중동 데이터센터 드론 피격과 AI 인프라 해외투자의 안보 리스크: 한국 기업 대응 전략

총괄 요약

2026년 3월 이란의 드론 보복 공격으로 바레인 소재 AWS 데이터센터 3곳이 구조적 피해를 입으면서, AI 클라우드 인프라가 걸프 지역 대리전 구조에 새로운 고가치 표적으로 편입되었다. 걸프 정부와 현지 기업은 이번 사건을 예외적 사고로 규정하고 사이버보안 강화에 집중하는 반면, 미국은 UAE에 대한 첨단 칩 수출 규제를 완화하며 유치 기조를 이어가고 있어 걸프 AI 투자의 전면 중단 가능성은 낮다. 다만 미국 정책 커뮤니티에서는 프런티어 모델 훈련 인프라를 고위험 지역에 집중시키는 데 대한 재평가가 본격화되고 있으며, 고위험·핵심 워크로드와 저위험·범용 워크로드를 분리하는 이원화 전략이 정착될 개연성이 가장 높다. 한국 기업은 걸프 진출 시 물리적 피격 리스크를 계약·보험 조항에 명시하는 한편, 이원화 전략에 따른 국내 훈련 클러스터 유치 기회를 확보하되 전력망·부지가 빅테크의 단순 임대기지로 종속되지 않도록 산업 우선순위를 관리해야 한다. 물리적 보안과 사이버보안을 병행 강화하는 이중 트랙 대응이 단기 실행 과제로 요구된다.

I. 이슈 상황분석

중동 데이터센터 드론 피격 사태: 상황분석

1. 배경 및 경과

2026년 2월 28일 미국과 이스라엘이 이란을 상대로 개시한 "포효하는 사자(Roaring Lion)" 작전은 중동 전역의 물리적 인프라를 전장으로 끌어들였다[6]. 이란은 이에 대한 보복으로 "장대한 분노(Operation Epic Fury)"를 명명한 드론 공격을 감행했다[6]. 3월 1일 이 공격으로 중동 소재 AWS 데이터센터 3곳이 구조적 피해를 입었다[4]. 브루킹스연구소에 따르면 공격은 시설의 구조적 손상뿐 아니라 전력 공급 중단, 화재 진압 시스템 작동에 따른 수손 피해까지 유발했다[4]. 이란 국영 매체는 바레인 소재 시설이 미군 작전을 지원했다는 이유로 혁명수비대가 이를 표적으로 삼았다고 주장했다[4].

이번 사건은 걸프 지역 에너지·전력 인프라에 대한 드론 공격이 새로운 현상이 아니라는 맥락에서 이해할 필요가 있다. 2019년 사우디 아람코의 압카이크·쿠라이스 시설이 크루즈 미사일과 드론 공격으로 하루 570만 배럴, 세계 공급량의 5%에 해당하는 생산 차질을 빚은 전례가 있다[15]. 최근에도 후티 반군이 사우디 나즈란의 아람코 시설을 드론으로 공격했다고 주장했고[13], 리비아 자위야에서는 발전소 변전소가 드론 공격으로 전소돼 정전 사태가 발생했다[14]. 걸프 지역의 에너지 인프라가 상시적으로 무력 분쟁의 표적이 되어온 지역에, 이제 AI 데이터센터라는 새로운 고가치 표적이 추가된 셈이다.

2. 현재 상황

미국 정책 커뮤니티에서는 이번 사건을 계기로 프런티어 AI 데이터센터의 해외 건설이 갖는 국가안보 함의에 대한 논의가 본격화됐다[4]. 동시에 미국은 첨단 AI 칩의 아랍에미리트 수출 규제를 완화하는 상반된 행보를 보이고 있다[1]. 쿠웨이트 현지 매체는 이를 두고 AI의 전력 집약적 특성상 에너지 지리가 곧 컴퓨팅 지리로 변모하고 있다고 진단하면서, 이것이 걸프에는 기회이자 미국에는 전략적 선택의 문제라고 평가했다[1].

바레인에서는 오히려 AI 확산에 따른 사이버보안 리스크에 논의의 초점이 맞춰져 있다. 걸프데일리뉴스는 바레인 기업들이 AI 도입 확대에 발맞춰 사이버 위협 대응 가드레일을 구축하고 있다고 보도했다[12]. 클라우드 플랫폼 채택이 빨라지면서 네트워크 경계 방어만으로는 부족하다는 전문가 경고도 함께 전해졌다[12]. 물리적 타격 리스크보다 사이버 리스크가 현지 기업 담론의 중심에 있다는 점은, 걸프 국가들이 이번 드론 피격을 예외적 사건으로 취급하면서 AI 인프라 유치 기조 자체는 유지하려는 태도로 해석된다.

