한국군 국방지휘통제체계 AI 보안 요구사항 분석과 시사점

현대전은 정보 우위의 전쟁이다. 전장 곳곳의 센서가 만드는 데이터와 이를 실시간으로 처리하는 네트워크/클라우드 그리고 방대한 정보를 이해, 예측, 결심(Decision)으로 전환하는 AI 기술이 하나의 지휘통제체계 안에서 결합될 때 OODA(Observe–Orient–Decide–Act) 주기가 단축되고 Sensor-to-Shooter 흐름을 보장한다^[1]. 데이터(센서)–네트워크(클라우드/엣지)–AI(분석/결심)의 결합이 곧 지휘통제(C2)의 전투력 자체가 될 수 있다. AI는 단순한 보조 수단이 아니라 분산된 전장 데이터를 신뢰 가능한 공통작전상황도(COP)와 행동 지침으로 바꾸는 핵심 도구이며, 전장 환경의 실시간성·불확실성·이기종성에 대응하도록 하는 핵심 기술 요소이다.

한국군은 공중·지상·해상·우주·사이버 합동 전 영역에서 신속·정확한 지휘 결심과 Sensor-to-Shooter 실행을 보장하기 위해 차세대 지휘통제체계 KCCS(Korea Command & Control System)를 단계적으로 전력화하고 있다[2]. 최근 연구에 따르면 KCCS를 전군 C4I(Command, Control, Communication, Computer)와 데이터·AI 플랫폼을 통합한 전장 클라우드 구조로 정의하고 있으며, 전장 데이터의 수집, 표준화, 공유, 활용을 통해 지휘관의 결심을 가속하는 것을 핵심 목적으로 명시하고 있다[3, 4]. 이러한 한국군 지휘통제체계의 발전 방향은 미국 국방부가 제시한 JADC2(Joint All-Domain Command & Control)를 한국군 환경에 맞게 구현하려는 연구와 같은 방향으로 발전하고 있다[1]. 특히 JADC2는 멀티센서 지각·융합, 상황 예측과 COA(Course of Action) 생성, 전술 엣지 배포 등 지휘 결심 전 과정에 AI 기술을 광범위하게 적용하며, 이를 신속 결심을 가능하게 하는 핵심 수단으로 규정하고 있다. 이에 발맞춰 KCCS도 전군 C4I와 데이터·AI 플랫폼을 통합하는 ‘전장 클라우드’ 구상 아래, 상황 인식·예측·지휘 결심 지원과 엣지 분석 등 핵심 임무 영역에서 AI의 비중을 단계적으로 확대·고도화하는 방향으로 추진되고 있다[2].

하지만 AI 자체를 안전하게 운용하기 위한 AI 보안·보증(Security for AI)의 제도·기술 구성은 양 체계 간 괴리가 뚜렷하다. 미국은 JADC2 추진과 병행해 CDAO(Chief Digital and Artificial Intelligence Office)의 GenAI Toolkit(생성형 AI 가이드라인·가드레일), JATIC(Joint AI Test Infrastructure Capability)을 중심으로 한 AI 시험·보증(T&E/Assurance), DevSecOps v2.5와 Iron Bank/Platform One에 의거한 AIBOM(AI Bill of Materials)/SBOM(Software Bill of Materials)·서명·공급망 보증, Zero-Trust 참조 아키텍처 등을 정책–도구–운영 절차로 구체화해 운용한다[5–8]. 반면 KCCS에서 확인된 AI 보안 기술은 데이터·클라우드·AI 통합의 필요성과 전력화 청사진이 중심이며, 지휘 결심용 XAI 가드레일, AI 전용 T&E/Assurance, AIBOM(ML-BOM)/SBOM 등의 AI 보안 기술 규격·운영 절차는 향후 과제로 제시되는 단계에 머물러 있다[2,3]. 따라서, KCCS는 JADC2의 데이터·AI 통합 방향을 적극 수용하면서도, AI 보안 기술 레이어(XAI 가드레일, T&E, AIBOM)에 대한 제도화·표준화 체계는 미비하여 AI 모델에 대한 취약점 공백이 존재한다.

