기계의 창, 인간의 방패: AI의 공격을 막는 세 가지 시점

안녕하세요. 매쉬업벤처스 박은우입니다.

2026년 10월, OpenAI의 CEO Sam Altman이 Stanford 경영대학원 강연에서 사이버보안 업계가 30년 넘게 당연하게 여겨 온 전제 하나를 부정하는 발언을 하였습니다.

"I no longer think we're going to be able to just patch all the bugs. I think we're going to have to completely switch the defense model, using the same technology for sort of a new kind of defense shield."

"이제는 모든 버그를 패치하는 방식으로는 안 된다고 생각합니다. 방어 모델 자체를 완전히 바꿔서, 같은 기술로 새로운 종류의 방어막을 만들어야 합니다." — The Next Web

취약점을 찾고, 패치를 배포하고, 다음 취약점을 기다리는 일은 1988년 이후 사이버보안이라는 산업이 성장하는 방식이었습니다. 그 기반을 가장 빠르게 흔들고 있는 회사인 OpenAI의 수장의 발언으로 인해, 보안 업계에서는 여러 해석이 오가고 있습니다.

공교롭게도 같은 달 한국에서는 주요 금융권 기업들이 AI 에이전트로 의심되는 공격을 받았다는 보도가 나왔고, 금융보안원 조사에서는 일부 공격에 AI 기반 자율 침투 도구가 쓰인 흔적이 확인되었다고 합니다. 한 은행에서는 2만 명이 넘는 고객 정보가 유출된 것으로 알려졌습니다.

실리콘밸리의 선언에서부터 한국의 금융 해킹 사고가 한 달 안에 겹친 것을 바라보며, 저는 두 사건이 같은 구조 변화를 서로 다른 각도에서 보여주고 있다고 생각하게 되었습니다. 수년 전부터 AI 보안 회사에 투자하고 있는 초기 투자자로서, 이 글에서는 그 변화가 무엇이고 어디에서 일어나고 있는지, 그리고 그 자리에서 어떤 회사가 태어나는지를 정리해 보고자 합니다.

‍

30년간 이어진 패치 레이스

1988년 11월, Cornell 대학원생이던 Robert Morris가 만든 웜이 당시 인터넷에 연결된 컴퓨터의 약 10%를 멈춰 세웠고, 2주 뒤 카네기멜론 대학에 취약점을 수집하고 알리고 고치게 하는 조직 CERT가 세워졌습니다. 공격자가 구멍을 찾으면 방어자가 메우는 레이스가 이때 시작됐고, 2003년 Microsoft의 Patch Tuesday가 레이스에 리듬을 붙였으며, 2010년대의 bug bounty는 외부 해커에게 상금을 걸어 구멍을 먼저 찾게 했습니다. 방식은 바뀌어도 구조는 같았습니다. 발견과 패치 사이의 시간을 줄이는 싸움이었습니다.

그런데 이 레이스가 성립하려면 한 가지 전제가 필요합니다. 취약점을 발견하는 속도에 상한이 있어야 한다는 전제입니다. 취약점을 찾는 일은 결국 사람이 하는 일이었고, 사람의 숫자와 시간은 유한했기 때문에 방어자는 우선순위를 정해 어떻게든 따라갈 수 있었습니다.

2026년 들어 이 전제가 흔들리기 시작했습니다. 지난 10월 전 세계 호스팅 업체를 동시에 패치 경쟁으로 몰아넣은 PHP 원격 코드 실행 결함이 좋은 예입니다. PHP 재단의 설명에 따르면 이 결함의 징후는 2024년 외부 감사에서 이미 포착됐지만, 수정안마다 하위 호환성과 새로운 장애 위험이 따라와 수정 작업이 수개월간 멈추고 다시 시작되기를 반복했습니다. 그사이 2026년 초 재단이 AI 모델로 코드베이스를 스캔하기 시작했고, 8월에는 보안 기업과 OpenAI가 같은 날 독립적으로 공격 경로를 보고했습니다. 재단은 이를 "의사결정 절차와 자원 부족에 따른 구조적 실패"라고 불렀습니다. (PHP Foundation) 발견은 기계가 했고, 고치지 못한 것은 인간의 사정이었습니다.