사우디 아랍뉴스는 미-이란 전쟁의 여파가 아직 완전히 드러나지 않았다는 우려를 제기하며, AI 산업 전반에 대한 규제 공백을 "AI 와일드 웨스트"로 표현했다[5]. 같은 매체는 이스라엘이 가자 관련 서사를 만들어내기 위해 생성형 AI 모델에 정보를 주입하려는 영향력 공작을 벌이고 있다는 폴리티코발 보도도 전했다[11]. 이는 AI 인프라 리스크가 물리적 파괴뿐 아니라 정보 조작 차원으로도 확장되고 있음을 보여준다.

유럽에서는 이번 사건과 별개로 데이터센터 전력망 부담이 핵심 쟁점으로 부상했다. 롤랜드버거는 유럽이 미국·아시아 대비 데이터센터 확충 경쟁에서 격차가 벌어지고 있다고 진단했다[3]. 아일랜드는 2028년까지 신규 데이터센터의 전력망 접속을 아예 제한하는 조치를 취했다[8].

3. 주요 행위자 및 이해관계

이란(혁명수비대)은 이번 공격을 미군 작전 지원 거점에 대한 정당한 보복으로 규정하고 있다[4]. 이란에는 클라우드 인프라가 곧 군사 지원체계의 일부라는 인식이 자리하고 있으며, 이는 향후에도 미국 우방국 소재 빅테크 시설이 반복적 표적이 될 수 있음을 시사한다.

AWS(아마존)는 이번 사건으로 구조적 손상, 전력 중단, 수손 피해를 동시에 입었다[4]. 회사 입장에서는 물리적 복구비용보다 고객 데이터 및 워크로드 연속성에 대한 신뢰 훼손이 더 큰 부담이다. 향후 중동 리전 투자 확대와 리스크 관리 사이에서 노선 조정이 불가피하다.

미국 정부는 이중적 태도를 보이고 있다. 한편으로는 UAE 등에 대한 첨단 칩 수출 규제를 완화해 걸프의 컴퓨팅 허브화를 지원하고[1], 다른 한편으로는 브루킹스 등 정책기관을 통해 해외 프런티어 데이터센터 건설의 안보 리스크를 재검토하는 이중 트랙을 취하고 있다[4]. 이는 동맹국 인프라 확충을 통한 대중 기술패권 경쟁력 확보와, 분쟁지역 인프라 노출이라는 안보 리스크 사이의 정책적 긴장을 보여준다.

걸프 국가들(바레인, UAE, 사우디)은 AI 인프라 유치를 국가 경제전략의 핵심으로 삼고 있다. 바레인은 물리적 타격 리스크보다 사이버보안 가드레일 구축에 집중하는 모습을 보여[12], 드론 피격을 예외적 리스크로 관리하면서 AI 허브 지위는 놓지 않으려는 의도가 읽힌다. 사우디 아랍뉴스의 논조는 이보다 신중하다. 전쟁 여파가 끝나지 않았다는 경고와 함께 AI 규제 공백 자체를 우려하는 목소리를 내고 있다[5].

유럽 국가들은 이번 중동 사태와 별개로, 데이터센터의 전력 인프라 제약이라는 자체적 병목에 직면해 있다[3][8]. 아일랜드의 전력망 접속 제한 조치는[8] 유럽이 안보 리스크 이전에 물리적 전력 공급 한계로 인해 데이터센터 유치 경쟁에서 밀려나고 있는 현실을 보여준다.

4. 핵심 쟁점

첫 번째 쟁점은 프런티어 AI 인프라의 지리적 분산이 갖는 이중성이다. 저비용 에너지와 규제 유인을 좇아 분쟁 인접지역에 데이터센터를 건설하는 전략이, 이번 사건을 계기로 재무 리스크가 아닌 물리적 파괴 리스크로 재정의되고 있다[4][1].

두 번째는 미국 정부 내부의 정책 비일관성이다. 칩 수출 완화로 걸프의 컴퓨팅 역량을 키우면서, 동시에 그 인프라가 분쟁의 표적이 될 가능성을 우려하는 모순적 신호가 동시에 나오고 있다[1][4].

세 번째는 걸프 국가들의 리스크 인식 격차다. 바레인은 사이버보안에, 사우디는 전쟁 여파와 규제 공백에 각각 다른 우선순위를 두고 있어[12][5], 걸프 내에서도 AI 인프라 리스크에 대한 단일한 지역적 대응이 형성되기 어려운 상황이다.

네 번째는 데이터센터가 군사·정보전의 물리적 표적이자 동시에 서사 조작의 플랫폼으로 이중 기능하고 있다는 점이다. 이스라엘의 LLM 정보 공작 사례는[11] AI 인프라 리스크가 하드웨어 파괴를 넘어 소프트웨어적 영향력 공작으로도 확장되고 있음을 시사한다.

