• AI가 취약점을 찾아 악용하는 속도가 빨라지면서 평균
  악용까지 걸리는 시간(TTE) 은 공개 9시간 전인 -9시간

까지 줄었고, 공개 전 제로데이로 악용되는 취약점 비율도 5년 전 약 30%에서 현재 80% 이상으로 증가함

• 보안 조직은 여러 도구를 직접 운용하는 방식에서 벗어나 공격 경로 탐색, 복구 우선순위 결정, 대응 절차를 자동화하고
  에이전트 집단을 기계 속도로 관리하는 운영 모델로 전환해야 함
• 보안 SaaS는 API와 MCP를 통해 에이전트가 직접 사용하는
  헤드리스 구조로 이동하며, 여러 제품의 UI는 하나의 관리 인터페이스로 통합될 전망임
• 미래 보안 스택은
  데이터·관리·제어 플레인으로 구성되며, 엔드포인트·신원·인증서처럼 깊이 내장된 제어 지점은 방어력이 높지만 분석·보고·워크플로 제품은 자체 구축 도구와 경쟁할 위험이 큼
• 스타트업과 ScaleUp에는 관리 플레인과 도메인별 에이전트가 가장 큰 기회이며, 단일 기능보다
  네트워크 효과·독점 데이터·브랜드와 에이전트 접근성, 오케스트레이션 품질이 지속적인 경쟁력을 좌우함

AI가 바꾸는 사이버보안의 시간표

• AI 모델의 발전으로 취약점 식별과 대응의
  속도와 규모가 과거와 크게 달라짐
• 과거에는 알려진 익스플로잇이나 제로데이를 복구하는 데 30일 이상을 확보할 수 있었지만, 이제는 취약점 공개 전부터 악용됨
• Zero Day Clock 기준 평균 악용까지 걸리는 시간은 발행 시점에
  -9시간

임

• 현재 취약점의 80% 이상이 공개 전에 제로데이로 악용되며, 5년 전에는 약 30%였음

• AI가 인간의 하루 업무를 독립적으로 끝낼 수 있는 수준에 도달하고 발전의 초점이 소프트웨어에서 노동으로 이동하면, 사이버보안도 같은 경로를 따를 전망임

• CISO는 AI로 공격 경로와 노출을 찾고 복구 우선순위를 정하며, 보안 워크플로와 대응 절차를 자동화하는
  AI 네이티브 운영 방식을 채택해야 함

• 보안 실무자의 역할도 도구 관리에서 에이전트 관리로 이동함

• 한 기업 보안 리더는 이를 분석가에서 엔지니어로 전환하는 변화로 봄

보안 운영을 흔드는 세 가지 AI 흐름

개인이 직접 만드는 앱과 에이전트

• 보안팀도 자체 애플리케이션과 에이전트를 만들 수 있게 됐으며, 한 Deputy CISO는 5개의 에이전트를 24시간 운용하고 있음

• 조직별 운영 방식에 맞는 기능을 쉽게 직접 만들 수 있어, CISO가 일부 상용 제품 기능의 가치를 다시 판단할 수 있음

• CrowdStrike나 SentinelOne처럼
  네트워크 효과와 데이터 해자를 갖춘 제어 지점 전체를 즉석 개발로 대체하기는 어려움

• 반면 상용 제품 코드에 포함된 일부 기능과 워크플로는 기업이 자체 운영 모델에 맞춰 직접 재구성하는 편이 유리할 수 있음

• 보안 조직과 제품 개발사는 다음 세 가지를 판단해야 함

• 어떤 워크플로를 에이전트에 위임하고 구성원의 역할을 어떻게 바꿀 것인가

• 완전 맞춤형 소프트웨어를 만들 수 있을 때 어떤 제품 기능의 중요도가 높아지거나 낮아지는가

• 에이전트와 앱을 완전히 자체 구축할지, 플랫폼의 에이전트 빌더를 확장할지, 에이전트 네이티브 생태계에서 구매할지 결정해야 함

헤드리스 SaaS로의 전환

• 에이전트 도입이 빨라지면서 소프트웨어는 UI보다 API 중심인
  헤드리스 구조로 이동함

• Marc Benioff는 2026년 4월 헤드리스 Salesforce를 발표하며 “Our API is the UI”라고 선언함

• 일부 창업팀은 수개월 동안 Salesforce에 로그인하지 않고 자동화와 에이전트만 사용함

• 사이버보안에서도 같은 변화가 나타남

• Sysdig는 헤드리스 클라우드 보안 제품으로 사용할 수 있음

• Trench는 헤드리스 SecOps 제품을 구축함

• 여러 업체가 에이전트의 솔루션 데이터 접근을 위해
  Model Context Protocol(MCP) 서버를 제공함

• Notion 보안팀의
  Scruff

는 사고 조사를 자율적으로 수행함

• 관련 워크플로에서는 브라우저로 Wiz, CrowdStrike, Scanner에 로그인하지 않음
  Scruff

가 API와 MCP로 데이터를 가져오면 보안팀이 그 결과를 활용함

• 다른 CISO는 Claude에서 Wiz, Azure 등으로 연결되는 커넥터를 구축해
  Claude 인터페이스에서 보안 데이터를 분석함

• 여러 보안 UI는 사라지고 대부분의 제품에서 API가 UI 역할을 하며, 헤드리스 보안 스택 전체를 시각화하고 조작하는 하나의 관리 인터페이스만 남을 전망임