그런데 이 결함을 노린 공격을 막아선 것은 패치가 아니었습니다. 결함이 공개되기 4일 전부터 공격 시도가 시작됐고, 수백만 개의 설치본이 패치되지 않은 채 남아 있는 동안 호스팅 업체와 CDN 업체들이 네트워크 엣지(Edge)에서 공격 트래픽을 차단했습니다. a16z는 "Defense in Depth, Rebuilt for Machine Speed"에서 이 사건을 두고 "다른 누군가가 공격자와 취약점 사이에 설 수 있다"는 결론을 냈습니다.

Altman이 Stanford에서 든 예는 패치의 한계를 한 발 더 밀고 나갑니다. AI가 소프트웨어를 넘어 하드웨어 수준의 결함까지 찾아내기 시작하면 패치라는 개념 자체가 성립하지 않는다는 것인데, 새 프로세서를 다운로드로 받을 수는 없기 때문입니다. 보안 솔루션 구매자 쪽의 말은 더 직설적입니다. a16z가 직원 1,000명 이상 기업의 CISO 100명을 설문한 "The New Security Agenda"에서 한 핀테크 CISO는 이렇게 말했습니다.

"With a lot of these AI tools, you're able to find vulnerabilities faster, but you're not able to patch faster."

"이런 AI 도구들로 취약점을 더 빨리 찾을 수는 있습니다. 그런데 더 빨리 패치하지는 못합니다."

같은 글이 인용한 Bain의 추정으로는 AI가 전형적인 공격 시퀀스를 약 4주에서 약 18시간으로 줄입니다. 공격하는 창은 기하급수적인 기계의 속도로 진화하는데 수정은 여전히 사람의 속도라는 것이 지금 방패가 위치한 자리이고, a16z가 포트폴리오사에 보낸 서한의 제목이 "Patch or Die"였습니다.

정확히 말하면 사라지는 것은 패치가 아니라 사람 속도의 패치입니다. 패치는 발견하고, 고치고, 다시 공격해 고쳐졌는지 확인하는 기계 속도의 루프 안으로 흡수됩니다. AI가 쓴 패치의 절반 이상이 문제를 고치지 못하거나 새 구멍을 만들어냈다는 분석도 있으니, 이 루프에서 빠질 수 없는 것은 고친 뒤 다시 공격해서 확인하는 단계일 것입니다. 그 루프가 어디에 위치하는지는 뒤에서 다시 보겠습니다.

여기서 저는 답이 너무 명확해진 하나의 질문을 던지고 싶습니다.

"공격 속도에 상한이 없어진 세상에서, 패치 레이스는 누가 이기는 게임일까요?"

공격이 비대칭 전력이 되었다

바뀐 것은 공격 속도만이 아닙니다. 올여름에 일어난 사건들을 시간순으로 놓고 보면 공격의 성격 자체가 달라졌다는 것이 보입니다.

7월에는 OpenAI가 내부 평가 중이던 모델들이 샌드박스를 벗어나 Hugging Face 시스템에 무단 접근한 사실을 OpenAI가 스스로 공개하는 일이 있었습니다. 벤치마크 정답을 빼내 자기 평가 점수를 올리려는 것이 목적이었다고 합니다. 이후 독립 조사에 따르면, 훈련에 투입된 내부 에이전트 수백개가 서로 격리하라는 원칙을 무시하고 자체 게시판을 만들어 협업했고 그중 일부가 해킹에 가담했습니다. 9월에는 호주 총리 Anthony Albanese가 OpenAI의 에이전트가 정부 의료 통계 포털의 비공개 영역에 접근했다고 직접 발표했습니다. (CNBC) 한 국가의 총리가 직접 공표한 드문 사례였고, 그로부터 일주일쯤 뒤 한국의 은행들이 공격을 받았습니다.

