바다이야기기프트전환 > 오리지널바다이야기

◉ ARTICLE / LANGUAGE한국어English日本語中文EspañolDeutschالعربيةFrançaisРусский원문 취재·작성 이상헌 기자 · 9개 국어 번역 ChatGPT (OpenAI GPT-6) · 번역 상태 다국어 사전 번역 서비스 미국 월가는 고객이 선택한 인공지능(AI)의 은행 접근을 막고 있다. 한국은 AI 활용을 확대한다며 망분리 장벽을 낮추고 있다. 그런데 국내 주요 은행 9곳에서 AI의 승인 범위 이탈과 취소 명령, 중복 거래를 차단했다는 공개 검증자료는 확보되지 않았다. 국가망보안체계(N2SF)를 둘러싼 보안 논의에서는 정보 결합과 정상 API 악용, 인증정보 재사용 등 여덟 가지 위험이 제시됐다. 외부 연결을 확대하면서도 실제 차단 능력을 입증하지 못한다면 보안은 약속에 머문다. AI가 지켜준다는 말보다 기존 격리를 왜 낮춰도 되는지부터 증명해야 한다. 29일 여성경제신문이 앞서 조사한 KB국민·신한·하나·우리·NH농협·IBK기업·카카오·케이·토스뱅크 등 국내 주요 은행 9곳의 공개자료에서는 계좌·금액 제한과 취소 명령 차단, 중복 거래 방지, AI 보안 평가에 관한 검증자료가 네 항목 모두 0/9로 집계됐다. AI 실제 거래 연결과 고객 최종 승인, 자금이체 제한에 관한 자료도 확보되지 않았다. 내부 보안 기능이 없거나 시험을 실시하지 않았다는 의미는 아니다. 은행이 고객의 돈을 지키는 실행 통제 능력을 외부에서 확인할 수 있는 형태로 제시하지 않았다는 뜻이다. 금융 AI의 안전성을 검증하려면 일곱 가지 질문에 답해야 한다. AI가 실제 거래망에 연결되는가. 고객이 최종 거래를 승인하는가. 자금이체 기능을 제한할 수 있는가. 승인한 계좌와 금액을 벗어난 명령을 차단하는가. 취소된 명령의 실행을 막는가. 동일 거래의 중복 처리를 방지하는가. 이러한 기능을 독립적으로 검증했는가. 국내 은행 9곳의 공개자료에서는 이 질문들에 대한 충분한 답을 확보하지 못했다. 보안 구멍 8개 인정한 N2SF 논쟁 그런데 왜 망분리부터 풀어야 하나 정부가 추진하는 N2SF는 정보를 기밀(C)·민감(S)·공개(O)로 분류하고 중요도와 위험에 따라 외부 연결을 허용하는 방식이다. 기존 망분리 체계의 일률적인 연결 제한을 조정해 외부 클라우드와 생성형 AI를 활용할 수 있도록 하는 것이 목적이다. 2025년 9월 공개된 가이드라인 1.0에는 6개 영역 약 280개 보안통제 항목이 담겼다. N2SF의 8대 보안 위험은 ① 공개정보 결합에 따른 민감정보 노출 ② AI 프롬프트 인젝션 ③ 정상 API 악용 ④ 탈취 인증정보 재사용 ⑤ 외부 AI 정보 유출 ⑥ 펌웨어·원격관리 취약。 ⑦ 침입 탐지·차단 시차 ⑧ 복합 침투 검증 부족이다. 빗썸 개인 정보 유출 사고의 원인이 된 다우오피스는 기업 내부의 문서와 결재, 업무정보를 모바일 환경에서도 이용할 수 있도록 하는 그룹웨어다. 외부 연결을 허용하는 업무 시스템은 기존 망분리가 제한하던 접근 경로를 넓힌다. 빗썸에서는 바로 이 모바일 그룹웨어를 통해 고객정보 파일이 반출됐다. N2SF가 지향하는 연결형 보안 환경에서 가장 먼저 검증해야 할 위험이 현실로 드러난 셈이다. 망분리는 외부와 내부 시스템 사이의 접근 경로를 구조적으로 제한한다. 모든 공격을 막는 장치는 아니지만 외부에서 도달할 수 있는 자원과 침해 이후 이동 가능한 범위를 줄인다. 새로운 연결을 허용하면 기존 격리가 제한하던 경로 일부가 다시 열린다. 보안업계가 입증해야 할 것은 위험 항목의 개수가 아니다. 열린 경로를 통해 들어오는 명령을 어디서 차단하고 그 결과를 어떻게 검증했는지다. 기존 격리의 효과를 평가하지 않은 채 AI 보안장비와 정보등급 분류를 앞세우는 방식에는 근본적인 문제가 있다. 연결하지 않아도 되는 시스템을 연결한 뒤 그 연결에서 발생하는 위험을 추가 장비로 통제하는 구조이기 때문이다. 업무 효율이 높아지는 만큼 공격 가능 경로가 어떻게 달라지는지 함께 계산해야 한다. 공개정보 결합·프롬프트 인젝션 데이터 등급··실행 권한 못 막아 첫 번째 위험은 공개정보의 결합이다. 개별 자료가 공개 등급으로 분류됐더라도 AI가 여러 자료를 결합하면 민감한 정보가 생성될 수 있다. 자료에 붙은 최초 등급만으로 AI가 만들어낸 결과물의 안전성을 판단하기 어렵다는 뜻이다. 외부 AI가 내부 자료를 검색하고 결과를 전송하는 경로까지 허용한다면 결과물의 재분류와 반출 통제가 추가로 필요하다. 정보등급을 정교하게 나누더라도 AI가 새로운 정보를 생성하는 과정까지 최초 분류만으로 통제할 수는 없다. 공개정보 두 개가 결합해 민감정보로 바뀌는 상황을 인정한다면 외부 전송 경로 자체를 제한하는 조치의 가치도 함께 평가해야 한다. 내부에서 분석한 결과가 외부로 이동할 수 없는 구조와 결과물을 검사한 뒤 외부 전송을 허용하는 구조는 실패했을 때의 피해 범위가 다르다. 두 번째 위험인 프롬프트 인젝션은 더욱 직접적이다. AI가 읽는 문서에 포함된 악의적인 지시가 내부 프로그램의 실행 명령으로 전달될 수 있다. 문서를 읽을 권한과 내부 시스템을 조작할 권한이 한 프로그램에 집중될수록 문제가 커진다. 이 두 위험은 정보등급 관리만으로 해결되지 않는다. 데이터의 공개 여부와 프로그램의 실행 권한은 별개의 문제이기 때문이다. 외부 AI가 내부 문서를 읽더라도 거래 시스템이나 중요 업무 프로그램을 직접 실행할 수 없도록 경계를 유지해야 한다. 필요한 기능만 별도의 통제된 경로로 제공하는 방식도 가능하다. 망분리 완화 논의가 외부 AI 활용을 위해 내부 시스템과의 연결부터 넓히는 방향으로 진행된다면 실행 권한의 경계가 어떻게 유지되는지 먼저 입증해야 한다. AI가 자료를 분석할 수 있다는 사실과 내부 시스템을 실행할 자격이 있다는 사실을 혼동해서는 안 된다. 정상 로그인·API·토큰까지 위험 허용된 연결이 공격 경로로 둔갑 세 번째 위험은 정상 계정과 API를 이용한 접근이다. 공격자가 탈취한 계정으로 로그인하거나 정상 형식의 API 요청을 제출하면 개별 보안장비는 이를 허용된 작업으로 판단할 수 있다. 여러 요청을 연속으로 실행하면서 권한 밖의 자료에 접근하거나 정보를 반출하는 상황은 단일 요청의 형식만 검사해서는 발견하기 어렵다. 네 번째 위험은 인증정보 재사용이다. 접근 토큰의 유효범위가 지나치게 넓거나 계정 정지 이후에도 기존 토큰이 살아 있다면 공격자가 권한을 계속 사용할 수 있다. 시스템 간 연결이 늘어날수록 하나의 인증정보로 접근 가능한 자원의 범위를 엄격하게 제한해야 한다. 두 위험은 기존 망분리 환경에서도 발생할 수 있다. 바로 그렇기 때문에 외부 연결을 확대할 때 기존 격리가 제공하던 보호 효과를 따져야 한다. 정상적인 인증이 악용될 수 있다는 사실을 알고 있다면 인증이 통과된 이후에도 접근 가능한 시스템을 제한하는 격리 구조가 중요하다. 망분리 완화의 안전성을 주장하려면 기존 환경과 새로운 환경에서 동일한 인증정보가 탈취됐을 때 접근 가능한 시스템과 데이터가 어떻게 달라지는지 비교해야 한다. 공격자가 하나의 계정을 확보했을 때 어느 업무망까지 이동할 수 있는지와 어떤 API를 호출할 수 있는지 실측해야 한다. AI 보안관제가 이상행위를 탐지한다는 설명만으로는 접근 가능 범위의 증가를 상쇄했다고 판단할 수 없다. 금융권에서도 같은 문제가 발생한다. AI가 정상적인 접근 권한을 발급받았다고 해서 모든 거래 명령을 실행할 자격을 얻는 것은 아니다. 고객이 승인한 금액과 수취인, 권한의 유효기간을 은행이 최종 단계에서 검사해야 한다. 정상 API 호출이라는 사실만으로 거래를 승인한다면 인증과 실행 통제를 혼동하는 셈이다. 외부 AI 반출·펌웨어·차단 지연 AI 보안관제만으로 격리 못해 다섯 번째 위험은 외부 AI 서비스로 전송되는 정보다. 사용자가 민감정보를 직접 입력하지 않더라도 AI가 내부 자료를 검색하거나 여러 정보를 결합한 결과에 보호 대상 정보가 포함될 수 있다. 외부 전송 경로를 새로 허용한다면 입력과 출력, 자동 생성된 결과물까지 검사해야 한다. 문제는 검사장치가 모든 민감정보를 식별할 수 있는지다. AI가 공개정보를 결합해 새로운 민감정보를 생성할 수 있다는 첫 번째 위험을 인정했다면 다섯 번째 위험의 차단 장치도 동일한 한계를 갖는다. 정보의 의미와 결합 결과를 완벽하게 판별할 수 없는 상황에서 외부 전송을 허용하면 검사 실패가 곧 정보 유출로 이어질 수 있다. 여섯 번째는 서버 펌웨어와 원격 관리장치의 안전성이다. 하드웨어 신뢰 기반이 훼손되면 상위 보안 프로그램의 감시 결과도 신뢰하기 어려워질 수 있다. 이 문제는 망분리만으로 해결되지 않는다. 동시에 소프트웨어 보안관제만으로 모든 계층의 안전성을 보장할 수 없다는 사실도 보여준다. 격리와 하드웨어 무결성 검증, 실행 권한 통제를 함께 유지해야 한다. 일곱 번째는 탐지와 차단 사이의 간격이다. AI 보안관제가 위험을 발견하더라도 실제 계정 정지와 토큰 폐기, 접속 차단이 늦어지면 공격은 계속될 수 있다. 공격을 탐지한 시。과 차단한 시., 그 사이 실행된 작업을 기록해야 하는 이유다. 망분리는 허용되지 않은 통신 경로를 처음부터 제한한다. 탐지 기반 보안은 허용된 연결에서 발생하는 위험을 식별하고 대응한다. 둘은 작동 원리부터 다르다. 탐지 성능이 높아졌다는 이유만으로 격리의 효과를 대체했다고 주장할 수 없다. 탐지에 실패하거나 대응이 지연되는 상황까지 고려해야 한다. 