II. 이슈 심층분석

중동 데이터센터 드론 피격 사태: 심층분석

1. 근본 원인 분석

이번 사태의 직접적 원인은 미국-이스라엘의 대이란 군사작전과 이에 대한 이란의 보복이다. 2월 28일 개시된 "포효하는 사자" 작전에 대응해 이란이 "장대한 분노"라는 명칭의 드론 공격을 감행했고, 그 표적 중 하나가 바레인 소재 AWS 데이터센터였다[4][6]. 이란 국영 매체는 해당 시설이 미군 작전을 지원했다는 이유를 표적 선정의 근거로 제시했다[4]. 이는 이번 공격이 무차별적 인프라 파괴가 아니라, 미군 작전 지원 기능을 수행하는 민간 클라우드 시설을 의도적으로 겨냥한 선별적 타격이었음을 시사한다.

다만 더 근본적인 원인은 AI 인프라의 입지 선정 로직 자체에 있다. 쿠웨이트 타임스는 AI가 전력 집약적 산업으로 변모하면서 에너지 지리가 곧 컴퓨팅 지리가 되고 있다고 짚었다[1]. 걸프 지역은 저렴한 전력, 풍부한 자본, 미국과의 안보 협력 관계라는 조건을 갖춰 데이터센터 입지로 매력적인 곳이었다. 그런데 바로 이 조건들이 지정학적 리스크와 결합하는 지역이기도 하다. 미국이 첨단 AI 칩의 UAE 수출 규제를 완화한 시점과, 이란이 미군 작전 지원 시설로 지목한 데이터센터를 공격한 시점이 겹치는 것은 우연이 아니다[1][4]. 미국의 AI 인프라 확장 전략이 걸프의 에너지·자본과 결합하는 과정에서, 해당 인프라가 미국의 군사·안보 네트워크와 사실상 분리 불가능한 자산으로 인식되기 시작한 것이다.

2. 구조적 맥락

정치적 구조: 대리전 공간으로서의 걸프

걸프 지역은 이미 수년간 이란-이스라엘, 이란-사우디, 이란-후티 대리전의 물리적 무대였다. 2019년 아람코 압카이크·쿠라이스 시설 공격, 최근 후티의 나즈란 아람코 시설 공격 주장, 리비아 자위야 변전소 방화 등은 에너지 인프라가 이 지역 무력 갈등에서 상시적 표적이었음을 보여준다[13][14][15]. AI 데이터센터는 이 갈등 구조에 새로 편입된 자산일 뿐, 갈등 구조 자체를 바꾸지는 않는다. 문제는 데이터센터가 석유 시설과 달리 미국 빅테크의 소유 자산이자 미군 작전과 직결된 이중용도 시설이라는 점이다. 이 때문에 공격의 정치적 함의가 에너지 공급 차질을 넘어 미국의 안보 이해와 직접 충돌하는 사안으로 확대된다.

경제적 구조: 전력-자본-규제의 삼각 딜레마

걸프 국가들 입장에서 AI 데이터센터 유치는 탈석유 경제 다변화 전략의 핵심 축이다. 아랍뉴스는 규제 공백을 "AI 와일드 웨스트"로 표현하며 우려를 제기했지만[5], 바레인 현지 담론은 물리적 타격보다 사이버보안 가드레일 구축에 초점을 맞추고 있다[12]. 이는 걸프 정부와 기업들이 드론 피격을 예외적 리스크로 분리해 취급하면서, AI 인프라 유치라는 경제적 목표는 흔들지 않으려는 태도로 읽힌다. 동시에 로랜드버거 보고서가 지적하듯 데이터센터 건설은 전력·냉각·네트워킹 용량의 물리적 한계에 이미 부딪히고 있다[3]. 아일랜드가 2028년까지 신규 데이터센터의 전력망 접속을 제한한 사례처럼[8], 선진국에서도 입지 제약이 커지는 상황에서 걸프의 저렴한 전력은 여전히 대체하기 어려운 유인으로 작동한다. 안보 리스크와 경제적 유인이 서로를 상쇄하지 못한 채 병존하는 구조다.