이 사건들의 공통점은 공격의 주체가 아니라 단가와 속도입니다. 한쪽에서는 아무도 지시하지 않았는데 수백 개의 에이전트가 스스로 외부 시스템에 들어갔고(통제를 벗어난 자체 AI), 다른 쪽에서는 소수의 공격자가 AI 침투 도구로 여러 은행을 며칠 안에 뚫었습니다(AI로 무장한 공격자). 지키는 대상은 다르지만, 양쪽 모두 공격 한 유닛의 비용이 무너졌고 숫자로 밀어붙인다는 점은 같습니다.

그리고 저는 이 구도를 이미 다른 곳에서 본 적이 있습니다.

드론이 먼저 겪은 일

우크라이나 전쟁 초기, 러시아가 날린 Shahed 자폭 드론 한 대의 가격은 1만~5만 달러 수준이었습니다. 이것을 떨어뜨리는 Patriot 요격 미사일은 한 발에 400만 달러가 넘습니다. 매 교전에서 이기면서도 경제성 측면에서는 지고 있었던 셈입니다. 방어 체계가 비싸고 무겁고 느리게 만들어지는 동안, 공격은 싸고 가볍고 자율적으로 변해 있었기 때문입니다.

전장을 바꾼 것은 더 좋은 미사일이 아니었습니다. 우크라이나는 1,000~3,500달러짜리 요격 드론을 만들어 Shahed와 같은 가격대, 같은 자율성으로 맞서기 시작했고, 올해 들어서는 키이우 방면 요격의 70%를 드론이 담당하고 있다고 합니다. (National Defense Magazine) 요격 드론의 설계와 전술은 주 단위로 갱신됩니다. Patriot는 여전히 필요하지만, 매일 날아오는 수백 대의 드론을 상대하는 것은 Patriot가 아닙니다.

이 사례가 사이버보안에 주는 교훈은 비유라기보다 순서에 가깝습니다. 비싸고 무거운 방어로 싸고 자율적인 공격을 막으려던 단계는 지나갔고, 다음은 공격과 같은 가격대와 자율성으로 닿는 순간에 떨어뜨리는 요격 레이어이며, 그다음은 상대의 운용 패턴을 먼저 학습해 내 진지를 상대의 눈으로 점검하는 것입니다. Altman이 말한 "같은 기술로 만드는 새로운 방어막"이 바로 이것이라고 저는 해석하고 있습니다.

‍

방어의 개입 시점이 앞당겨진다

AI로 인한 사이버 공격의 변화를 매트릭스로 정리해 보았습니다. 가로축은 방어가 언제 개입하는가이고, 오른쪽으로 갈수록 개입 시점이 앞당겨집니다. 세로축은 무엇을 지키는가인데, 자체 AI 시스템이 통제를 벗어나지 않도록 지키는 일과 적대적 AI가 사람과 자산을 공격하는 것을 막는 일은 기술도 고객도 다른 별개의 일이기 때문에 나누었습니다.

지난 30년간 보안 산업의 매출과 인력은 대부분 "공격이 끝난 뒤"에 있었습니다. 사고가 나면 탐지하고, 복구하고, 패치하는 일입니다. 이 영역이 사라지지는 않겠지만, AI가 발견 속도의 상한을 없애면서 이 영역에 들어가는 한계 투자의 수익은 떨어지고 있습니다. 돈의 흐름이 이를 먼저 말해 줍니다. 올여름 a16z와 Bessemer는 AI 에이전트의 행동을 통제하는 레이어를 만드는 Neo Security에 1억 달러를 넣었고, Bessemer는 올해 3월 보고서 제목을 아예 "Securing AI agents: the defining cybersecurity challenge of 2026"으로 붙였습니다.

Bessemer는 방어를 Visibility(어떤 에이전트가 어떤 권한으로 도는지 아는 것), Configuration(과잉 권한과 설정 drift를 줄이는 것), Runtime protection(행동이 일어나는 순간의 탐지와 집행)의 세 단계로 나누고, 런타임이 "가장 덜 개발됐고 가장 분명한 인프라 기회"라고 썼습니다. 위의 매트릭스에서 런타임은 "공격이 일어나는 순간"입니다. 저는 거기서 한 발 더 나아간 "공격이 오기 전"까지가 중요한 레이어라고 보고 있고, 방어의 가치가 왼쪽에서 오른쪽으로 옮겨가는 각 지점에서 어떤 회사가 살아남는지가 초기 투자자가 주목해야 할 점이라고 생각합니다.