여덟 번째는 시험 범위다. 보안 。검표를 충족했다는 사실만으로 여러 시스템을 연결한 복합 공격을 막았다고 판단할 수 없다. 기존 망분리 환경과 새로운 연결 환경에서 동일한 공격을 재현하고 접근 가능한 자원과 실제 차단 결과를 비교해야 한다. 여덟 항목을 종합하면 정보 분류와 인증, 탐지, 차단, 하드웨어 신뢰, 시험 체계는 각각 다른 위험을 다룬다. 어느 하나가 다른 장치의 역할을 자동으로 대체하지 않는다. 망분리 완화의 안전성을 입증하려면 기존 격리가 제공하던 접근 제한 효과를 새로운 통제체계가 실제로 보존한다는 증거가 필요하다. 국내 은행 9곳의 공개자료 조사 결과는 이러한 검증 문제를 금융거래 단계까지 확장한다. 이번 해킹 사태는 은행의 핵심 금융거래 시스템뿐 아니라 대출조회와 영업지원 등 외부에 연결된 업무지원 시스템에서도 개인정보 유출이 발생할 수 있음을 보여줬다. AI에게 거래 실행 권한을 허용한 이후에는 계좌·금액 제한과 취소 명령 차단, 중복 거래 방지 기능을 검증해야 한다는 얘기다. 시중은행 해킹 사태 한 달, 피해 규모·공격 수법·배후 어디까지 확인됐나 금융당국은 은행의 AI 도입 여부를 조사하는 데 그칠 것이 아니라 실행 권한의 범위와 승인 조건, 권한 철회, 중복 거래 처리, 독립 검증 결과를 확인해야 한다. 금융보안원의 AI 에이전트 보안 평가기준을 거래 실행 시험과 연결하고 은행 자체 AI와 외부 AI에 공통 기준을 적용할 필요가 있다. 보안업계에도 같은 검증 책임이 따른다. AI를 활용한 이상거래 탐지와 위협 분석, 자동 대응 기술을 제공한다면 실제로 어떤 요청을 차단했는지 확인할 수 있어야 한다. 공격을 발견했다는 기록과 거래를 막았다는 기록은 다르다. 금융회사가 정상적으로 인증된 AI의 잘못된 명령을 처리하지 않았다는 사실까지 확인해야 보안 성능을 평가할 수 있다. 미국 월가의 외부 AI 접근 제한은 고객의 선택권 문제를 낳았다. JP모건체이스 등 대형은행이 자체 AI를 확대하면서 경쟁 외부 AI의 접근 자격까지 결정하면 보안 심사와 서비스 경쟁이 한 회사에 집중된다. 외부 AI가 어떤 요건을 충족해야 접근할 수 있는지 공개되지 않으면 보안책임과 경쟁 제한을 구분하기 어려워진다. 미국 은행에는 고객 AI를 차단하는 기준을 입증할 책임이 있고 한국 은행에는 AI가 고객의 돈을 잘못 움직이지 못하도록 막는 능력을 입증할 책임이 있다. 정부와 보안업계에는 망분리를 완화하면서도 기존 격리의 보호 효과를 유지할 수 있다는 주장을 시험 결과로 증명할 수 있어야 한다. AI 방패의 성능은 설치된 제품의 이름이나 위험 목록의 길이로 확인되지 않는다. 공격을 실제로 막아낸 명령과 차단 기록이 증거다. No public evidence for four core tests at nine banks Eight N2SF risks and the paradox of easing network separation Execution-control gaps remain even with valid APIs and authentication Network separation and independent verification take precedence over an AI shield Wall Street is blocking bank access by artificial intelligence (AI) services chosen by customers. South Korea is lowering network-separation barriers in the name of expanding AI adoption. Yet no publicly available verification materials were obtained from nine major Korean banks demonstrating that they block AI instructions exceeding authorized limits, revoked instructions, or duplicate transactions. Security discussions surrounding the National Network Security Framework (N2SF) have identified eight risks, including information aggregation, abuse of legitimate APIs, and reuse of authentication credentials. If external connectivity expands without demonstrated blocking capability, security remains a promise. Before claiming that AI will provide protection, authorities must establish why existing isolation can safely be relaxed. On the 29th, a previous review by The Women's Economy Daily of publicly available materials from nine major Korean banks—KB Kookmin, Shinhan, Hana, Woori, NH NongHyup, IBK Industrial Bank of Korea, KakaoBank, K Bank, and Toss Bank—found publicly available verification evidence at zero of nine banks in each of four categories: account and amount limits, blocking of revoked instructions, prevention of duplicate transactions, and AI security assessment. The review also did not obtain materials covering live AI connections to transaction systems, final customer authorization, or restrictions on funds transfers. This does not establish that internal security controls or testing are absent. It means the banks have not presented externally verifiable evidence of their ability to control execution and protect customer funds. Verifying financial AI safety requires answers to seven questions. Is AI connected to live transaction networks? Does the customer give final authorization? Can funds-transfer functions be restricted? Are instructions outside the authorized account and amount blocked? Are revoked instructions prevented from executing? Are duplicate transactions prevented? Have these controls been independently verified? Publicly available materials from the nine Korean banks did not provide sufficient answers.N2SF debate identifies eight security risksWhy relax network separation first? The government's N2SF classifies information as Confidential (C), Sensitive (S), or Open (O), allowing external connections according to importance and risk. Its aim is to adjust blanket connectivity restrictions under existing network-separation arrangements so organizations can use external cloud services and generative AI. Version 1.0 of the guidelines, released in September 2025, contained approximately 280 security controls across six domains. Security analyses surrounding N2SF identified eight risks: creation of sensitive information through aggregation of public data; prompt injection; abuse of legitimate accounts and APIs; reuse of authentication credentials; information transfers through external AI services; firmware and management-device risks; delays between