KCCS 도입되는 AI 기술은 전장 데이터의 이해·예측·결심을 가속하는 핵심 수단이지만, 동시에 AI 기술 취약점이 지휘 결심 오류로 직결될 수 있는 문제점을 가지고 있다. 예를 들어 AI 모델의 환각(Hallucination)과 근거 부재는 신뢰도 낮은 COA를 그럴듯한 명령으로 포장해 지휘 결심에 오판을 유도할 수 있고, 외부 지식에 의존하는 RAG 기반 참모는 자료 출처가 변조되거나 프롬프트 주입(Prompt Injection) 공격이 발생할 경우 보안 구역 노출, 좌표 변조, 규정 위반 지시처럼 실제 작전 위험으로 이어지는 명령을 산출할 수 있다. 또한 재밍(Jamming), 스푸핑(Spoofing), 통신 단절과 같은 학습 외 환경에서의 급격한 성능 저하, 적대적 공격과 데이터/모델 오염에 따른 공격 탐지 실패·허위 경보 증가는 시간 우위를 목표로 하는 C2의 장점을 상쇄하고, 우군 피해나 임무 실패로 이어질 수 있다. 공급망 측면에서도 모델, 데이터, 코드, 컨테이너 중 어느 하나라도 무결성이 깨지면 백도어 주입, 취약 라이브러리 악용, 파라미터 바꿔치기 등으로 이어져, 배포 후에는 원인 추적이 곤란해지는 구조적 리스크가 발생한다[5–8, 11–13].

따라서 본 논문에서는 지휘통제체계에 AI 기술이 도입되는 상황에서, 기존 사이버 보안으로는 정의할 수 없는 AI 모델의 보안 문제를 진단하고자 한다. 이를 위해 C2 환경에서의 사이버 공격·사이버 보안 목록을 살펴보고, AI 도입으로 인해 등장하는 새로운 취약점과 Security for AI 개념을 설명한다. 또한, JADC2에서 정책·도구·운영 절차 수준으로 구체화되고 있는 AI 보안·보증 사례를 정리하고, KCCS 관련 연구·정책과 비교·분석함으로써 KCCS에서 AI 보안이 사이버 보안 목록에 포함되지 않은 문제를 드러낸다. 마지막으로 한국군 지휘통제체계 관점에서 AI 보안 시사점과 향후 과제를 제안한다.

지휘통제체계는 전장 클라우드, 합동망, 무기체계 인터페이스 등 다양한 요소가 결합된 복합 시스템으로, 일반 IT 시스템보다 넓은 공격 표면을 가진다[1–4]. 본 논문에서는 선행 연구와 위협 모델을 참고하여 C2 환경에서 빈번히 논의되는 공격을 피싱(phishing), 사회공학(social engineering), 내부자 위협(insider threat), 취약·레거시 시스템 방치(Unpatched / Legacy systems), 계정·권한 탈취(ATO), 서비스 거부(DDoS), 네트워크 침투와 수평 이동(lateral movement), 공급망(supply chain) 공격, 데이터 유출/변조(Data tampering), 랜섬웨어(ransomware), 웹 취약점 공격(Web application attacks) 등으로 정리한다. 표 1은 공격들을 C2 관점에서 재구성한 것이다. 예를 들어, 피싱, 사회공학은 C2 운영자 계정 탈취와 악성 명령 주입으로 이어질 수 있으며, 취약·레거시 시스템 방치는 전장 클라우드의 특정 노드를 발판으로 삼는 침투 경로를 제공한다. 서비스 거부 공격은 COP 갱신 지연과 센서–슈터 간 정보 흐름 차단으로, 공급망 공격은 C2 소프트웨어 패치·업데이트 경로를 통한 악성 코드 유입으로, 데이터 유출/변조는 상황 인식 자체의 왜곡으로 연결된다. 이와 같이 C2 환경에서의 사이버 공격은 단순한 시스템 장애를 넘어, 지휘관의 상황 판단과 교전 규칙, 사격 통제에 직접적인 영향을 미칠 수 있다. 따라서 KCCS와 같은 차세대 지휘통제체계에서는 각 공격 유형을 명시적으로 식별하고, 이에 대응하는 사이버 보안 통제를 구조적으로 설계하는 것이 필수적이다.