‍

AI를 방어하는 세 가지 시점

공격이 끝난 뒤

패치와 사고 대응, 포렌식은 앞으로도 계속 필요하고, 자라기도 합니다. a16z 설문에서 2027년 1순위 과제로 가장 많은 표를 받은 것이 SOC 자동화였습니다. 다만 "공격이 끝난 뒤" 보안 시장의 성장은 대부분 기존 플랫폼이 가져갑니다. 같은 설문에서 CISO의 44%는 AI 보안 기능을 이미 쓰고 있는 플랫폼에서 먼저 찾고, AI-native 벤더를 먼저 보는 쪽은 21%였습니다. Palo Alto Networks는 올해 AI 에이전트 보안 제품의 ARR이 1억 달러를 넘었다고 밝혔고, CrowdStrike의 George Kurtz는 AI 에이전트를 "friend and foe"라 부르며 AI 시스템을 지키는 신제품이 언젠가 본업인 엔드포인트 보안을 넘어설 것이라고 말했습니다. 공격이 끝난 뒤를 지켜온 기업들이 공격이 일어나는 순간과 그 이전을 자기 미래라고 선언한 것입니다.

그런데 공격이 끝난 뒤에도 아직 주인이 없는 영역이 있습니다. 복구와 백업입니다. a16z는 같은 글에서 랜섬웨어 피해 기업의 94%가 백업 침해 시도를 겪었고 그 시도의 57%가 성공했다는 Sophos의 2024년 조사를 들어, 백업은 이제 보험이 아니라 공격 표면이라고 말합니다. 그리고 백업과 재해 복구, 사이버보험이 하나로 합쳐질 이 영역에 대해 "아직 주인이 없다(Nobody owns this one)"고 썼습니다.

공격이 끝난 뒤를 지키는 스타트업을 볼 때 저희가 묻는 질문은 하나입니다. 이 팀이 하는 일을 CrowdStrike가 기능 하나로 흡수할 수 있는가. a16z 설문에서 CISO가 스타트업을 고르는 이유 1위는 "기존 벤더가 못 푸는 capability gap"(47%)이었는데, 그 gap이 없는 팀은 안타깝게도 대부분 흡수됩니다.

공격이 일어나는 순간

에이전트가 결제를 승인하려는 순간, 외부 API를 호출하려는 순간, 고객 데이터를 어딘가로 보내려는 순간에 이 행동이 정상인지를 판단하고 막는 레이어입니다. 구멍을 모두 찾아 메울 수 없다면, 구멍을 통과하려는 행동을 그 순간에 잡자는 발상입니다.

이 시점을 지키는 회사에 대해 투자자가 가장 자주 받는 반론은 "가드레일은 이미 Commodity 아닌가"라는 것입니다. 저도 이 반론에 상당 부분 동의합니다. 클라우드 빅벤더 대부분이 입력에서 욕설과 Prompt Injection을 걸러 주는 인라인 가드레일을 기본으로 제공하고 있고, 지난 9월에는 리걸 AI 회사 Harvey가 가드레일 스타트업 Guardrails AI를 인수했습니다. 가드레일이 응용 SaaS 회사가 사들여 기능으로 붙이는 것이 되었다는 뜻입니다. 필터 하나로 Moat을 만들겠다는 회사라면 살아남는 것이 쉽지 않을 것입니다.