detection and blocking; and insufficient testing of compound attacks. These eight items are not a list of vulnerabilities actually discovered in N2SF. They are risks to assess when permitting new connections. The question is therefore clear: if information classification is imperfect, legitimate authentication can be abused, and security equipment can fail to block an attack even after detecting it, what replacement controls deliver the same protection when existing isolation is reduced? Network separation structurally restricts access paths between external and internal systems. It does not stop every attack, but it reduces the resources reachable from outside and the scope for movement after a breach. Allowing new connections reopens some paths previously restricted by isolation. What the security industry must demonstrate is not the number of risk categories, but where instructions entering through reopened paths are blocked and how the results are verified. Promoting AI security equipment and information classification without assessing the effectiveness of existing isolation raises a fundamental problem. Systems that need not be connected are connected, and additional equipment is then deployed to manage the resulting risks. Any gain in operational efficiency must be evaluated alongside changes in potential attack paths.Public-data aggregation and prompt injectionData labels cannot control execution authority The first risk is aggregation of public information. Even when individual records are classified as open, AI may combine them to produce sensitive information. The original labels alone therefore cannot establish whether AI-generated output is safe. If external AI is permitted to search internal records and transmit results, additional controls are needed to reclassify outputs and govern their release. However finely information is classified, its original classification cannot fully control the generation of new information by AI. If two public records can be combined into sensitive information, restrictions on external transmission paths must also be considered. A system that prevents internally generated analysis from leaving has a different failure impact from one that permits transmission after inspecting the output. The second risk, prompt injection, is more direct. Malicious instructions embedded in documents read by AI can be passed into commands executed by internal programs. The risk grows when a single program combines authority to read documents with authority to operate internal systems. Information classification alone cannot resolve either risk. Whether data is public and whether a program may execute an action are separate questions. Even when external AI can read internal documents, boundaries must prevent it from directly operating transaction systems or critical business applications. Required functions can instead be exposed through separate, controlled interfaces. If proposals to ease network separation begin by expanding connections to internal systems for external AI use, they must first demonstrate how execution-authority boundaries will be maintained. The ability to analyze information must not be confused with authorization to operate internal systems.Legitimate logins, APIs, and tokens can be abusedAuthorized connections become attack paths The third risk is access through legitimate accounts and APIs. When an attacker logs in with a stolen account or submits a properly formatted API request, individual security devices may regard the operation as authorized. Examining only the format of each request makes it difficult to detect sequences that access unauthorized data or exfiltrate information. The fourth risk is credential reuse. If an access token has an excessively broad scope or remains valid after an account is disabled, an attacker may continue exercising its privileges. As intersystem connectivity grows, the resources reachable with any one credential must be tightly limited. Both risks can also arise in an existing network-separated environment. That is precisely why the protection provided by existing isolation must be assessed before expanding external connectivity. When legitimate authentication can be abused, isolation that limits reachable systems even after authentication remains important. To claim that relaxing network separation is safe, organizations must compare the systems and data reachable with the same stolen credentials in the old and new environments. They must measure which business networks an attacker could traverse and which APIs could be called after compromising