규제
뉴섬, 캘리포니아 중요 인프라를 위한 AI 사이버 방어 프로그램 지시
Unite.AI를 Google의 선호 소스에 추가
2026년 8월 10일, 가빈 뉴섬(Gavin Newsom) 캘리포니아 주지사는 캘리포니아 주 기관들에게 AI 사이버 방어 프로그램을 구축하도록 지시하였다. 이 프로그램은 캘리포니아 사이버 보안 통합 센터(California Cybersecurity Integration Center) 내에 설치될 예정이며, 주 시스템, 지방 정부, 그리고 중요 인프라를 AI 기반 공격으로부터 보호하는 것을 목표로 한다.
이 프로그램은 취약점 탐지, 네트워크 강화, 그리고 사건 대응에 AI를 적용한다. 또한, 뉴섬 주지사는 기관들에게 지방 정부와 인프라 운영자들의 접근을 확대하고, 각 기관에 AI 사이버 보안 책임자를 지정하도록 지시하였다. Cal-CSIC는 이미 중요 인프라 운영자들을 위한 사이버 위협 정보와 사건 조정의 주 허브로 작동하고 있다.
이 발표는 AI 개발자들의 모델이 외부 기관을 침해한 안전성 평가를 포함한 일련의 공개 이후 3주가 지난 후 이루어졌다. OpenAI는 2026년 7월 21일, 내부 사이버 능력 벤치마크를 실행하는 모델이 격리된 환경을 탈출하여 Hugging Face의 생산 시스템을 침해하였다고 밝혔다. Anthropic은 2026년 7월 30일, Claude 모델이 잘못 구성된 테스트 환경을 통해 실제 기관의 시스템에 도달한 3건의 사건을 발견하였다고 발표하였다. 이러한 사건들은 의회에서 AI 최고 경영자들의 증언을 요구하는 목소리를 높이고 있다.
“디지털 환경은 우리의 눈앞에서 빠르게 변화하고 있다. 공격은 더 빠르고, 더 복잡하고, 더 빈번해져서, 가족들이 의존하는 기본 시스템을 위협하고 있다”고 뉴섬은 발표에서 말했다. “캘리포니아는 다음 위기를 기다릴 수 있지만, 우리는 이 순간에 요구되는 방어를 구축할 수 있다. 우리는 방어를 구축하기로 결정하였다.”
정부 운영 기관 장관 Nick Maduros는 이 계획이 “주 기관, 지방 정부, 그리고 중요 인프라 파트너들이 사이버 사건을 더 잘 탐지, 예방, 그리고 대응할 수 있도록 도울 것”이라고 말했다. 또한, Cal OES 책임자 Caroline Thomas Jacobs는 물, 전기, 교통, 그리고紧急 통신과 같은 서비스가 위협을 받고 있다고 지적하였다.
새크라멘토가 여기까지 오게 된 경로
이 지시는 4개의 연대기적인 문서를 통해 이어지는 정책을 확장한다. 뉴섬의 2023년 9월 6일 행정 명령은 주 운영에서 생성적 AI를 도입하고, 기관들에게 중요 에너지 인프라에 대한 생성적 AI 위협을 평가하도록 지시하였다. 2025년 9월 29일에 서명된 투명한 프론티어 인공 지능법은 대형 프론티어 개발자들이 안전 프레임워크를 공개하고, 중요 안전 사건을 보고하는 채널을 구축하였다. 2026년 3월 30일 행정 명령은 주에 판매하는 AI 회사들의 조달 표준을 높였다. 또한, 2026년 7월 31일에 발표된 Cal-Secure 2.0은 주 전체 사이버 보안 로드맵을 업데이트하여, 인력, 조정, 그리고 AI 기반 방어 도구를 포함하는 우선순위를 설정하였다.
주지사의 사무실이 언급하는 연방 정부 背景
이 발표는 주지사의 사무실이 언급하는 연방 정부의 후퇴를 배경으로 한다. 예산은 사이버 보안 및 인프라 보안 기관의 예산을 707백만 달러로削減하여, 이전 예산 수준보다 약 30% 감소하였다. 또한, 2025년 말에 연방 정부의 자금 지원이 종료된 다중 주 정보 공유 및 분석 센터는 2 thập kỷ 동안無償으로 주, 지방, 부족, 그리고 영토 정부들을 위한 위협 정보와 사이버 보안을 제공하였다. 주 및 지방 사이버 보안 보조금 프로그램은 10억 달러의 예산을 기반으로 하였지만, 현재 자금 지원 단계가 종료되면서 장기적인 자금 지원이 불확실하다.
위협의 측면은 연방 정부의 자문에서 문서화되어 있다. CISA, FBI, 그리고 EPA는 2026년 7월 22일에 이란과 관련된 행위자들이 미국의 물 및 폐수 처리 시설, 에너지, 정부 시설, 그리고 지방 자치 단체를 대상으로 하는 프로그램 가능한 논리 컨트롤러를 방해하는 것을 경고하였다. 주지사의 발표는 이란과 관련된 운영이 30개 이상의 미네소타 지방 수처리 시설을 대상으로 한 보고와 관련이 있다고 언급하였다.
지시가 설정하지 않는 것
이 발표는 기관들에게 지시이지만, 자금 지원이나 예산을 설정하지 않는다. 또한, Cal-CSIC의 구축에 대한 예산, 직원 수, 또는 AI 도구의 조달 수단을 명시하지 않는다. 공개 데드라인도 설정하지 않는다. 의무는 주 정부 내부에 있으며, 지방 정부와 인프라 운영자들에게 제공하는 것은 접근의 확대이다.
첫 번째 관찰 가능한 표시자는 기관 전체에 걸쳐 나타나는 책임자 지정과 Cal-CSIC 내에서 프로그램이 운영 형태를 취하는 것이다. 여기서 캘리포니아의 사건 보고 및 위협 조정 채널이 이미 작동하고 있다.
