보안 엔지니어 얀 셔홀트(netmeister)의 최근 에세이는 AI 도입 열풍 한복판에서 실무자가 느끼는 피로와 회의를 날것 그대로 쏟아낸 글이다. 그는 하루 업무 시간의 75% 이상을 직간접적으로 AI를 다루는 데 쓰면서 일의 즐거움 대부분을 잃었다고 토로한다. 엔지니어링 배경이 없는 사람들이 자동화 에이전트로 채운 홈랩에서 '업계를 바꿀' 해법을 들고 오고, 이메일과 기사들은 하나같이 링크드인 인플루언서식 문체로 수렴한다는 관찰은 과장된 불평처럼 보이지만, 그 밑에는 구체적인 기술적 논점이 깔려 있다. 감정적 표현을 걷어내고 보면 이 글의 핵심은 'AI가 보안을 실제로 개선했는가'라는 검증 가능한 질문이다.
취약점 발견은 원래 병목이 아니었다
가장 날카로운 지적은 이른바 '프론티어 모델'을 동원한 AI 취약점 연구에 관한 것이다. 저자에 따르면 Anthropic과 OpenAI가 서로 자사 모델의 위험성을 경쟁적으로 부각하는 가운데, 업계 리더를 자처하는 조직들이 Glasswing, Daybreak, Athena, Akrites 같은 프로젝트에 참여하거나 공개서한에 서명하며 FOMO에 휩쓸렸다. 각 조직은 AI 취약점 탐지 하니스를 개발·조정하고, 쏟아지는 수천 건의 발견을 기존 취약점 관리 프로세스에 욱여넣기 위한 파이프라인을 만드는 데 수백만 달러 규모의 엔지니어링 자원을 투입했다.
그 결과 실제로 수천 개의 새로운 취약점이 발견됐지만(그중 오픈소스 프로젝트에 신고된 것은 일부뿐이라는 단서가 붙는다), 저자는 우리가 예전보다 더 안전해지지는 않았다고 본다. 이유는 명확하다. 정보보안에서 병목은 한 번도 '취약점을 찾는 일'이었던 적이 없기 때문이다. 보고서를 검증하고 심각도를 평가하는 일도, 패치를 만들고 릴리스를 내는 일도 병목이 아니다. 진짜 병목은 예나 지금이나 '패키지를 실제로 업데이트하는 일'이다. 패치 적용은 여전히 어렵다.
같은 자원을 기본기에 썼다면
저자는 만약 동일한 자원을 화려하지 않은 기본기에 투입했다면 어땠겠느냐고 되묻는다. 최신 상태로 유지되는 정밀한 자산 인벤토리와 패키지 목록, 정기적이고 잦은 자동 OS·애플리케이션 업데이트 인프라, 가동 시간이 일정 기준(예: 30일)에 도달하면 자동 재부팅해 업데이트를 반영하는 체계, 자체 IP 대역과 모든 클라우드 제공자에 걸친 포괄적 공격 표면 열거 같은 것들이다. 선임 엔지니어 수십 명을 6개월간 여기에 전념시키는 편이 훨씬 나은 투자였겠지만, 그런 일은 '사이버'스럽지 않아 외면받는다는 것이다. 인적 자원은 여전히 제로섬이며, 각자 에이전트 사일로 안에서 바빠 보이는 것이 부서 간 협업이 필요한 문제를 풀어주지는 않는다.
사람이 이해를 잃어가는 순환 구조
이 글이 실무자에게 던지는 더 근본적인 경고는 AI가 사용자를 무디게 만든다는 것이다. AI가 코드에서 취약점을 찾고, 그 취약점을 고치기 위해 AI가 패치를 생성하며, 그렇게 만들어진 풀 리퀘스트를 다시 AI가 '리뷰'한다. 루프에 AI가 많이 끼어들수록 조직은 자신의 코드베이스를 점점 덜 이해하게 되고, 그토록 강조되는 '휴먼 인 더 루프'는 사실상 고무도장 찍기에 그치는 경우가 많다. 문제는 시스템이 실제로 고장 날 때다. 복잡한 시스템은 복잡하게 실패하고, 디버깅은 작성보다 한 차원 어렵다. 남의 코드를 디버깅하는 것은 더 어렵고, 조직 전체가 사실상 블랙박스로 여기는 구성요소로 이뤄진 대규모 분산 시스템을 디버깅하는 일은 불가능에 가깝다.
저자는 이 밖에도 AI 기업들이 지적재산 착취 위에 세워졌고 권력이 소수에 집중된다는 점, 스스로 규제를 요청하면서도 정작 개발을 멈추지는 않는 이중성, 그리고 물 소비와 화석연료 기반 데이터센터로 인한 환경 부담을 강하게 비판한다. 이 대목들은 논조가 격앙돼 있어 독자가 사실과 의견을 구분해 읽을 필요가 있다.
감정을 덜어내고 남는 실무적 함의는 분명하다. 화제성 있는 신기술 도입 경쟁에 자원을 쏟기 전에, 우리 조직의 진짜 병목이 어디인지부터 물어야 한다는 것이다. 탐지 능력이 아니라 패치와 배포, 자산 관리 같은 지루한 운영 역량이 부족하다면 아무리 많은 취약점을 찾아내도 위험은 줄지 않는다. 또한 검토 루프 전체를 AI로 채우는 순간 조직이 자기 시스템에 대한 이해 자체를 잃을 수 있다는 경고는, 자동화의 편익을 취하되 '설명 가능성'과 사람의 실질적 판단을 어디에 남겨둘지 설계하라는 요구로 읽힌다.