one account. A claim that AI monitoring detects anomalous behavior does not, by itself, demonstrate that expanded access has been adequately offset. The same issue arises in finance. Being granted legitimate access does not entitle AI to execute every transaction instruction. At the final stage, the bank must check the amount and recipient authorized by the customer and the validity period of that authority. Approving a transaction solely because an API call is valid confuses authentication with execution control.External AI transfers, firmware, and delayed blockingAI security monitoring cannot replace isolation by itself The fifth risk concerns information sent to external AI services. Even if users do not enter sensitive information directly, AI searches of internal documents or aggregated results may contain protected information. If new external transmission paths are permitted, inputs, outputs, and automatically generated results all require inspection. The question is whether inspection tools can identify every instance of sensitive information. If AI can generate new sensitive information by combining public data, controls addressing the fifth risk face the same limitation as those addressing the first. When the meaning and implications of combined information cannot be identified perfectly, a failed inspection can lead directly to disclosure. The sixth risk concerns server firmware and remote-management devices. If the hardware trust foundation is compromised, monitoring results from higher-level security software may also become unreliable. Network separation alone cannot resolve this problem. Equally, software monitoring cannot guarantee security across every layer. Isolation, hardware-integrity verification, and execution-authority controls must be maintained together. The seventh risk is the gap between detection and blocking. Even if AI monitoring detects a threat, an attack may continue when account suspension, token revocation, or connection blocking is delayed. That is why organizations must record when an attack was detected, when it was blocked, and which actions occurred in between. Network separation restricts unauthorized communication paths from the outset. Detection-based security identifies and responds to threats on permitted connections. The two operate differently. Better detection performance does not, by itself, prove that isolation has been replaced. Failures to detect and delays in response must also be considered. The eighth risk concerns the scope of testing. Meeting a security checklist does not establish that compound attacks spanning multiple connected systems have been stopped. The same attacks must be reproduced in both the existing network-separated environment and the newly connected environment, comparing reachable resources and actual blocking outcomes. Taken together, the eight categories show that information classification, authentication, detection, blocking, hardware trust, and testing each address different risks. None automatically replaces the others. Demonstrating that relaxed network separation is safe requires evidence that the new control framework actually preserves the access restrictions provided by existing isolation.No public test evidence at nine Korean banksNeither AI shield performance nor transaction blocking publicly demonstrated The review of public materials from nine Korean banks extends this verification issue to financial transactions. AI viewing a customer's account or proposing a transaction must be distinguished from executing an actual transfer. Once execution authority is granted, account and amount limits, blocking of revoked instructions, and duplicate-transaction prevention must be tested. Among the seven items examined in the middle installment, no public verification materials were obtained for account and amount limits, blocking of revoked instructions, duplicate-transaction prevention, or AI security assessment. More disclosures about which AI systems financial institutions have adopted or how much they have invested do not fill this gap. As AI security investment and proposals to relax network separation expand across finance, the absence of public evidence identifying which transaction risks banks have actually blocked matters. Installing AI security equipment and preventing erroneous instructions from an otherwise authorized AI system are separate issues. Financial regulators should go beyond checking whether banks have adopted AI. They should examine the scope of execution authority, authorization conditions, revocation, duplicate-transaction