KCCS 관련 연구와 자료를 보면, 지휘통제체계 보안은 주로 망·시스템·데이터 중심 사이버 보안 프레임에서 논의된다[2–4,10]. 망 분리·망 연동 정책을 통해 전장망, 행정망, 인터넷망을 층위별로 분리하고 필요 최소한의 연계를 허용하는 구조가 제시된다. 또한, 전장 클라우드와 엣지 노드에 대한 접근 통제, 암호화, 로깅·감사, 취약점 관리 등 클라우드/플랫폼 보안이 강조된다. 데이터 관리 측면에서는 전장 데이터의 표준화, 메타데이터 관리, 백업·복구 체계, 로그 감사·추적 등을 통해 데이터 기밀성, 무결성, 가용성을 보장하려는 노력이 논의된다. 국제 표준과의 정합성을 고려하여 NIST CSF 기반의 Identify–Protect–Detect–Respond–Recover 기능, ENISA 위협·대응 카테고리, 국내 K-RMF와 연계된 DevSecOps, SBOM, 정적/동적 분석, 취약 오픈소스 감지 등 일반적인 사이버 보안 통제 항목이 KCCS·전장 클라우드 보안 논의의 주요 축으로 등장한다[12,13]. 이를 정리하면, 네트워크·클라우드 보안, 데이터 보안, 계정·권한 관리, 제로 트러스트(Zero-Trust), DevSecOps, SBOM, 로그·감사·모니터링 등이 KCCS 관련 사이버 보안의 핵심축이라고 볼 수 있다. 표 2는 이러한 연구와 국제 프레임워크를 바탕으로, 사이버 보안 카테고리를 정리한 것이다. 그러나 표 2 에서 정리한 KCCS 관련 사이버 보안 목록을 자세히 살펴보면, 공통적으로 네트워크·시스템·데이터와 같은 전통적 자산을 중심으로 설계되어 있음을 확인할 수 있다.

암호화, 접근 통제, 취약점 관리, 로그 감사, 네트워크 분리·모니터링과 같은 통제는 필수적이지만, 이들은 AI 모델·학습 데이터·프롬프트·정책을 독립적인 보안 대상으로는 설정하지 않는다. 특히 AI 모델의 환각, 데이터 포이즈닝, 적대적 예제, 프롬프트 인젝션, 모델 추출, 모델 인퍼런스, AI 공급망 공격과 같은 AI 특화 위협은 대부분 기존 사이버 보안 분류에는 포함되어 있지 않거나, 일반적인 소프트웨어 취약점의 하위 항목으로 간접적으로만 언급된다[5–8,11–13]. 다시 말해, KCCS 관련 사이버 보안 구성에서는 AI를 보안 기술로 활용하는 AI for Security 관점은 있지만, AI 모델 자체를 보호·검증·추적해야 하는 Security for AI 관점은 독립적인 축으로 자리 잡지 못한 상태이다. 따라서 KCCS의 사이버 보안 목록에는 AI 보안이 사실상 부재하며, 이는 향후 KCCS에 AI 모델이 본격 투입될수록 새로운 취약점을 방치하는 구조적 요인이 될 수 있다.