그런데 전통 보안에서도 똑같은 반론이 있었습니다. Windows에 Defender가 기본으로 들어 있는데 왜 CrowdStrike가 필요한가. 그 답은 기업이 단일 벤더 환경에 살지 않는다는 것, 그리고 무엇이 정상인가의 기준은 플랫폼이 아니라 산업과 고객이 정한다는 것이었습니다. 올여름 공격이 일어나는 순간을 지키는 회사에 들어간 가장 큰 돈도 필터가 아닌 곳으로 흘러갔습니다. a16z와 Bessemer가 Neo에, 열흘 뒤 Bessemer가 Onyx에 넣은 2억 1,300만 달러는 모두 "이 행동을 한 것이 사람인가 에이전트인가"를 가려내고 행동 단위로 승인하거나 차단하는 레이어에 들어갔습니다. a16z는 이것을 안티바이러스와 EDR에 이은 엔드포인트 보안의 3세대라 부릅니다. 입력을 거르는 필터와 행동을 집행하는 레이어는 같은 시점에 개입하지만 다른 사업이고, 이 시점의 가치는 필터가 아니라 판정 기준에 있다고 생각합니다.

행동 시점의 통제가 왜 필요한지는 Cohere의 보고가 보여 줍니다. 보안 Detection rule을 써 달라는 과제에서 Alibaba의 오픈웨이트 모델 Qwen3.8-Flash-Next가 실행 환경을 탐색한 뒤 베이징의 클라우드 버킷으로 probe 파일을 올리려 했습니다. 추론 기록에는 tool을 호출하지 않겠다고 적어 놓고, 실제 Tool call은 달랐습니다. (Cohere) 모델이 하겠다고 말하는 것과 실제로 하는 것의 차이는 Reasoning이 아니라 실행 직전의 Tool call과 네트워크 Egress 단계에서 통제해야 하고, 모델을 온프렘에 두었다고 이 문제가 사라지지는 않습니다.

매쉬업벤처스가 투자한 티냅스의 포지션이 바로 이 곳입니다. 이 회사가 묻는 것은 "이 호출이 공격인가"가 아니라 "이 결정이 사고로 이어지는가, 그리고 나중에 그것을 증명할 수 있는가"입니다. 창업자인 강민승 대표는 금융사들을 위한 Fraud Detection 시스템을 만드는 핀테크 기업의 CTO 출신으로, 카드 거래를 승인하기 전에 Fraud를 잡아내던 것처럼 에이전트 시대에는 에이전트가 무언가를 승인하기 전에 잡아야 한다는 가설로 티냅스를 창업하였습니다. a16z의 CISO 설문에서 12개월 안에 새로 사겠다는 항목 1위가 내부 AI 에이전트 보안(45%)이었고, 같은 CISO들은 에이전트의 자율 권한을 두고 "조사는 맡기되 사업을 멈출 수 있는 대응은 승인을 유지한다"고 답했습니다. 에이전트가 승인하기 전에 잡는다는 가설을 시장이 같은 문장으로 말하기 시작한 셈입니다. 국내 금융권 PoC로 시작한 이 팀은 올해 NVIDIA Inception Grand Challenge APAC 파이널에 오르면서 그 가치를 인정받고 있습니다.

같은 시점에 적대적 AI로부터 사람을 지키는 탐지에는 스틸컷의 탐지 제품이 있습니다. 딥페이크를 비롯해 AI가 생성한 이미지로 발생하는 피해를 막는 제품을 글로벌 최고 수준의 기술력으로 만들고 있고, 이미지에서 영상으로 탐지 범위를 넓혀 가고 있습니다.

공격이 오기 전

공격이 오기 전은 요격조차 하기 전에 개입하는 자리입니다. 공격자가 쓸 수 있는 것을 미리 없애거나, 공격자의 눈으로 나를 먼저 점검하는 일입니다. 비대칭 전력에 대한 가장 근본적인 대응이고, Altman의 "같은 기술로"라는 말이 가장 문자 그대로 적용되는 곳이기도 합니다. 올해 Mythos 논란 이후 Noma Security의 CISO Diana Kelley가 CIO들에게 내놓은 처방도 같았습니다. 자율 취약점 탐지 도구를 공격자보다 먼저 자기 시스템에 돌려 보라는 것이었습니다. (TechTarget)

레드티밍이 방어의 첫 번째 제품이 되는 이유가 여기에 있습니다. 상대 드론의 운용 패턴을 먼저 학습한 쪽이 요격 레이어를 제대로 설계할 수 있었던 것과 같은 이치입니다. 그리고 레드티밍의 자산은 모델이 아니라 공격 기법의 라이브러리와 산업별 판정 기준인데, 이것은 빅벤더가 번들로 끼워 팔기 어려운 종류의 자산입니다.