handling, and independent verification results. The Financial Security Institute's AI-agent security assessment criteria should be linked to transaction-execution tests, with common standards for banks' own AI and external AI. The security industry bears the same responsibility for verification. Providers of AI-based anomaly detection, threat analysis, and automated response must be able to show which requests were actually blocked. A record of detecting an attack differs from a record of preventing a transaction. Security performance can be assessed only when it is also established that financial institutions did not execute erroneous instructions from legitimately authenticated AI.The same tests for bank AI and customer AIPreserve network separation and control execution authority Wall Street's restrictions on external AI access raise questions about customer choice. When large banks such as JPMorgan Chase expand their own AI while determining whether competing external AI services may gain access, security screening and service competition become concentrated within the same institution. Without disclosed eligibility requirements for external AI, it becomes difficult to distinguish security responsibility from restrictions on competition. This does not require directly opening a bank's internal network to AI chosen by customers. External AI analysis can be separated from internal transaction execution, with only necessary instructions passed through controlled interfaces. Customers choose the AI, while banks issue execution permissions and authorize final transactions. Banks can verify the identity and security qualifications of customer-selected AI and restrict permissions by function, including account inquiries, product comparisons, transfers, and investment. External AI submits instructions only within its authorized scope, while actual transactions are processed through a separate approval system controlled by the bank. When a customer revokes permission, previously issued execution credentials must also be invalidated. The same procedures must apply to banks' own AI. Granting broader transaction authority merely because AI is internal, or imposing additional screening only on external AI, conflicts with common standards. Publishing the reasons for restricting external AI access and the procedures for reassessment would preserve banks' security responsibilities while allowing scrutiny of preferential treatment for their own services. Independent verification bodies should test whether banks actually block instructions outside authorized limits. Comparing customer authorization records, AI execution instructions, and bank processing results can also identify the stage at which an incident occurred. This approach is compatible with the basic principle of network separation. Instead of allowing external AI unrestricted access to internal business networks, it processes only necessary functions through limited interfaces. Customer choice of AI and isolation of banks' internal networks can be pursued together.Show the blocking records before claiming an AI shield The eight risks identified in the N2SF debate do not automatically support the claim that additional security equipment can replace existing isolation. Instead, they highlight the need to verify data classification, authentication, execution authority, outbound-transfer controls, hardware trust, and incident response separately as connectivity expands. The failure to obtain public verification materials for core transaction controls at nine Korean banks points to the same issue. Assessing whether a financial institution is actually secure requires test results showing that unauthorized instructions were blocked, rather than figures for security investment or AI adoption. Network separation limits access paths. Execution-authority controls restrict what authorized programs can do. Independent verification establishes whether both controls actually work. None should be treated as an automatic substitute for another. US banks must substantiate the criteria they use to block customer-selected AI. Korean banks must demonstrate their ability to prevent AI from moving customer funds improperly. Governments and security providers must support claims that existing protections can be preserved while network separation is relaxed with actual test results. The performance of an AI shield cannot be established by the name of an installed product or the length of a risk list. The evidence lies in instructions actually blocked and the records documenting those blocks. 