기존 사이버 보안에서는 AI를 활용하여 보안 기능을 강화하는 AI for Security와, AI 자체를 보호·검증·통제하는 Security for AI가 종종 혼용되지만, 두 개념은 목적과 보호 대상이 다르다. 전자는 침입 탐지, 이상 행위 탐지, 위협 분석 등 보안 기능을 강화하기 위한 AI 활용을 의미하는 반면, 후자는 AI 모델, 데이터, 프롬프트, 운영정책을 공격과 오동작으로부터 보호하고 그 신뢰성을 보증하는 것을 의미한다. 본 논문은 Security for AI에 초점을 맞춘다. AI 보안 관점에서 대표적인 취약점은 다음과 같이 정리할 수 있다. 첫째, 데이터 포이즈닝(data poisoning)과 백도어(backdoor) 삽입은 학습 단계에서 데이터나 레이블을 조작하여 특정 입력에서 의도된 오판을 유도하거나 전체 성능을 은밀히 열화시키는 공격이다. 둘째, 적대적 예제(adversarial examples)는 추론 단계에서 입력을 미세하게 교란하여 모델의 오분류를 유도하는 기법으로, 센서 노이즈·위장·환경 교란과 결합될 경우 전장 상황 인식과 표적 분류의 신뢰성을 훼손할 수 있다. 셋째, 프롬프트 인젝션(prompt injection)과 탈옥(jailbreak)은 LLM·RAG 기반 시스템에서 모델의 정책과 역할을 우회하여 금지된 정보 접근이나 규정 위반 출력을 유도하는 공격이다. 넷째, 모델 추출(model extraction)과 모델 역추론(model inversion, membership inference)은 반복 질의와 출력 분석을 통해 모델의 내부 행태나 학습 데이터의 일부 민감 정보를 추론하는 공격이다. 다섯째, AI 공급망 공격(AI supply chain attack)은 학습 데이터셋, 파인튜닝 파이프라인, 모델 가중치, 배포 아티팩트, 의존 라이브러리 등 공급망의 어느 한 지점을 겨냥해 악성 요소를 삽입하거나 무결성을 훼손하는 공격을 의미한다. 이들 취약점은 KCCS에서 아직 공개된 직접 사고 사례가 충분히 축적되지 않았더라도, 유사한 AI 시스템에서는 이미 반복적으로 실증되어 왔다. 예를 들어 BadNets 연구는 학습 공급망이 오염될 경우 특정 트리거가 부착된 표지판을 오인식하도록 만드는 백도어 모델이 가능함을 보였고, 물리 세계 적대적 예제 연구는 카메라를 통해 취득한 실제 영상에서도 모델 오분류가 재현될 수 있음을 입증하였다. 또한 Hidden Voice Commands 연구는 사람이 인지하기 어려운 음성 신호가 기계에는 명령으로 해석될 수 있음을 보였으며, 최근의 간접 프롬프트 인젝션 연구들은 외부 문서나 검색 결과에 삽입된 지시가 LLM 통합형 응용과 RAG 시스템의 응답을 왜곡할 수 있음을 보여준다. OWASP 역시 2025년 LLM Top 10에서 프롬프트 인젝션, 학습 데이터 포이즈닝, 공급망 취약성 등을 핵심 위험으로 제시하고 있다[15-21]. 따라서 KCCS와 같이 센서–네트워크–AI–결심이 긴밀히 연결된 지휘통제체계에서는, 이러한 유사 사례를 단순한 연구실 수준의 문제가 아니라 실제 작전 보안과 결심 보증의 문제로 해석할 필요가 있다. 표 3은 이러한 AI 취약점을 학습·추론·운영·공급망 단계별로 정리한 것이다. 이 표는 이후 JADC2와 KCCS의 AI 보안 체계를 비교할 때, 어떤 취약점에 대해 어떤 통제와 보증 수단이 필요한지를 판단하는 기준으로 활용된다.

