AI 예산은 암호화가 담보할 수 없는 수표를 쓰고 있습니다

모두가 보는 곳에 징조가 있습니다. 무디스, 구글, 클라우드플레어, 그리고 백악관이 모두 경고를 발령하고 있습니다. 그렇다면 왜 CISO들은 여전히 양자 컴퓨팅을 “나중에” 해결할 문제로 간주하고 있을까요?

어떤 CISO에게도 올해 이사재정 예산이 어디로 갔는지 물어보면 같은 대답을 들을 수 있습니다: AI. 시장은 인공 지능이 우리 시대의 결정적인 보안 도전이라고 판단했으며, 돈은 그에 따라 따라갑니다.

그러나 하나의 문제가 있습니다. 조직이 AI 파이프라인을 구축하는 동안, 누군가가 조용히 가장 민감한 암호화된 데이터를 훔치고 양자 컴퓨터가 도착하기를 기다리고 있을 수 있습니다.

그것은 가상적인 시나리오가 아닙니다. 그것은 문서화된 수집 태도인 “수확 지금, 해독 나중에”이며, 이것은 무디스 등급이 느린 양자 암호화(PQC) 채택이 금융, 의료, 및 중요 인프라를 포함한 조직에 대한 물질적인 신용 위험을 나타낼 수 있다고 경고한 이유입니다. 최근 백악관은 연방 기관과 계약자에게 2030년까지 높은 가치 자산과 높은 영향 시스템을 PQC로 전환하도록 지시했습니다.

타임라인이 크게 짧아졌습니다.

수년 동안, 양자 준비에 대한 지출을 줄이려는 이사회에 제공된 표준적인 안심은 간단했습니다: 2035년까지는 시간이 있습니다. 그것은 미국 정부의 국가 보안 시스템을 양자 이후 암호화로 마이그레이션하는 목표였으며, 이것은 현재로 부터 충분히 먼 지평선이었습니다. 그러나 그것이 바뀌었습니다.2026년 6월 22일, 백악관은 연방 기관이 양자 이후 암호화 솔루션으로 마이그레이션할 타임라인을 명령하는 두 개의 행정부 명령을 발표했습니다.이 행정 명령은 함께 양자 컴퓨팅의 발전과 그 보안 영향에 대한 방어가 이제 분리할 수 없는 국가 우선순위임을 인정합니다. 하나의 명령은 양자 혁신을 가속화하고, 다른 하나는 양자 시대에 중요한 시스템을 보호하기 위한 작전 준비를 가속화합니다.

최근까지, 오늘의 암호화를 깨기 위해 수백만 개의 큐비트가 필요하다고 생각했습니다. 새로운 연구, 구글의 양자 AI 팀이 인용한 연구를 포함하여, 약 10,000개의 큐비트가 충분할 수 있다고 제안합니다. 26,000개의 큐비트는 잠재적으로 P-256, 금융 서비스와 정부 시스템의 대부분을 지지하는 타원 곡선 알고리즘을 깰 수 있습니다. 구글의 연구는 이전 추정과 비교하여 안전한 타원 곡선 암호화를 공격하는 데 필요한 컴퓨팅 리소스가 약 20배 줄어들 수 있다고 지적합니다.

2026년 3월, 구글은 내부 PQC 마이그레이션 목표를 2029년으로 앞당겼다고 발표했습니다. 클라우드플레어는 4월에 같은 목표를 따랐습니다.最近, 6월 말, 마이크로소프트는 2033년에서 2029년으로 PQC 전환 목표를 앞당겼습니다. 미국 규제 태도는 지난 18개월 동안 의미 있게 바뀌었습니다. NSA는 이제 네트워크 장비 공급업체가 2026년까지 CNSA 2.0 알고리즘을 지원하고 선호하도록 기대합니다. 최근 행정 명령은 연방 기관이 2030년까지 높은 가치 자산과 높은 영향 시스템을 PQC로 전환하도록 지시했습니다.

EU에서, 유럽 위원회의 메시지는 분명합니다: 2026년 말까지 전환을 시작하고, 2030년 말까지 중요한 인프라를 보호하십시오.

이러한 개발의 결합된 효과는 “나중에” 타임라인이 더 이상 유효하지 않다는 것입니다. 질문은 규제 압력이 도착할지 여부가 아니라, 조직이 규제 압력이 도착했을 때 준비가 되었는지 여부입니다.

예산 함정: AI가 항상 승리하는 이유와 그것이 문제인 이유

이것은 IT 예산 회의에서 매 분기마다 발생하는 불편한 역학입니다. AI 투자는 이야기를 가지고 있습니다. 리드를 생성하고, 비용을 절감하고, 분석가를 가속화하고, 실행 가능한 출력을 생성합니다. AI 기반 SOC 도구는 첫날에 대시보드를 보여줄 것입니다. PQC 마이그레이션 프로그램은 사용자에게 보이지 않는 문제의 암호화 인벤토리를 보여줄 것입니다.

무디스는 이 긴장을 명시적으로 식별했으며, PQC 지출은 “즉각적인 수익 상승이나 생산성 향상을 제공하지 않기 때문에 AI 투자와 직접 경쟁할 것”이라고 지적했습니다. 이것은 쉽게 연기할 수 있지만 뭔가가 치명적으로 잘못되어야만 정당화할 수 있는 지출입니다.