主要9銀行の核心4項目、公開検証資料はゼロ N2SFの8つのリスクとネットワーク分離緩和の逆説 正規API・認証を通過しても実行制御には空白 AIの盾よりネットワーク分離と独立検証を優先 米ウォール街では、顧客が選んだ人工知能（AI）による銀行へのアクセスが制限されている。韓国はAI活用を広げるためネットワーク分離の壁を低くしている。しかし韓国の主要9銀行について、AIが承認範囲を超えた指示、取り消された指示、重複取引を遮断できることを示す公開検証資料は確認できなかった。国家ネットワークセキュリティ体系（N2SF）をめぐっては、情報の結合、正規APIの悪用、認証情報の再利用など8つのリスクが示された。外部接続を拡大しながら遮断能力を証明できなければ、安全性は約束にとどまる。AIが守るという前に、既存の隔離をなぜ緩められるのかを証明すべきだ。 29日、女性経済新聞が先に調べたKB国民、新韓、ハナ、ウリ、NH農協、IBK企業、カカオ、ケイ、トス銀行の公開資料では、口座・金額の制限、取消指示の遮断、重複取引の防止、AIセキュリティ評価の4項目すべてで、公開検証資料が確認できた銀行は9行中ゼロだった。AIと実取引システムの接続、顧客の最終承認、送金制限についても資料は得られなかった。内部統制や試験が存在しないという意味ではない。顧客資金を守る実行制御能力を外部から検証できる形で示していないということだ。 金融AIの安全性には7つの問いがある。AIは実際の取引網につながるのか。顧客が最終承認するのか。送金機能を制限できるのか。承認した口座や金額を超える指示を遮断するのか。取り消された指示の実行を防ぐのか。同じ取引の重複処理を防ぐのか。これらを独立に検証したのか。9銀行の公開資料では十分な答えが得られなかった。N2SF論争で示された8つのセキュリティリスクなぜネットワーク分離を先に緩めるのか 政府のN2SFは情報を機密（C）、敏感（S）、公開（O）に分類し、重要性とリスクに応じて外部接続を認める。従来の一律の接続制限を調整し、外部クラウドや生成AIを利用できるようにすることが目的だ。2025年9月公開のガイドライン1.0には6領域約280の統制項目が盛り込まれた。 N2SFをめぐる分析では8つのリスクが挙げられた。公開情報の結合による機微情報の生成、プロンプトインジェクション、正規アカウント・APIの悪用、認証情報の再利用、外部AI経由の情報送信、ファームウェア・管理装置のリスク、検知と遮断の時間差、複合攻撃試験の不足だ。 この8項目はN2SFで実際に発見された脆弱性の一覧ではない。新たな接続を認める際に点検すべきリスクだ。分類が不完全で正規認証も悪用され、検知後の遮断にも失敗し得るなら、隔離を緩めたときに何が同等の保護を提供するのか。 ネットワーク分離は外部と内部のアクセス経路を構造的に制限する。すべての攻撃を防ぐわけではないが、外部から届く資源と侵入後に移動できる範囲を減らす。接続を増やせば制限されていた経路が再び開く。業界が示すべきなのはリスクの数ではなく、開いた経路からの指示をどこで遮断し、どう検証したかだ。 既存の隔離効果を評価せずAIセキュリティ機器と情報分類を優先するのは根本的な問題がある。接続不要のシステムをつないでから、発生したリスクを追加機器で制御する構造だからだ。業務効率の向上とともに攻撃経路の変化も評価しなければならない。公開情報の結合とプロンプトインジェクションデータの等級では実行権限を制御できない 第1のリスクは公開情報の結合だ。個々の資料が公開扱いでも、AIが複数を組み合わせれば機微情報が生まれる。元の分類だけでは生成結果の安全性を判断できない。外部AIが内部資料を検索し結果を送信できるなら、再分類と持ち出し制御が必要だ。 分類を精密にしても、AIが生み出す新情報まで元の等級で統制することはできない。公開情報の組み合わせで機微情報が生じるなら、外部送信経路そのものを制限する価値も検討すべきだ。内部分析結果を外に出せない構造と、検査後に送信を許す構造では、失敗時の被害が異なる。 第2のプロンプトインジェクションはさらに直接的だ。AIが読む文書に埋め込まれた悪意ある指示が、内部プログラムの実行命令になり得る。文書の閲覧権限と内部システムの操作権限が一つのプログラムに集中するほど危険は増す。 両リスクは情報分類だけでは解決できない。データが公開されているかとプログラムに実行権限があるかは別問題だ。外部AIが内部文書を読めても、取引システムや重要業務を直接操作できない境界が必要だ。必要な機能だけを独立した管理経路で提供する方法もある。 外部AI利用のため内部接続を先に広げるなら、実行権限の境界が維持されることを証明すべきだ。情報を分析できることと内部システムを動かす資格を混同してはならない。正規ログイン・API・トークンも悪用される許可された接続が攻撃経路に変わる 第3のリスクは正規アカウントとAPIによるアクセスだ。盗まれたアカウントでログインしたり正しい形式のAPI要求を送ったりすれば、機器は許可済みの操作と判断し得る。要求を個別に見るだけでは、連続操作による権限外の閲覧や情報流出を見つけにくい。 第4は認証情報の再利用だ。トークンの権限範囲が広すぎたり、アカウント停止後も有効だったりすれば、攻撃者は権限を使い続けられる。接続が増えるほど、一つの認証情報で届く資源を厳しく制限する必要がある。 両リスクは従来の分離環境でも起こり得る。だからこそ接続拡大前に隔離の保護効果を測るべきだ。正規認証が悪用される以上、認証後もアクセス可能なシステムを制限する隔離が重要になる。 分離緩和の安全性を主張するには、同じ認証情報が盗まれた場合に旧環境と新環境で到達できるシステムとデータを比較する必要がある。一つのアカウントでどの業務網を移動し、どのAPIを呼べるか実測すべきだ。AI監視が異常を検知するという説明だけでは、拡大したアクセス範囲を相殺したとはいえない。 金融でも同様だ。正規のアクセス権を持つAIに、あらゆる取引を実行する資格があるわけではない。銀行は最終段階で顧客が承認した金額、受取人、権限の有効期間を確認すべきだ。API呼び出しが正規というだけで承認するのは認証と実行制御の混同だ。外部AIへの送信・ファームウェア・遮断遅延AI監視だけでは隔離を代替できない 第5のリスクは外部AIサービスに送る情報だ。利用者が機微情報を直接入力しなくても、内部検索や情報結合の結果に保護対象が含まれ得る。送信経路を新設するなら入力、出力、自動生成結果を検査しなければならない。 問題は検査装置がすべての機微情報を識別できるかだ。公開情報の結合で新しい機微情報が生まれるなら、第5のリスクへの遮断装置も第1と同じ限界を持つ。意味や結合結果を完全に判断できなければ、検査の失敗が情報流出につながる。 第6はサーバーのファームウェアと遠隔管理装置の安全性だ。ハードウェアの信頼基盤が損なわれれば、上位の監視ソフトの結果も信頼しにくい。分離だけでは解決できず、ソフト監視だけでも全階層を守れない。隔離、ハードウェア完全性の検証、実行権限制御を併用すべきだ。 第7は検知から遮断までの時間差だ。AI監視が脅威を見つけても、アカウント停止、トークン失効、接続遮断が遅れれば攻撃は続く。検知時刻、遮断時刻、その間の実行内容を記録する必要がある。 ネットワーク分離は許可されない通信経路を初めから制限する。検知型の安全対策は許可された接続で脅威を発見し対応する。原理が異なる。検知精度の向上だけでは隔離の代替を証明できず、見逃しや対応遅延も考慮すべきだ。 第8は試験範囲だ。チェックリストを満たしても、複数システムにまたがる複合攻撃を止めた証明にはならない。旧分離環境と新接続環境で同じ攻撃を再現し、到達資源と遮断結果を比較すべきだ。 8項目を総合すると、分類、認証、検知、遮断、ハードウェア信頼、試験は異なるリスクを扱う。一つが他を自動的に代替することはない。分離緩和の安全性には、新たな統制が従来のアクセス制限を維持する証拠が必要だ。韓国9銀行、公開試験資料はゼロAIの盾も取引遮断も公には未立証 9銀行の公開資料調査は、この検証問題を金融取引に広げる。AIが口座を照会し取引を提案する段階と、実際に送金する段階は異なる。実行権限を認めた後は、口座・金額制限、取消指示の遮断、重複防止を試験すべきだ。 中編で調べた7項目のうち、口座・金額制限、取消指示、重複防止、AIセキュリティ評価の公開検証資料は得られなかった。導入したAIや投資額の説明が増えても、この空白は埋まらない。 金融界でAIセキュリティ投資と分離緩和が広がるなか、どの取引リスクを実際に遮断したかが公表されていない点は重要だ。機器の設置と、正規権限を持つAIの誤指示を止める能力は別問題である。 金融当局はAI導入の有無だけでなく、実行権限の範囲、承認条件、権限取消、重複処理、独立検証を調べるべきだ。金融保安院のAIエージェント評価基準を取引実行試験と結び付け、銀行独自AIと外部AIに共通基準を適用する必要がある。 セキュリティ業界にも同じ検証責任がある。AIによる異常検知、脅威分析、自動対応を提供するなら、実際に遮断した要求を示すべきだ。攻撃の発見記録と取引阻止記録は異なる。正規認証されたAIの誤指示を銀行が処理しなかったことまで確認して初めて性能を評価できる。銀行独自AIも顧客のAIも同じ試験をネットワーク分離を保ち実行権限を制御 ウォール街の外部AIアクセス制限は顧客の選択権を問う。JPモルガン・チェースなどが自社AIを拡大しながら競合AIのアクセス資格も決めれば、安全審査と競争が一社に集中する。外部AIの要件が公開されなければ、安全責任と競争制限を区別しにくい。 だからといって顧客が選んだAIに銀行の内部網を直接開放する必要はない。外部AIの分析と銀行内部の取引実行を分け、必要な指示だけを管理された経路で渡せる。顧客がAIを選び、銀行が実行権限を発行して最終取引を承認する仕組みだ。 銀行は顧客が選ぶAIの身元と安全資格を確認し、口座照会、商品比較、送金、投資など業務別に権限を制限できる。外部AIは許可範囲の指示のみ提出し、実取引は銀行の別の承認システムで処理する。顧客が権限を取り消したら既発行の資格も無効にすべきだ。 銀行独自AIにも同じ手続きを適用すべきだ。内部AIだから権限を広げたり、外部AIだけを追加審査したりするのは共通基準に反する。制限理由と再審査手続きを公開すれば、安全責任を維持しながら自社優遇を検証できる。 独立検証機関は銀行が承認範囲外の指示を実際に遮断するか試験する。顧客の承認記録、AIの実行指示、銀行の処理結果を照合すれば、事故が起きた段階も特定できる。 この方式は分離の基本原則とも両立する。外部AIに内部網への自由なアクセスを与えず、必要な業務だけを限定接点で処理するためだ。