프런티어 모델의 보안 역량 확대

• Anthropic, OpenAI, Google 같은 프런티어 연구소의 모델은 대규모 데이터를 분석해 새로운 추세와 공격 패턴을 찾는 기반으로 활용될 수 있음

• 프런티어 연구소는 보안 스타트업 영역에 직접 또는 간접적으로 진입할 수 있음
  Claude Code Security와 OpenAI Codex Security처럼 보안 전용 기능을 직접 출시할 수 있음

• 보안팀이 맞춤형 도구와 에이전트 워크플로를 만드는 문턱을 낮춰 간접적으로 경쟁할 수도 있음

• 플랫폼 기업은 해당 역량을 기존 제품에 포함해 두 경로를 모두 가속할 수 있음

• Cisco Cloud Control은 플랫폼에서 만든 에이전트와 앱을 위한 마켓플레이스를 포함하며, 플랫폼 자체에는 OpenAI Codex를 사용함

• 프런티어 연구소가 보안팀 업무의 중심이 되더라도, 그 범위 밖에서
  데이터·맥락·초기 상관분석을 제공하는 솔루션은 남게 됨

• SentinelOne과 CrowdStrike는 엔드포인트에 깊게 내장돼 풍부한 원격 측정 데이터와 직접 위협에 대한 초기 차단 기능을 제공함

• Keeper, Delinea, Keyfactor처럼 신원·인증·인증서 인프라를 제공하는 기업도 중단 위험이 상대적으로 낮음

• 분석·보고·워크플로가 본질인 제품은 더 큰 대체 위험에 노출됨

소형·오픈소스 모델의 위치

• 특정 용도에 맞춘
  소형 언어 모델(SLM) 은 일반적으로 실행 효율이 높고, 조직과 사용 사례의 맥락으로 학습해 특정 작업에서 높은 결과를 낼 수 있어 관심이 증가함
• 오픈소스 모델은 추론 비용 측면에서 더 저렴할 수 있음
• 선도적인 오픈소스 모델 다수가 중국에서 나오면서 모델 자체의 보안성과 기업이 이를 효과적으로 보호할 수 있는지에 관한 문제가 남아 있음
• Skyflow처럼 런타임 데이터 보호 기능을 제공하는 솔루션은 위험 가능성이 더 큰 모델을 사용하면서도 보안과 규정 준수를 유지하는 방법이 될 수 있음

에이전트 중심의 Next Stack

• Next Stack은 에이전트를 전제로 한
  강력한 데이터 기반, AI 우선 아키텍처, 개방형 인터페이스를 갖춰야 함
• 전체 구조는 데이터 플레인, 관리 플레인, 제어 플레인의 세 계층으로 나뉨

데이터 플레인

• 사이버보안 운영에 필요한 모든 데이터를 저장하고 분석하는
  데이터 기반 계층임

• 일반적으로 Databahn 같은 보안 데이터 파이프라인과 Databricks 같은 데이터 레이크로 구현됨

관리 플레인

• 보안 환경의
  오케스트레이션과 보고 계층임

• SecOps 팀은 이곳에서 보안 제어 환경 전반을 조율하는 에이전트를 만들고 관리함

• 에이전트가 공유하는 중앙 맥락 계층도 관리함

• SecOps 관리 인터페이스는 하나로 수렴하며, 도메인별 에이전트 정의를 통해 제어 플레인까지 확장됨

제어 플레인

• 일반적인 보안 도메인에서 환경의 제어 지점을 담당하는
  최전선 솔루션 계층임
• 각 도메인은 관리 플레인이 오케스트레이션하는 전용 에이전트로 운영되며, 기업 전체에 일관된 정책을 집행함
• 방어·공격 에이전트는 각각 기존의 블루팀과 레드팀 역할을 수행함
• 방화벽, Endpoint Detection & Response(EDR), Identity Provider(IdP), Cloud-Native Application Protection Platform(CNAPP), 이메일 보안 같은 기존 기술은 에이전트 네이티브 헤드리스 아키텍처로 구현됨

보안 조직의 역할 변화

• 보안 운영은 정책을 스택 전체에 일관되게 구현하는
  오케스트레이션 에이전트 집단을 구축·관리·조정하는 업무로 이동함
• 규제와 위험 프로필에 맞춰 변경 사항을 조율한다는 점에서 거버넌스·위험·규정 준수(GRC) 기능과 유사해짐
• 도메인별 에이전트를 제대로 운영하려면 제어 지점에 관한 깊은 전문성이 필요함
• 해당 분야 전문가는 자동화가 실패할 때 직접 개입해 문제를 분류하고 처리해야 함

