 및 Codex 계정을 대상으로 선택형(opt-in)으로 제공되며, 핵심은 ‘비밀번호 없는 인증(passwordless authentication)’이다. 사용자는 기존 비밀번호 대신 패스키(Passkey)와 물리 보안키를 통해 로그인하게 되며, 이메일이나 SMS 기반 계정 복구 방식은 제한된다. 이는 피싱 공격과 계정 탈취의 주요 경로를 원천적으로 차단하기 위한 조치다.

특히 이번 업데이트는 계정 복구 자체를 보안 취약점으로 간주한 점에서 주목된다. 기존 시스템에서는 이메일이나 문자 인증을 통해 계정 복구가 가능했지만, 해당 방식은 공격자들이 가장 먼저 노리는 경로로 지적돼 왔다. 이에 따라 OpenAI는 백업 키와 보안 키 기반 복구 방식만 허용하며, 경우에 따라 계정 복구 지원 자체를 제한하는 강경한 정책을 채택했다. 이는 보안 수준을 극대화하는 대신 사용자 편의성을 일부 포기하는 선택으로 평가된다.

기술적으로 이번 변화는 패스키와 하드웨어 기반 인증 장치의 도입을 중심으로 이루어진다. 대표적으로 YubiKey와 같은 물리 보안키가 활용되며, 이는 사용자 기기와 결합된 인증 방식을 통해 외부 공격을 차단한다. 기존의 비밀번호와 SMS 인증 구조가 갖고 있던 취약점을 제거하고, 인증 과정 자체를 암호학적으로 강화하는 방식이다.

또한 세션 보안 기능도 대폭 강화됐다. 로그인 세션 유지 시간이 단축되고, 새로운 기기에서 접속 시 알림이 제공되며, 사용자별 기기 세션 관리 기능이 추가됐다. 이는 로그인 이후 발생할 수 있는 세션 탈취 공격까지 대응하기 위한 조치다.

데이터 측면에서도 중요한 변화가 포함됐다. OpenAI는 민감한 대화 내용에 대해 모델 학습에서 자동으로 제외하는 기능을 도입하며, AI 시대의 데이터 주권 강화에 나섰다. 이는 단순한 개인정보 보호를 넘어, 사용자가 생성한 데이터의 활용 범위를 명확히 통제할 수 있도록 하는 정책적 전환으로 해석된다.

이번 조치의 배경에는 AI 계정의 역할 변화가 자리 잡고 있다. 과거 이메일 계정이 개인의 디지털 정체성을 대표했다면, 현재는 AI 계정이 업무, 지식, 의사결정의 중심으로 기능하고 있다. 이에 따라 AI 계정이 해킹될 경우 단순 정보 유출을 넘어 기업 보안 사고로 이어질 가능성이 높아지고 있다.

글로벌 보안 트렌드와 비교해도 이번 변화는 의미가 크다. Google는 패스키 기반 로그인 전환을 확대하고 있으며, Microsoft 역시 비밀번호 제거 전략을 추진 중이다. Apple은 Face ID 기반 생체 인증을 중심으로 보안을 강화해왔다. OpenAI는 이러한 흐름을 AI 계정 중심 보안으로 확장하며 새로운 기준을 제시한 셈이다.

다만 보안 강화에 따른 사용자 부담 증가도 주요 쟁점으로 지적된다. 계정 복구가 어려워지고, 보안키 관리 책임이 사용자에게 전가되면서 접근성이 낮아질 수 있기 때문이다. 실제로 OpenAI는 일부 상황에서 계정 복구를 지원하지 않을 수 있다고 명시하며, 사용자 스스로 보안 관리 책임을 강화해야 한다는 메시지를 전달하고 있다.

향후 전망도 분명하다. AI 계정 해킹은 개인 정보 유출을 넘어 기업 데이터 유출, 나아가 국가 수준의 정보전으로 확대될 가능성이 있다. 이에 따라 ‘제로 트러스트(Zero Trust)’ 기반 보안 모델이 AI 계정 관리의 핵심 원칙으로 자리 잡을 것으로 보인다. 항상 검증하고, 최소 권한만 부여하며, 세션 단위로 통제하는 방식이 표준으로 자리 잡을 가능성이 크다.

또한 디지털 보안이 다시 물리적 보안으로 확장되는 흐름도 가속화될 전망이다. 물리 보안키와 생체 인증의 결합은 향후 계정 보호의 기본 구조가 될 가능성이 높다.

결국 이번 발표는 단순한 기능 업데이트가 아니라, AI 시대의 보안 철학이 근본적으로 변화하고 있음을 보여준다. 계정은 더 이상 로그인 수단이 아니라, 지식과 기억, 업무와 권한이 집적된 자산으로 재정의되고 있다. OpenAI의 이번 조치는 그 변화를 공식화한 첫 사례로 평가된다.

이제 질문은 단순하다. 계정을 얼마나 안전하게 관리할 것인가가 아니라, 그 계정이 담고 있는 AI와 데이터의 소유권을 어떻게 정의할 것인가다.