KCCS가 전장 클라우드 위에서 다양한 AI 서비스를 함께 구동하는 구조라는 점을 감안하면, 앞서 정리한 AI 보안 기능이 없을 때 다음과 같은 구체적인 위험이 발생할 수 있다. 첫째, 가드레일·정렬 부재 시나리오이다. KCCS 내부에 LLM 기반 참모 서비스나 표적 추천 AI가 탑재되어 있음에도, 역할·임무·보안등급에 따른 출력 제한, OPSEC/PII 자동 필터링, 고위험 명령에 대한 Human-in/On-the-Loop 및 2인 승인 절차가 명확히 정의·도구화되어 있지 않은 상황을 가정한다. 이 경우 프롬프트 인젝션이나 잘못 설계된 RAG 문맥으로 인해 노출되면 안 되는 민감 좌표, 구체적인 작전 계획, 암호키 유사 정보와 같은 기밀성이 높은 정보가 질의·응답 과정에서 그대로 노출될 수 있다. 또한, 교전 규칙 완화, 특정 좌표에 대한 타격 허용과 같은 고위험 결심을 요구하는 질의가 단순 시나리오 검토 차원으로 제기되었더라도, 이를 자동으로 걸러내거나 사람 승인 단계로 전환하는 장치가 없다면, 해당 결과가 실제 작전 권고나 암묵적 기준으로 오인·내재화될 가능성이 존재한다. 둘째, AI 시험·보증 부재 시나리오이다. 전장 클라우드 위에서 위협도 예측 모델, 표적 분류 모델 등이 정기적으로 갱신·배포되지만, 이들에 대해 AI 전용 T&E 체계 없이 제한된 기능 시험 위주로만 검증이 이루어지는 상황에서는 센서 고장, GPS 스푸핑, 통신 지연과 같이 KCCS 운용 환경에서 빈번히 발생할 수 있는 비정상 조건에 대해, 모델이 어떻게 성능 열화·오작동을 보이는지 평가하는 표준 시험지표와 합격 임계값(KPI)이 정의되어 있지 않다면, 특정 조건에서만 반복적으로 발생하는 오판 패턴을 사전에 식별하기 어렵다. 더 나아가 모델 업데이트 이후 특정 표적 유형만 지속적으로 과소·과대 평가된다거나, 특정 지역·부대에 편향된 예측을 내는 등 성능 저하·편향 징후가 현실에서 관찰되더라도, 카나리 배포·롤백 기준이 없으면 이를 신속히 되돌리지 못한 채 운용할 수밖에 없다. 이러한 상황은 평시 기능 시험에서는 정상으로 보였던 AI 모듈이, 실제 전장·위기 환경에서만 일관된 오판을 야기하는 블랙스완형 실패 모드로 이어질 수 있으며, KCCS 전체의 신뢰성을 심각하게 저하시킬 수 있다. 셋째, AI 공급망·프로비넌스 부재 시나리오이다. KCCS용 AI 모델, 학습 데이터, 전장 로그, 프롬프트 템플릿 등이 복수의 방산 업체, 연구기관, 운용부대 사이를 오가며 개발·개선·재배포되는 구조를 상정할 때, 어떤 데이터로 어떤 버전의 모델이 학습되었는지, 누가 언제 어떤 설정으로 이를 빌드·배포했는지를 일관되게 추적할 수 있는 AIBOM/SBOM 및 서명 체계가 없다면, 공급망 전 과정에 대한 신뢰 사슬이 형성되지 않는다. 이 경우 백도어가 삽입된 모델이 정상 패치로 위장하여 유입되는 악의적인 모델 바꿔치기, 특정 표적을 항상 비위협으로 학습시키도록 설계된 의도적 데이터 오염, 승인되지 않은 비공식 모델·프롬프트의 무단 사용 등이 발생하더라도, 그 출처와 영향 범위를 신속히 파악·차단하기 어렵다. 결국, 망 분리·체계 인증과 같은 전통적 보안 조치만으로는 충분하지 않으며, AI 자산(모델·데이터·정책) 단위의 계보 관리, 전자 서명, 정책 게이트 없이는 내부 공급망을 통한 공격과 오류가 지휘결심 전 과정에 서서히 스며들 수 있다는 점이 문제로 남는다. 이러한 시나리오들은 기존의 사이버 보안 통제만으로는 AI 모델 특유의 취약점을 충분히 커버할 수 없음을 보여주며, KCCS에 별도의 AI 보안 사항이 필요함을 시사한다.