에이전트에 위임될 보안 워크플로

• 가장 먼저 자동화되는 업무는 반복적이고 분석 비중이 높은 작업임
• 이후에는 더 복잡한 업무가 에이전트로 이동함
• 보안팀은 자체 환경에 맞는 에이전트와
  에이전트 기술을 구축·훈련하는 내부 전문가이자 에이전트 관리자가 됨
• 에이전트가 의도대로 실행되는지 감독해야 하며, 보안 태세 저하나 업무 중단 위험이 있는 중요한 결정에는 인간의 참여와 감독이 계속 필요함

맞춤형 소프트웨어가 제품 가치에 미치는 영향

• 프런티어 연구소가 맞춤 인터페이스와 에이전트 워크플로 개발을 대중화하면, 기업은 여러 제품의 개별 대시보드를 대체하는 자체 사용자 인터페이스를 만들 수 있음
• 맞춤형 분석 및 워크플로 실행 에이전트도 등장하며, 모든 조직이 직접 구축하지 않더라도 제품 기능이
  부가가치로 인정받는 기준은 높아짐
• 방어력을 높이는 요소는 다음과 같음
• 네트워크 효과
• 기업 내부에서 구할 수 없는 독점 데이터
• 정교한 네트워크 경계 공격 차단을 자체 제작 솔루션에 맡기기 어려운 데서 나오는 브랜드 신뢰

에이전트를 구축할 플랫폼

• 보안 플랫폼 기업들은 에이전트 빌더와 서드파티 마켓플레이스를 제공하고 있음

• Microsoft Security Copilot custom agents

• Palo Alto Networks AgentiX

• CrowdStrike Charlotte AI AgentWorks

• Cisco Cloud Control Studio

• 현재 이들 플랫폼에서 전체 보안 제품군을 직접 만드는 기업은 드물지만 향후 달라질 수 있음

• 플랫폼 빌더는 앱과 에이전트 제작뿐 아니라 기존 IT·보안 스택과의
  통합을 쉽게 함

• 별도 에이전트 빌더를 사용하면 연결을 수동으로 구성해야 하므로, 플랫폼 내부 구축이 더 실용적일 수 있음

• 구축과 구매는 병존함

• 기술이나 자원이 부족한 기업은 최고 수준의 에이전트를 직접 만들지 못할 수 있음

• 일부 기업은 에이전트 네이티브 제품을 구매해 생태계에 통합함

• 기존 업체들은 최신 기능을 여러 플랫폼에서 사용할 수 있도록 제품을 에이전트 마켓플레이스용으로 재구성할 전망임

단일 관리 인터페이스와 프런티어 연구소

• 현재의 수많은 보안 인터페이스는
  하나의 인터페이스로 통합될 전망이지만, 기업이 직접 만들지 기술 플랫폼 위에 구축할지는 아직 정해지지 않음
• 실제 시장에는 맞춤형 관리 인터페이스와 플랫폼 기반 인터페이스가 함께 존재할 가능성이 있음
• 프런티어 연구소는 에이전트 인프라의 기반 모델이자 경우에 따라 보안 스택의 인터페이스가 됨
• 일부 보안팀은 핵심 보안 제품을 에이전트의 제어 플레인으로 사용하고, 다른 팀은 프런티어 연구소 솔루션으로 최종 사용자용 에이전트 앱을 만든 뒤 맞춤형 또는 사전 구축 커넥터로 보안 스택에 연결할 수 있음
• 기업 환경에 맞게 미세 조정하고 낮은 비용으로 운영할 수 있는 SLM과 오픈소스 모델도 선택지지만, 사이버보안 분야의 오픈소스 모델 도입은 아직 초기이며 현재 대부분의 용례는 프런티어 모델을 사용함

스타트업과 ScaleUp의 기회

• 스타트업과 ScaleUp은 Next Stack에서 자신의 위치와
  방어 가능한 기능을 명확히 구분해야 함
• 방어력이 있는 기능은 독립 제품으로 제공하거나 플랫폼 마켓플레이스에 포함해 미래 에이전트 생태계와 통합해야 함

제어 플레인

• 서비스를 AI 에이전트가 쉽게 접근하고 사용할 수 있게 만들어야 함

• 기술 품질뿐 아니라 에이전트 네이티브 생태계와의
  원활한 통합이 경쟁력을 좌우함

데이터 플레인

• 데이터 레이크 자체는 기존 대형 업체가 차지할 가능성이 큼

• 스타트업은 빠른 데이터 파싱과 검색을 제공하는 중간 계층에서 기회를 찾을 수 있음

• 이 계층은 데이터 기반과 에이전트 사이의 상호작용을 가속하는
  데이터 파이프라인 역할을 함

관리 플레인과 도메인별 에이전트

• 관리 플레인과 여기서 제어 플레인까지 확장되는 도메인별 에이전트 영역에서 가장 큰 변화와 스타트업 기회가 예상됨
• 기업이나 외부 서비스 제공자가 자체 개발한 것보다 더 일관되고 정확하며 빠른 결과를 내는
  에이전트 하네스와 오케스트레이션 솔루션이 지속적인 경쟁력을 확보할 수 있음
• AI의 미래에 관한 전망은 현재의 기대와 가정을 기반으로 하며, 실제 결과는 크게 달라질 수 있음

댓글과 토론