顧客のAI選択権と銀行内部網の隔離は同時に実現できる。AIの盾を語るなら遮断記録を示せ N2SFで示された8つのリスクは、機器を追加すれば隔離を代替できるという主張を自動的に裏付けない。接続を増やすほど、データ分類、認証、実行権限、送信制御、ハードウェア信頼、事故対応を個別に検証する必要がある。 9銀行の核心的な取引統制について公開検証資料が得られなかった結果も同じ問題を示す。安全性の判断には投資額やAI導入実績より、未承認の指示を遮断した試験結果が必要だ。 ネットワーク分離はアクセス経路を制限する。実行権限制御は許可されたプログラムの行動を制限する。独立検証は両方が機能するか確認する。互いを自動的な代替物として扱ってはならない。 米国の銀行は顧客AIを遮断する基準を証明する責任がある。韓国の銀行はAIが顧客資金を不適切に動かさない能力を示す責任がある。政府と業界は分離を緩めても保護効果が維持されることを試験結果で証明すべきだ。 AIの盾の性能は製品名やリスク一覧の長さでは確認できない。実際に遮断した指示と、その記録こそ証拠だ。 九家银行四项核心测试，公开验证资料为零 N2SF八项风险与放宽网络隔离的悖论 合法API与身份认证通过后仍存在执行控制缺口 网络隔离和独立验证应优先于AI防护盾 美国华尔街正在限制客户自行选择的人工智能（AI）接入银行。韩国则以扩大AI应用为由放宽网络隔离。然而，在韩国九家主要银行的公开资料中，未找到证明其能够阻止AI超越授权范围、执行已撤销指令或重复交易的验证材料。围绕国家网络安全框架（N2SF）的讨论提出了信息组合、合法API滥用和认证信息重复使用等八项风险。扩大外部连接却无法证明实际拦截能力，安全就仍是承诺。与其声称AI能够保护系统，不如先证明为什么可以削弱现有隔离。 29日，女性经济新闻此前调查KB国民、新韩、韩亚、友利、NH农协、IBK企业、KakaoBank、K Bank及Toss Bank九家银行的公开资料发现，账户和金额限制、已撤销指令拦截、重复交易防止及AI安全评估四个项目，拥有公开验证资料的银行均为九家中的零家。也未取得AI连接实际交易系统、客户最终批准或转账限制方面的资料。这并不代表银行没有内部控制或从未测试，而是其未以外界可以验证的形式证明保护客户资金的执行控制能力。 验证金融AI安全性必须回答七个问题：AI是否连接真实交易网络？客户是否最终批准交易？能否限制转账？能否阻止超出获批账户和金额的指令？能否阻止已撤销指令执行？能否防止重复交易？这些功能是否经过独立验证？九家银行的公开资料未能充分回答。N2SF讨论提出八项安全风险为何首先放宽网络隔离？ 政府推动的N2SF将信息划分为机密（C）、敏感（S）和公开（O），依据重要性及风险允许外部连接。其目的是调整现有网络隔离对连接的一刀切限制，以便使用外部云服务和生成式AI。2025年9月公布的1.0版指南包括六大领域约280项安全控制措施。 相关安全分析提出八项风险：公开信息组合产生敏感信息、提示词注入、合法账户和API滥用、认证信息重复使用、通过外部AI传输信息、固件及管理设备风险、发现与阻断之间的延迟，以及复合攻击测试不足。 这八项并非在N2SF中实际发现的漏洞清单，而是允许新连接时应评估的风险。如果信息分类不完善、合法认证可能被滥用、安全设备发现攻击后仍可能无法阻断，那么降低现有隔离后，什么替代措施能够提供同等保护？ 网络隔离从结构上限制内外系统间的访问路径。它不能阻止所有攻击，但能减少外部可达资源及入侵后的横向移动范围。允许新连接会重新打开原先受限的部分路径。安全行业需要证明的是这些路径上的指令在哪里被阻断、结果如何验证，而不是风险项目有多少。 未评估现有隔离效果就优先推广AI安全设备和信息分类，存在根本问题：先连接本来无需连接的系统，再以额外设备控制连接带来的风险。提高业务效率的同时，也必须计算潜在攻击路径如何变化。公开信息组合与提示词注入数据等级无法控制执行权限 第一项风险是公开信息组合。即使单份资料被归为公开，AI也可能组合多份资料生成敏感信息。原始标签不足以判断生成结果是否安全。如果允许外部AI检索内部资料并传送结果，就需要重新分类和对外传输控制。 无论分类多精细，原始等级都无法完全控制AI生成的新信息。如果两个公开信息组合后会变成敏感信息，也必须评估限制外传路径的价值。内部分析结果根本无法外传的架构，与检查后允许外传的架构，在失效时的损害范围不同。 第二项风险提示词注入更加直接。AI读取的文件中可能嵌入恶意指令，进而成为内部程序执行的命令。当同一程序既能读取文件又能操作内部系统时，风险更大。 信息分类本身无法解决这两项风险。数据是否公开与程序是否有权执行操作是两个问题。即便外部AI可以读取内部文件，也应保留边界，禁止其直接操作交易系统或关键业务程序。必要功能可以通过独立且受控的接口提供。 如果放宽隔离首先意味着扩大外部AI与内部系统的连接，就必须先证明执行权限边界如何维持。能够分析资料，不等于有权操作内部系统。合法登录、API和令牌也可能被滥用获准连接会成为攻击路径 第三项风险是通过合法账户与API访问。攻击者使用盗取的账户登录，或提交格式正确的API请求，单个安全设备可能将其判定为获准操作。只检查单次请求的格式，难以发现连续访问越权资料或外传信息的行为。 第四项风险是认证信息重复使用。如果访问令牌权限过宽，或账户停用后旧令牌仍有效，攻击者就能继续使用权限。系统连接越多，越需要严格限制单一凭证可访问的资源。 这两项风险在原有网络隔离环境中也可能发生。正因如此，扩大外部连接时更应衡量原有隔离的保护效果。既然合法认证也可能被滥用，认证通过后仍限制可访问系统的隔离架构就十分重要。 要证明放宽隔离是安全的，就必须比较相同凭证被盗后，在新旧环境中能够访问哪些系统和数据。应实际测量攻陷一个账户后可进入哪些业务网络、调用哪些API。仅声称AI监控可以发现异常，并不能证明扩大访问范围带来的风险已被抵消。 金融领域也是如此。AI获得合法访问权限，不意味着有资格执行所有交易指令。银行必须在最终阶段核验客户批准的金额、收款人及授权有效期。仅凭API调用合法就批准交易，是混淆了身份认证与执行控制。外部AI传输、固件和阻断延迟仅靠AI安全监控无法替代隔离 第五项风险是传输给外部AI服务的信息。即使用户没有直接输入敏感资料，AI检索内部文件或组合信息的结果也可能包含受保护内容。若开放新的外传路径，就必须检查输入、输出及自动生成结果。 问题在于检查设备能否识别所有敏感信息。如果承认AI可以通过组合公开信息产生新的敏感内容，第五项风险的拦截设备就面临与第一项相同的局限。无法完美理解信息含义和组合结果时，检查失败就可能直接导致泄露。 第六项风险是服务器固件与远程管理设备的安全。如果硬件信任基础遭到破坏，上层安全软件的监控结果也可能不可信。网络隔离本身不能解决这一问题，软件监控也无法保证所有层级安全。必须同时维持隔离、硬件完整性验证与执行权限控制。 第七项风险是发现与阻断之间的时间差。即使AI监控发现威胁，若账户停用、令牌撤销或连接阻断延迟，攻击仍可继续。因此必须记录发现时间、阻断时间及期间执行的操作。 网络隔离从一开始就限制未经许可的通信路径。基于检测的安全措施则识别并处理获准连接上的威胁。两者工作原理不同。检测能力提高不等于证明可以替代隔离，还必须考虑漏检和响应延迟。 第八项风险是测试范围。满足安全检查清单并不代表已经阻止跨越多个系统的复合攻击。应在原有隔离环境与新连接环境中重现相同攻击，比较可达资源和实际阻断结果。 综合八项风险，信息分类、认证、检测、阻断、硬件信任和测试分别应对不同问题。任何一项都不会自动替代其他措施。要证明放宽隔离安全，必须拿出新控制体系实际保留原有访问限制效果的证据。韩国九家银行公开测试资料为零AI防护盾性能与交易阻断能力均未公开证实 对九家银行公开资料的调查将验证问题延伸至金融交易。AI查询账户或提出交易建议，与实际执行转账必须区分。一旦授予执行权限，就应测试账户和金额限制、已撤销指令阻断及重复交易防止功能。 在此前中篇调查的七个项目中，账户和金额限制、撤销指令阻断、重复交易防止及AI安全评估均未获得公开验证资料。金融机构公布更多AI应用和投资金额，也无法填补这一空白。 金融业扩大AI安全投资并讨论放宽隔离之际，银行究竟实际阻止了哪些交易风险仍未公开，这一点至关重要。安装AI安全设备，与阻止拥有合法权限的AI发出错误指令，是两回事。 金融监管部门不能只调查银行是否采用AI，还应检查执行权限范围、批准条件、权限撤销、重复交易处理及独立验证结果。应将金融安全院的AI代理安全评估标准与交易执行测试衔接，对银行自有AI和外部AI采用共同标准。 安全行业同样负有验证责任。提供AI异常交易检测、威胁分析及自动响应技术，就应能够证明实际拦截了哪些请求。发现攻击的记录不同于阻止交易的记录。只有确认金融机构未执行已合法认证AI的错误指令，才能评价安全性能。银行自有AI与客户AI应接受相同测试保留网络隔离，只控制执行权限 华尔街限制外部AI接入引发客户选择权问题。摩根大通等大型银行扩大自有AI，同时决定竞争性外部AI能否接入，就会把安全审核与服务竞争集中于同一机构。如果不公开外部AI的准入条件，就难以区分安全责任和竞争限制。 这不意味着必须向客户选择的AI直接开放银行内部网络。可以分离外部AI的分析功能与银行内部交易执行功能，只通过受控接口传递必要指令。客户选择AI，银行授予执行权限并批准最终交易。 银行可以核实客户所选AI的身份和安全资格，并按账户查询、产品比较、转账、投资等业务限制权限。外部AI只能提交授权范围内的指令，实际交易由银行管理的独立审批系统处理。客户撤销授权时，已发放的执行凭证也必须失效。 银行自有AI也应适用同样程序。仅因AI属于内部系统就扩大交易权限，或只对外部AI增加审查，都违背共同标准。公开外部AI接入限制的理由与复审程序，既能维持安全责任，也能检查是否偏袒自有服务。 独立验证机构应测试银行是否真正阻断超出授权范围的指令。对照客户批准记录、AI执行指令及银行处理结果，也能确定事故发生在哪个环节。 这一方式与网络隔离的基本原则相容。外部AI无需自由访问内部业务网络，只在受限接口处理必要业务。保障客户选择AI的权利与维持银行内部隔离可以同时实现。声称拥有AI防护盾之前，先拿出阻断记录 N2SF讨论中的八项风险，并不能自动支持增加安全设备就能替代现有隔离的主张。连接越多，越需要分别验证数据分类、身份认证、执行权限、外传控制、硬件信任及事故响应。 九家韩国银行核心交易控制缺乏公开验证资料的调查结果也说明同一问题。判断金融机构是否安全，需要证明未获授权的指令被阻断的测试结果，而不是安全投资额或AI采用情况。 网络隔离限制访问路径。执行权限控制限制获准程序的行为。独立验证确认两者是否真正发挥作用。任何一项都不能被视为另一项的自动替代品。 美国银行有责任证明限制客户所选AI的标准。韩国银行有责任证明能够防止AI错误转移客户资金。政府和安全行业则必须通过测试证明放宽隔离后仍能维持原有保护效果。 