위 시나리오들은 단순한 가정적 서술이 아니라, 공개된 AI 보안 연구와 산업 가이드라인에서 반복적으로 확인된 위험 양상을 KCCS 운용 맥락으로 변환한 것이다. 즉, 학습 데이터와 모델 공급망의 오염 가능성, 물리 환경에서의 적대적 교란, 외부 문서를 통한 간접 프롬프트 인젝션, 반복 질의를 통한 모델 정보 추론 등은 이미 일반 AI 시스템과 LLM 응용에서 실증되었으며, 지휘통제체계에서는 그 결과가 단순 서비스 오류가 아니라 상황 인식 왜곡, 지휘결심 오판, 규정 위반 명령 생성으로 연결될 수 있다는 점에서 위험의 수준이 더 높다. 따라서 KCCS에서 AI 보안은 기존 사이버 보안의 세부 항목이 아니라, 지휘결심의 신뢰성과 작전 통제 가능성을 보장하기 위한 독립적 관리 영역으로 다루어져야 한다.

미국은 JADC2 추진과 병행하여 AI 보안을 독립적인 계층으로 취급하고, 다음의 세 축을 중심으로 정책·도구·운영 절차를 정교화하고 있다[5–8]. 첫째, 가드레일·정렬이다. CDAO는 생성형 AI 가이드라인·가드레일을 공표하고 이를 GenAI Toolkit으로 구현하여, 체크리스트·평가·승인 흐름을 통해 C2-AI에 대한 정책-as-code를 적용한다[5]. 허용된 데이터 소스만 연결하는 RAG 도메인 제한, 인용·버전 강제, OPSEC·PII 자동 필터링, 고위험 명령에 대한 Human-in/On-the-Loop 및 2인 승인 절차, 출력 레드액션(redaction)과 같은 원칙이 여기에 포함된다. 둘째, AI 시험·보증이다. JATIC는 재현성·추적성·강건성을 중심으로 하는 AI 시험·평가/보증 도구와 프레임워크를 공개 제공하며, 프롬프트/데이터 주입, 환각, 적대적 입력, OOD 환경에 대한 강건성 시험카드와 KPI를 정의한다[6]. 또한, 배포 전·후에는 카나리/롤백 게이트와 연동하여, 성능 저하·편향·드리프트가 감지되면 자동으로 등급을 낮추거나 이전 버전으로 복귀할 수 있는 구조를 지향한다. 셋째, AI 공급망·프로비넌스이다. DevSecOps v2.5, Iron Bank, Platform One 등을 통해 소프트웨어·AI 아티팩트에 대한 SBOM·서명·정책 게이트를 적용하고, AIBOM/ML-BOM을 활용해 모델 가중치, 학습·평가 데이터, 프롬프트·정책·설명 규칙까지 메타데이터로 묶어 관리한다[7,8]. 이를 통해 빌드–검증–배포 전 과정을 추적·검증하고, 누가·언제·무엇을 사용했는지를 계보 형태로 남겨 바꿔치기·오염·스푸핑 위험을 줄인다. 요약하면, JADC2는 AI 모델을 지휘통제체계 내부의 독립 자산으로 보고, 가드레일·정렬, 시험·보증, 공급망·프로비넌스라는 세 축을 통해 AI 보안을 구조적으로 관리하고 있다.

이에 비해 KCCS 관련 연구에서는 데이터·클라우드·망 통합, 제로 트러스트, DevSecOps 등 사이버 보안 관점의 논의가 두드러지지만, AI를 보안·보증 대상으로 다루는 제도·도구·운영 절차는 거의 찾아보기 어렵다[2–4,10,12,13]. 지휘결심용 XAI 가드레일, AI 전용 T&E/Assurance, AIBOM/SBOM 등은 대체로 향후 검토 과제 수준에서 언급되거나, 아예 등장하지 않는 경우가 많다.

