보안 연구자 할바 플레이크가 말하는 성숙의 세 가지 조건

구글 프로젝트 제로 출신이자 리버스 엔지니어링 도구 BinDiff로 잘 알려진 보안 연구자 토마스 둘리엔(Thomas Dullien, 필명 할바 플레이크)이 개인 블로그에 '나를 성숙하게 만든 세 가지 단계'라는 글을 올렸다. 최근 아버지를 여의고 자신이 이제 '윗세대가 없는 세대'가 되었다는 자각, 그리고 자신보다 젊은 구성원이 많은 회사로 옮긴 경험이 계기가 됐다. 2011년 서른 살에 구글에 합류했을 때만 해도 벨 연구소를 거친 50대 선배 엔지니어들을 우러러보던 그가, 이제는 20대 이후 자신의 세계관을 근본적으로 바꾼 통찰이 무엇이었는지 되짚는다. 기술적 무용담이 아니라 오래 이 업계에 몸담은 사람의 사고 습관을 다룬 글이라, 보안·엔지니어링 실무자에게 시사점이 적지 않다.

자기 유인 구조를 의심하라

첫 번째는 자신의 유인 구조(incentive structure)를 이해하고, 스스로 하는 생각을 다 믿지 말라는 것이다. 둘리엔은 아무도 모르는 제로데이 취약점을 손에 쥐고 있을 때 그 책임을 두고 오래 고뇌했다고 털어놓는다. 취약점을 고쳐야 하나, 좋은 일에 써야 하나, 세상에 해를 끼치는 것은 아닌가. 그러나 그가 도달한 결론은 개인의 판단이 스스로 생각하는 것만큼 중요하지 않다는 것이다. 많은 아이디어에는 '무르익는 시점'이 있고, 역사의 큰 흐름은 개인 한 명에게 그다지 민감하지 않다. 같은 제로데이라도 테러범 검거에 쓰이면 선이고, 그 뒤 고문에 이어지면 악이 되는 식으로 판단은 순식간에 복잡해진다. 결국 사람은 자신을 이야기의 영웅으로 두면서 인정 욕구와 물질적 필요까지 충족시키는 서사를 짜맞추게 되어 있다는 것이다.

여기서 그가 끌어내는 실무적 조언은 인용할 만하다. 자기 일의 영향력에 대한 불안은 그 자체로 자기 미화이며 '자아를 위한 설탕'이니 경계하라는 것, 그리고 '이 이야기에서 내가 악당일 가능성은 없는가?'를 진지하게 저울질하는 능력을 기르라는 것이다. 자신의 사고를 한발 떨어져 관찰하는 메타인지 훈련도 같은 맥락이다. 보안처럼 선악 판단이 자주 흐릿해지는 분야에서 특히 새겨둘 만한 태도다.

단일 원인 결정론은 착시다

두 번째 통찰은 컴퓨터 디버깅 바깥에서 단일 원인 결정론은 거의 존재하지 않는다는 것이다. 젊은 개발자가 익숙해지는 '입력이 같으면 출력도 같다'는 결정론은, 세대에 걸쳐 전기·공정 엔지니어들이 물리적 현실을 다듬어 유지해 온 착시라는 지적이다. 실제 컴퓨팅 기계는 마모되고 품질 편차가 있으며, 온도·전압·전자기장이나 인접 DRAM 행에 대한 반복 접근(로우해머) 같은 자극이 조금만 가해져도 결정론이 무너진다. 그는 이 대목에서 모델 정렬(alignment) 문제까지 확장한다. 완벽히 정렬된 모델이라도 추론 과정에서 비트 플립이 일어나면 어떤 보장을 유지할 수 있겠느냐는 것이다. 하드웨어의 확률적 실체를 다루는 사람이라면 곱씹을 만한 문제 제기다.

현실 세계에서는 단 하나의 원인으로 벌어지는 일도, 완전히 결정론적인 전달 경로도 드물다. 모든 것은 확률적이고 다원인적이며, 측정에는 잡음이 끼고 실험 설계는 어렵다. 흥미로운 것은 그가 과학적 방법을 '참으로 받아들이기를 의도적으로 꺼리는 분류기'로 규정한다는 점이다. 합리적 의심을 넘어선 것만 참으로 인정하도록 편향돼 있기에, 참이지만 과학적으로 결코 입증되지 못할 명제의 큰 집합이 존재한다는 역설로 이어진다.

이성과 감정의 이분법을 넘어

세 번째는 이성과 감정을 대립축으로 놓는 서구적 통념이 신경과학적 근거도 논리적 근거도 없는 문화적 구성물이라는 주장이다. 신경과학적으로 감정적 평가는 의사결정 기계 전체의 일부이며, 이 부분이 손상되면 판단 자체가 제대로 작동하지 않는다. 뇌가 언어로 또렷이 표현하지 못하는 정보와 신체 감각 기관의 피드백이 상당 부분 감정의 형태로 전달된다는 것이다. 그는 장(腸)의 장신경계가 개의 대뇌피질 전체에 맞먹는 뉴런을 가지고 있다는 사실을 예로 든다.

논리적 결론은 단순하다. 더 많은 정보를 활용할수록 결정의 질은 좋아지는데, 감정이라는 정보원을 의도적으로 제거하면 결정은 거의 확실히 나빠진다는 것이다. 충동만으로 움직이라는 뜻이 아니라, 감정을 포함한 정보의 전체 스펙트럼을 통합하는 편이 현명하다는 얘기다. 데이터와 지표만을 신뢰하도록 훈련된 엔지니어에게는 다소 낯설게 들릴 수 있으나, 흑백논리로 환원되지 않는 판단을 자주 내려야 하는 실무자에게는 균형추가 될 만한 관점이다. 세 통찰 모두 화려한 방법론이 아니라 오래 일한 사람의 자기 점검 습관에 가깝다는 점에서, 결국 성숙이란 자신의 사고를 얼마나 의심할 수 있느냐의 문제로 수렴한다.