그러나 연기된 비용은 무료가 아닙니다. 무디스는 현재 PQC 마이그레이션을 시작하는 조직이 약 2.5%의 연간 IT 예산을 대표해야 한다고 예상합니다. 2030년까지 지연하는 조직은 두 배의 비용을 지불해야 할 것입니다. 백악관은 연방 시스템만 마이그레이션하는 것이 약 71억 달러의 비용이 들 것이라고 추정했습니다. 그것은 단일 정부에 대한 것입니다. 기업 시장에 걸친 논리를 곱하면 숫자가 무시할 수 없습니다.

지능형 운영자가 이미 하고 있는 것

구글, 클라우드플레어, 마이크로소프트가 앞서고 있다는 사실은 주목할 만하지만, 그것은 또한 교훈이 되어야 합니다.이 회사들은 암호화 마이그레이션이 정부 일정에 따라 완료되는 규제 준수 작업이 아니라, 여전히 제대로 할 수 있는 시간이 있을 때competitive 인프라 결정이 필요하다고 결론지었습니다.

그들의 접근 방식은 두 가지 원칙에 중심을 두고 있습니다.

첫 번째는 암호화 유연성입니다. 기본 알고리즘이 깨끗하게 교체될 수 있는 시스템을 구축하는 것입니다. NIST의 ML-KEM과 ML-DSA를 2024년에 주요 양자 이후 표준으로 최종화한 것은 주요里程碑이었습니다. 그러나 알고리즘 풍경은 계속 바뀔 것입니다. 표준화 과정에서 이미 몇몇 강력한 후보가 깨졌습니다. 오늘의 PQC 알고리즘을 RSA와 동일한剛性로 하드 코딩하는 조직은 5년 후에 다시 같은 고통스러운 교체 주기를 겪을 것입니다.

두 번째는 가시성입니다. 보이지 않는 암호화를 마이그레이션할 수 없습니다. 대부분의 기업은 자신의 애플리케이션뿐만 아니라 제3자 통합, 벤더 관리 플랫폼, IoT 디바이스, 운영 기술, 수년간 패치되지 않은 레거시 시스템에 걸친 전체 부동산에서 공개 키 암호화가 어디에 살고 있는지에 대한 일관된 그림을 가지고 있지 않습니다.

이 두 가지 기능, 즉 유연성과 가시성, 모두 투자가 필요합니다. 암호화 인벤토리, 오케스트레이션 및 마이그레이션 툴링에 대한 전용 지출이 필요합니다. 그 지출은 아직 행동할 수 있는 창이 닫기 전에 지금부터 나눠야 합니다.

이사회가 물어야 할 질문

이 이야기가 나쁜 결말로 끝나는 예측 가능성이 있습니다. 조직은 2027년과 2028년을 통해 이사재정 예산의 자유재량 부분을 AI 도구에 계속 투자합니다. 양자 컴퓨팅 기능이 예상보다 빠르게 발전합니다. 규제기관은 짧은 리드 타임으로 PQC 준수를 강요하기 시작합니다. 조직은 시간 압박下에서 중요한 암호화 인프라를 마이그레이션하기 위해 분투합니다. 동시에 그 해에 헤드라인을 지배하는 어떤 AI 관련 사건도 관리합니다.

그것은 양자 위협이 아닙니다. 그것은 계획 실패입니다.

이 이야기가 더 지능적으로 보이는 버전은 다릅니다. 그것은 이사회가 CISO에게 간단한 질문을 하는 것으로 시작합니다: 공개 키 암호화는 어디에 있으며, 그것을 마이그레이션하는 데 얼마의 비용이 들며, 언제 시작해야 합니까? 그것은 IT 리더십이 AI 보안 예산의 일부, 심지어 소규모 예산이라도, 암호화 기초를 구축하는 데.redirecting하는 것으로 계속됩니다.

AI와 PQC는 실제로 경쟁 우선순위가 아닙니다. 조직이 배포하는 모든 AI 시스템, 민감한 데이터에 대한 모든 모델, 노출하는 모든 API는 그 아래에 있는 암호화 인프라에 의존합니다. 그 인프라가 양자 적으로 깨지면, 위에 있는 AI 보안 도구는 중요하지 않습니다.

양자 암호화 준비를 위한 일부 AI 예산을 이동하는 경우는 기술적인 논리가 아닙니다. 그것은 재정적인 것입니다.

초기 이동자는 새로운 시스템에 암호화 유연성을 마진 비용으로 구축할 것입니다. 그들은 규제 압력이 도착하기 전에 벤더 계약에 PQC 준비 요구사항을 협상할 것입니다. 그들은 비용을 여러 해에 걸쳐 분산시키는 대신 규제 주도적인 스프린트로 압축하지 않을 것입니다.

늦은 이동자는 두 배의 비용을 지불하고, 압력下에서 마이그레이션할 것입니다. 그리고 그들은 이사회에 EO를 읽었고, 무디스의 경고를 보았고, 구글, 클라우드플레어, 마이크로소프트가 2029년으로 타임라인을 이동했으며,仍然行動하지 않았다고 설명할 것입니다.