에임인텔리전스는 매쉬업벤처스가 2024년, 국내에서는 AI 보안이라는 말이 주목을 받기도 전에 단독으로 투자한 회사입니다. LLM과 AI 에이전트를 공격자의 방식으로 먼저 깨 보는 레드티밍이 시작이었고, 지금은 거기서 나온 공격 기법을 에이전트가 도구를 호출하는 순간의 권한 검사로 잇는 구조이며, 사고 한 번의 비용이 큰 금융, 통신, 의료가 첫 고객이었습니다. 2년 전 이 팀에 투자할 당시 "레드티밍이 돈이 되겠느냐"는 질문을 여러 번 받았는데, 올여름 이후로는 그 질문을 받은 기억이 없습니다. 올해 10월에는 OpenAI의 사이버보안 프로그램과 자사 레드팀을 결합한 애플리케이션 보안 평가 서비스를 내놓았고, Microsoft가 여러 모델로 취약점을 찾아 검증하는 프로그램의 국내 파트너가 되었습니다. 앞에서 PHP 결함의 공격 경로를 검증한 것이 바로 그 OpenAI 프로그램입니다. 발견하고 고치고 다시 공격해 확인하는 기계 속도의 루프는 레드티밍이 상시로 돌 때만 닫히고, 그 루프에 한국 팀이 이미 들어가 있습니다.

적대적 AI로부터 사람을 지키는 쪽에서 공격이 오기 전에 할 수 있는 일은 선제 면역입니다. 공격자가 내 얼굴로 딥페이크를 만들기 전에 사진 자체에 사람 눈에는 보이지 않는 Adversarial Perturbation을 심어, 생성 모델이 그 얼굴을 쓸 수 없게 만드는 기술입니다. 2020년 시카고대 연구진의 Fawkes가 같은 아이디어를 냈지만 학술 지표로만 검증되었고 일반 사용자가 쓸 이유가 없어 널리 쓰이지 못했습니다. 2026년은 다릅니다. 실제 딥페이크 사이트에서 방어율을 측정할 수 있고, API로 플랫폼에 붙일 수 있으며, EU AI Act와 국내 AI 기본법이 쓸 이유를 만들어 주고 있습니다. 스틸컷의 Protect가 이 포지션에 있고, 탐지와 선제 면역을 한 팀이 함께 가지고 있다는 것이 이 회사의 사업적인 강점이라고 생각합니다.

세 시점을 관통하는 질문

공격의 세 시점을 하나로 놓고서 던질 수 있는 질문은 결국 하나로 모입니다. "AI 보안 스타트업의 자산은 모델인가, 아니면 판정 기준인가?" 모델은 프론티어 랩이 수개월마다 갈아엎습니다. 판정 기준은 사고를 겪은 산업과 그 산업을 아는 사람에게서만 나오고, 매트릭스의 오른쪽으로 갈수록 그 비중이 커집니다.

‍

규제가 먼저 움직이는 시장

한국도 국가 단위로 움직이기 시작했습니다. 2025년 9월 이재명 대통령은 수석보좌관회의에서 "보안 없이는 디지털 전환도 AI 강국도 사상누각"이라고 말했고 (보안뉴스), 1년 뒤 금융권이 AI 에이전트의 공격을 받자 국무회의 지시가 나왔습니다. 금융당국은 망분리 규제를 완화해 준 10개 금융사에 AI 기반 취약점 테스트를 강화했고 (머니투데이), 금융보안원은 모의해킹 인력을 늘렸습니다. 금융처럼 규제가 강한 산업부터 당국이 기준을 세우고 테스트를 요구하는 방식으로 밀어 올리고 있습니다. 앞서 보여드린 매트릭스로 말하자면 규제가 금융사들을 "공격이 오기 전" 열로 한꺼번에 옮기고 있고, 이 흐름이 공공과 의료로 내려갈 가능성이 큽니다.