KCCS는 사이버 보안 측면에서는 네트워크·클라우드·데이터를 보호하기 위한 다양한 통제 항목을 갖추고 있지만, AI 보안 목록과 도구는 비어 있는 상태에 가깝다. 즉, KCCS는 AI를 활용하는 지휘통제체계로 설계되면서도, AI 모델·데이터·정책을 별도의 보안 계층으로 다루는 명시적 프레임은 마련되어 있지 않다.

이상의 분석이 시사하는 바는 단순히 KCCS에도 AI 보안이 필요하다”는 선언적 수준에 머물지 않는다. 오히려 2장과 3장의 분석을 종합하면, KCCS에 AI가 본격적으로 투입되는 순간 기존의 네트워크·시스템·데이터 중심 사이버 보안만으로는 지휘결심의 신뢰성과 통제 가능성을 충분히 보장하기 어렵다는 점이 보다 분명해진다. 즉, 기존 사이버 보안은 계정 탈취, 네트워크 침투, 데이터 유출·변조와 같은 전통적 위협에 효과적이지만, AI 모델의 환각, 프롬프트 인젝션, OOD 환경에서의 급격한 성능 열화, 모델 업데이트 이후의 편향·드리프트, 공급망상의 모델·정책 바꿔치기와 같은 AI 특화 실패 양상은 직접 통제하지 못한다. 따라서 KCCS에는 기존 사이버 보안 목록과 별도로, AI 자산을 독립적인 보호·보증 대상으로 설정하는 KCCS형 AI 보안 목록이 필요하다. 이러한 AI 보안 목록은 본 논문이 제안한 세 축, 즉 가드레일·정렬, AI 시험·보증, AI 공급망·프로비넌스를 중심으로 구성될 수 있다. 첫째, 가드레일·정렬은 지휘결심 지원 AI가 어떤 근거를 사용할 수 있는지, 어떤 수준의 출력을 허용하는지, 어떤 질의와 행동을 사람 승인 단계로 전환해야 하는지를 정책-as-code 형태로 규정하는 계층이다. 둘째, AI 시험·보증은 기존 기능 시험을 넘어 적대적 입력, 센서 불일치, 통신 지연, GPS 스푸핑, 데이터 드리프트와 같은 전장형 비정상 조건에서 모델이 어느 수준까지 성능을 유지하는지 검증하는 계층이다. 셋째, AI 공급망·프로비넌스는 모델, 학습 데이터, 프롬프트, 정책 규칙, 컨테이너, 라이브러리의 출처와 변경 이력을 추적하여, 지휘통제 AI의 신뢰 사슬을 형성하는 계층이다. 이 세 축은 기존 인프라 보안을 대체하는 것이 아니라, 그 위에 추가되어 AI의 특수한 실패 양상을 관리하는 보완적 통제로 이해되어야 한다. 정책적 우선순위도 명확하다. 첫째, 지휘결심과 직접 연결되는 LLM/RAG 기반 참모 기능, 위협도 평가, 표적 추천과 같은 고위험 사용례부터 AI 보안 요구사항을 명시해야 한다. 둘째, 획득·개발 단계에서는 AI 전용 시험평가 기준과 합격 임계값, 카나리 배포 및 롤백 기준을 제도화해야 한다. 셋째, 운영 단계에서는 모델·데이터·정책에 대한 계보 관리와 변경 통제를 DevSecOps 및 제로 트러스트 체계와 연동해야 한다. 결국 KCCS에서 AI 보안의 핵심은 AI를 쓸 것인가의 문제가 아니라, 어떤 조건과 통제 아래에서 AI를 작전 가능한 형태로 신뢰할 것인가의 문제라고 할 수 있다. 이러한 관점 전환이 이루어질 때 비로소 KCCS의 AI 전력화는 기술 시범 수준을 넘어 지휘통제체계의 제도화된 능력으로 정착할 수 있다.