AI防护盾的性能不能由产品名称或风险清单的长度证明。真正的证据是实际被阻断的指令及其记录。 No hay pruebas públicas de cuatro controles esenciales en nueve bancos Ocho riesgos del N2SF y la paradoja de flexibilizar la separación de redes Persisten vacíos de control de ejecución pese a las API y autenticaciones válidas La separación de redes y la verificación independiente deben prevalecer sobre el escudo de IA Wall Street impide que la inteligencia artificial (IA) elegida por los clientes acceda a los bancos. Corea del Sur reduce las barreras de separación de redes para ampliar el uso de IA. Sin embargo, no se encontraron documentos públicos de nueve grandes bancos coreanos que demuestren el bloqueo de órdenes fuera de los límites autorizados, órdenes revocadas o transacciones duplicadas. En el debate sobre el Marco Nacional de Seguridad de Redes (N2SF) se señalaron ocho riesgos, entre ellos la combinación de datos, el abuso de API legítimas y la reutilización de credenciales. Si aumentan las conexiones sin demostrar la capacidad de bloqueo, la seguridad queda en una promesa. Antes de afirmar que la IA protege, hay que demostrar por qué puede reducirse el aislamiento existente. El día 29, una revisión anterior de The Women's Economy Daily de materiales públicos de nueve bancos —KB Kookmin, Shinhan, Hana, Woori, NH NongHyup, IBK, KakaoBank, K Bank y Toss Bank— encontró cero pruebas públicas en cada una de cuatro categorías: límites de cuentas e importes, bloqueo de órdenes revocadas, prevención de duplicados y evaluación de seguridad de IA. Tampoco se obtuvieron documentos sobre conexiones de IA a redes de transacciones reales, aprobación final del cliente o restricciones de transferencias. Esto no significa que falten controles internos o pruebas. Significa que los bancos no presentaron pruebas verificables desde fuera de su capacidad de controlar la ejecución y proteger los fondos. La seguridad de la IA financiera exige responder siete preguntas. ¿Está conectada a redes de transacciones reales? ¿Autoriza el cliente cada operación final? ¿Se pueden restringir las transferencias? ¿Se bloquean órdenes fuera de la cuenta o el importe aprobados? ¿Se impide ejecutar órdenes revocadas? ¿Se evitan transacciones duplicadas? ¿Se verificaron estos controles de forma independiente? Los materiales públicos de los nueve bancos no ofrecieron respuestas suficientes.El debate del N2SF identifica ocho riesgos de seguridad¿Por qué flexibilizar primero la separación de redes? El N2SF gubernamental clasifica los datos como confidenciales (C), sensibles (S) o abiertos (O), y permite conexiones externas según su importancia y riesgo. Busca ajustar las restricciones generales de la separación de redes para facilitar la nube externa y la IA generativa. La versión 1.0 de sus directrices, publicada en septiembre de 2025, contiene unos 280 controles de seguridad en seis ámbitos. Los análisis del N2SF identificaron ocho riesgos: creación de datos sensibles mediante combinación de información pública; inyección de instrucciones; abuso de cuentas y API legítimas; reutilización de credenciales; transferencias mediante IA externa; riesgos del firmware y de los dispositivos de administración; retrasos entre detección y bloqueo; y pruebas insuficientes de ataques combinados. Estos ocho puntos no son vulnerabilidades efectivamente descubiertas en el N2SF, sino riesgos que deben examinarse al permitir nuevas conexiones. La pregunta es clara: si la clasificación es imperfecta, la autenticación legítima puede explotarse y los equipos pueden detectar un ataque sin bloquearlo, ¿qué controles sustitutos ofrecen igual protección al reducir el aislamiento? La separación de redes limita estructuralmente las rutas entre sistemas externos e internos. No detiene todos los ataques, pero reduce los recursos accesibles desde fuera y el movimiento posterior a una intrusión. Las nuevas conexiones reabren rutas antes restringidas. El sector de seguridad debe demostrar dónde bloquea las órdenes que llegan por ellas y cómo verifica los resultados, no limitarse a contar riesgos. Priorizar equipos de seguridad de IA y clasificaciones de datos sin evaluar el aislamiento existente plantea un problema fundamental: se conectan sistemas que no necesitaban conectarse y luego se instalan equipos adicionales para controlar los riesgos creados. Las mejoras de eficiencia deben evaluarse junto con los cambios en las rutas de ataque.Combinación de datos públicos e inyección de instruccionesLas etiquetas de datos no controlan la autoridad de ejecución El primer riesgo es combinar información pública. Aunque cada documento se