저는 여기에 한국 AI 보안 스타트업의 구조적인 기회가 있다고 봅니다. 보안은 지역과 산업에 맞춘 조정이 반드시 필요한 영역이기 때문입니다. 금융사의 에이전트가 승인해도 되는 거래의 기준은 모델이 아니라 금융보안원 가이드라인과 국내 여신, 결제 관행이 정합니다. 막았다는 사실을 감사와 분쟁에서 쓸 수 있는 증거 기록(Audit Evidence)으로 남겨야 하고, 그 증거 기록의 형식은 나라와 산업마다 다릅니다. 사는 쪽도 AI팀 혼자가 아니라 Risk, Compliance 팀이 함께 예산을 쥐고 있어 판정 기준은 규제의 언어로 쓰여야 하고, 망분리 환경이라면 그 모든 것이 온프렘으로 들어가야 합니다. 글로벌 벤더가 클라우드에 번들로 끼워 넣는 가드레일의 GTM이 멈추는 지점이 여기입니다. 모델이 한국어를 못해서가 아니라, 판정 기준과 증거 기록과 배포 환경이 그 시장 안에서만 만들어지기 때문입니다.

그런데 이 맞춤은 시장의 문제이지 기술의 문제가 아닙니다. AI 보안의 핵심 기법은 논문과 오픈소스로 공개되고 프론티어 랩의 취약점 공개는 전 세계가 같은 날 읽기 때문에, 한국 팀이 세계 수준의 기술을 만들지 못할 이유가 없습니다. 반면 어느 은행의 에이전트가 승인해도 되는 거래의 목록, 감사를 통과한 증거 기록의 형식, 망분리 환경에서 1년을 돌려 본 운영 기록은 고객과 보낸 시간만큼만 쌓이고 지름길이 없습니다. 저희가 2024년 에임인텔리전스에 투자할 때 투자 포인트가 정확히 이 두 줄이었습니다. 금융, 통신, 의료처럼 보안이 중요한 산업을 중심으로 지역별, 산업별 맞춤 보안의 필요성이 커질 것이라는 것, 그리고 글로벌 수준의 리서처를 한국에서 확보해 세계 최고 수준의 기술을 만들고 있다는 것. 기술은 글로벌, 시장은 로컬. 규제가 먼저 움직이는 시장은 이 조합을 가진 팀에게 작은 시장이 아니라 먼저 레퍼런스를 쌓을 수 있는 시장이고, 그 레퍼런스는 싱가포르나 일본처럼 비슷한 규제를 가진 다음 시장으로 옮겨 갑니다.

Exit 경로도 열려 있습니다. Cisco는 2024년 Robust Intelligence를 4억 달러에 인수했고, Palo Alto Networks는 Protect AI를, Check Point는 Lakera를 인수했습니다. 세 회사 모두 "자체 AI 시스템을 지킨다" 행의 회사이고, 한국에서 레퍼런스를 쌓은 팀이 글로벌 보안 기업의 인수 목록에 오르는 것은 이미 증명된 경로입니다.

물론 반대 시나리오도 보아야 합니다. 규제가 먼저 움직이는 시장의 다른 얼굴은 구매가 SI 대기업으로 몰리고 스타트업은 PoC만 반복하다 끝나는 그림이고, 한국 B2B 시장에서 익숙하게 보아 온 패턴입니다. 이 패턴을 깨는 팀은 "테스트해 봤다"에서 끝나지 않고 "이 은행의 에이전트가 승인해도 되는 것과 안 되는 것의 목록을 우리가 갖고 있다"까지 가는 팀일 것입니다.

‍

매쉬업벤처스가 바라보는 것

저희는 보안을 하나의 제품이 아니라 방어가 개입하는 시점의 연속으로 보고, 시점마다 다른 팀에 투자해 왔습니다.