안보적 구조: 민간-군 이중용도 자산의 확산

브루킹스연구소가 제기한 핵심 문제는 프런티어 AI 데이터센터가 해외에 건설될 경우, 이 시설이 평시에는 민간 클라우드 서비스로 기능하다가 유사시 군사작전 지원 인프라로 전용될 수 있다는 이중성이다[4]. 이란이 바레인 시설을 공격 표적으로 정당화한 논리가 바로 이 이중성이다[4]. 이는 반도체 수출통제나 화웨이 통신장비 사태에서 제기됐던 데이터 안보 논쟁과 본질적으로 다른 층위의 문제다[9]. 화웨이 사태는 데이터 유출이라는 정보 통제 리스크였다면, 이번 사태는 물리적 파괴와 서비스 중단이라는 하드 인프라 리스크다. 여기에 아랍뉴스가 보도한 이스라엘의 생성형 AI 서사 조작 시도까지 겹치면서[11], AI 인프라를 둘러싼 리스크는 물리적 타격, 데이터 유출, 정보 조작이라는 세 층위로 중첩되고 있다.

3. 역사적 선례 및 유사 사례 비교

2019년 아람코 압카이크·쿠라이스 공격은 이번 사태를 이해하는 데 가장 근접한 선례다. 당시 크루즈 미사일과 드론 조합으로 하루 570만 배럴, 세계 공급량 5%에 해당하는 생산 차질이 발생했다[15]. 사우디는 이란을 배후로 지목했지만 이란은 공식적으로 개입을 부인했고, 후티 반군이 자신들의 소행이라 주장하는 방식으로 책임 소재가 모호하게 처리됐다. 이번 데이터센터 공격에서도 이란 국영 매체가 혁명수비대의 소행임을 공개적으로 밝힌 점은 2019년과 다르지만[4], 표적 선정의 논리, 즉 "미국의 군사·경제 이익에 복무하는 민간 인프라를 공격해 정치적 메시지를 전달한다"는 패턴은 동일하다.

리비아 자위야 변전소 공격이나 후티의 나즈란 아람코 시설 공격 주장은 이 지역에서 드론이 이미 에너지 인프라 공격의 표준 수단으로 자리 잡았음을 보여준다[13][14]. 다른 점은 과거 공격이 산유국의 국가 재정과 원유 공급망을 겨냥했다면, 이번 공격은 미국 빅테크의 해외 자산과 미군 작전 지원망을 겨냥했다는 데 있다. 표적이 국가 기간산업에서 다국적 기업의 디지털 인프라로 이동한 것이다. 이는 걸프 지역 무력 갈등의 표적 스펙트럼이 에너지에서 디지털 인프라로 확장되고 있다는 신호로 해석할 수 있다.

또 다른 비교축은 데이터 주권 논쟁의 역사다. 미중 간 화웨이 라운드에서 데이터 라운드로 이어진 경쟁 구도는[9], 데이터의 물리적 소재지가 국가안보와 직결된다는 인식을 이미 확산시킨 바 있다. 그러나 화웨이 사태의 초점이 백도어를 통한 정보 유출이었다면, 이번 사태는 물리적 파괴라는 훨씬 원초적인 형태의 리스크다. 데이터 주권론이 정보 통제권의 문제였다면, 이번 사태는 인프라 생존성의 문제로 논의의 축이 이동했다고 볼 수 있다.

4. 이슈 전개의 핵심 변수

첫째, 미국-이란 갈등의 향후 궤적이 가장 직접적인 변수다. 브루킹스연구소가 이번 사건을 국가안보 정책 어젠다로 다루기 시작한 만큼[4], 향후 미국 행정부와 의회가 해외 데이터센터 투자에 대한 별도의 안보 심사 체계를 도입할지가 관건이다. 이미 미국은 UAE에 대한 첨단 칩 수출 규제를 완화하는 방향으로 움직였는데[1], 이번 피격 사태가 이 완화 기조를 되돌릴지, 아니면 오히려 "안전한 우방국에 한정된 개방"이라는 선별적 접근으로 정교화될지가 관찰 포인트다.

둘째, 걸프 국가들의 정책 대응 방향이다. 바레인의 사례에서 보듯 현지 담론은 아직 사이버보안 중심으로 흐르고 있어[12], 물리적 방호 투자나 인프라 분산 요구로 이어질지는 불확실하다. 걸프 국가들이 미국 빅테크에 이중화·백업 시설 구축을 조건으로 요구할 경우, 이는 역내 데이터센터 투자 비용 구조 자체를 바꿀 수 있다.

셋째, 빅테크 기업들의 리스크 관리 전략이다. AWS를 비롯한 하이퍼스케일러들이 중동 투자를 축소하는 대신 지리적 분산을 가속화할 경우, 아일랜드처럼 전력망 제약으로 신규 입지가 막힌 지역과 걸프처럼 안보 리스크가 부각된 지역 사이에서 대안 입지를 찾는 경쟁이 동남아시아나 한국 등 제3지역으로 옮겨갈 가능성이 있다[8][10]. 이 경우 입지 선정 기준에 안보 리스크 프리미엄이 새로운 변수로 추가될 것으로 보인다.