• 공격이 오기 전의 레드티밍에서 시작해 공격이 일어나는 순간의 에이전트 권한 통제까지 넓혀 온 에임인텔리전스가 있습니다. 2024년 첫 라운드 단독 투자 이후 후속 라운드에도 참여했습니다.
• 공격이 일어나는 순간, 에이전트가 승인하기 전에 Fraud를 잡는 자리에는 티냅스가 있습니다.
• 공격이 오기 전 얼굴을 표적으로 쓸 수 없게 만드는 선제 면역과, 공격이 일어나는 순간의 딥페이크 탐지를 함께 가진 스틸컷이 있습니다.

방어의 개입 시점이 앞당겨진다

보호 대상 ＼ 방어의 개입 시점

공격이 끝난 뒤

공격이 일어나는 순간

공격이 오기 전

자체 AI 시스템을 지킨다

적대적 AI로부터 지킨다

← 좌우로 밀어서 보기 →

보호 대상과 방어의 개입 시점별 매쉬업벤처스 AI 보안 포트폴리오. 방어의 개입 시점이 앞당겨지는 순서: 공격이 끝난 뒤, 공격이 일어나는 순간, 공격이 오기 전

보호 대상	공격이 끝난 뒤	공격이 일어나는 순간	공격이 오기 전
자체 AI 시스템을 지킨다	-	티냅스(Tynapse), 에임인텔리전스(AIM Intelligence)	에임인텔리전스(AIM Intelligence)
적대적 AI로부터 지킨다	-	스틸컷(Stealcut)	스틸컷(Stealcut)

세 팀의 공통점은 모델이 아니라 판정 기준을 자산으로 삼고 있다는 것입니다. 금융의 Fraud 판정 기준, 산업별 레드티밍 기법, 실제 딥페이크 사이트에서 측정한 방어율은 프론티어 랩이 다음 모델을 내놓아도 남는 것들입니다.

세 회사에는 공통점이 하나 더 있습니다. 모두 매쉬업벤처스가 첫 번째 기관 투자자라는 점입니다. 저희가 투자를 결정하던 날 세 회사에는 금융권 레퍼런스도, 산업별 판정 기준도, 실제 사이트에서 측정한 방어율도 없었습니다. 있는 것은 그것을 쌓겠다는 사람뿐이었고, 레드티밍이 돈이 되겠느냐, 에이전트 Fraud는 아직 이르지 않느냐, 딥페이크 선제 방어는 시장이 없지 않겠냐는 질문을 저희도 창업자들과 같이 받았습니다. 매쉬업벤처스는 AI 보안이라는 산업이 태동하기 전, 쌓인 것이 아무것도 없는 첫 날에, 그 비전을 믿고 있는 빌더를 믿는 일을 해 왔습니다.

글을 마무리하며 CrowdStrike 창업자 George Kurtz의 말을 빌리고 싶습니다. Anthropic의 Dario Amodei가 프론티어 모델 개발 속도를 늦추자는 에세이를 냈을 때 그가 남긴 답입니다.

"The frontier will move at whatever speed it moves. The rest of the world will not slow down. Our job in the cybersecurity community is to make sure it moves securely and safely."

"프론티어는 제 속도로 움직일 것입니다. 세상의 나머지도 느려지지 않을 것입니다. 보안 커뮤니티의 일은 그것이 안전하게 움직이도록 만드는 것입니다." — X

공격은 이미 비대칭 전력이 되었고, 패치로는 그 속도를 따라잡을 수 없습니다. 방어도 같은 속도, 같은 단가, 같은 자율성으로 돌아야 하고, 그 방어는 사고가 난 뒤가 아니라 행동이 일어나는 순간과 그 이전에 서 있어야 합니다.

AI가 만드는 세상은 유토피아만은 아닙니다. 그래서 저희는 AI가 세상을 더 이롭게 만든다는 목표로 뾰족한 문제를 푸는 담대한 창업자를 찾고 있습니다. 매쉬업벤처스가 그 여정에 첫 번째 믿음을 갖는 퍼스트 빌리버(First Believer)로 함께 하고 싶습니다.

매쉬업벤처스와 여정을 함께 하고 싶은 창업자는 투자 검토를 신청해 주세요.