‘AI 공포’ 불똥 튄 보안 업계..."핵심 비즈니스 파괴할 수 없다"

[디지털투데이 황치규 기자] 최근 AI 개발사 앤트로픽이 AI 코딩 툴 클로드코드에 보안 기능을 선보이자 보안 업계가 직견탄을 맞았다. AI 툴이 보안 업무를 대체할 수 있다는 우려가 나오면서 유력 보안 업체들의 주가가 하락하는 상황이 벌어졌다. 하지만 AI가 보안 업체들의 핵심 비즈니스까지 흔들기는 쉽지 않다는 게 대체적인 시각이다.

23일(현지시간) 크라우드스트라이크와 지스케일러는 각각 9% 하락했으며, 넷스코프는 10% 가까이 떨어졌다. 세일포인트는 6%, 옥타, 센티넬원, 포티넷은 4% 이상 하락했고, 팔로알토 네트웍스도 2% 하락 마감했다.

이에 따라 앤트로픽과 같은 AI 툴이 엔터프라이즈 소프트웨어를 대체할 수 있다는 관측이 확산되면서 관련 업계 주가가 폭락했던 상황이 보안 시장으로 번지는 것 아니냐는 시선도 엿보인다. 20일 앤트로픽이 선보인 클로드코드 시큐리티는 클로드코드가 작성한 코드를를 스캔해 취약점을 찾아내고 패치를 제안하는게 특징이다.

회사 측에 따르면 클로드코드 시큐리티는 단순 정적 코드 분석이 아닌 맥락 기반 분석을 수행한다. 인간 보안 연구자처럼 구성 요소들간 상호작용을 이해하고, 데이터 흐름을 추적하며, 규칙 기반 도구가 잡아내지 못하는 복잡한 취약점을 탐지한다. 클로드 오푸스 4.6은 오픈소스 코드에서 500개 이상 고위험 취약점을 발견하고 검증했다고 한다.

모든 패치 적용 여부는 사람이 최종 결정한다. 클로드코드 시큐리티는 문제를 찾고 해결책을 제안하는 역할만 한다는게 회사측 설명이다. 클로드코드 시큐리티는 공식 출시된게 아니라 제한적인 리서치 프리뷰 형태로 나왔는데도 주요 보안 업체들 주가를 뒤흔드는 파장을 불러일으켰다. 앞서 앤트로픽이 클로드코드에 비개발자도 자연어로 업무를 자동화하는 앱을 개발 수 있게 해주는 코워크 기능을 선보이면서 엔터프라이즈 소프트웨어가 폭락했던 것과 큰틀에서 유사한 장면이었다.

AI 모델이 애플리케이션 보안 취약점을 분석하는 역량이 향상되고 있는 만큼, 앤트로픽이 보안 관련 행보를 클로드코드 시큐리티에서 멈출 가능성은 없어 보인다. 오픈AI 역시 자체 AI 기반 툴들을 계속 선보이고 있는 상황이다.

이를 감안하면 AI 업체들이 보안 회사들과 일대일로 붙는 상황은 앞으로 충분히 예상 가능한 시나리오다. 최근 주요 보안 기업들 주가 하락도 이와 무관치 않아 보인다. AI 모델 회사가 무슨 기능 하나 내놓으면 해당 기능과 관련된 업계 주가에 영향을 미치는 상황에서 보안 업계 역시 자유롭지 않다는 얘기다.

AI 보안을 둘러싼 판은 계속 커지고 있다. 빅테크들도 AI 보안에 투입하는 실탄을 늘리는 모습이다.

아마존은 AI 에이전트로 보안 결함을 탐지하고 수정안을 제안하는 시스템을 자체 운영 중이다. 마이크로소프트는 취약점 우선순위 분류, 영향 기기 식별, 패치 자동화를 수행하는 보안 에이전트 군을 보유하고 있다. 구글은 2024년 11월 거대 언어 모델 기반 버그 탐지 도구 '빅 슬립'이 실제 환경에서 메모리 안전 취약점을 발견해 코드 공식 출시 전 수정했다고 발표했다. 최근에는 자동 패치 생성 에이전트 '코드멘더'(CodeMender)도 선보였다. 오픈AI도 지난해 10월 GPT-5 기반 보안 에이전트 시스템 '아드바크'를 내부 테스트중이라고 밝혔다

하지만 앤트로픽 행보에 따른 보안 업계 주가 하락은 오버액션이라는 시각이 적지 않다.

악시오스 최근 보도에 따르면 클로드코드 시큐리티는 다른 코드 보안 회사들과 직접 경쟁하겠지만 보안 업체들 핵심 비즈니스까지 흔들기는 쉽지 않다. 기업은 사이버 공격을 방어하고 탐지하기 위해 레이어화된 접근(layered approach )이 필요한데, 클로드코드 시큐리티는 바이브 코딩 프로젝트가 보다 안전한 방식으로 작성되도록 도울 수 있지만, 침입자가 네트워크에 숨어 있을 때나 직원이 피싱 링크를 클릭했을 때는 탐지할 수 없다고 악시오스는 전했다.

NEA의 에런 제이콥슨 파트너는 "AI 덕분에 설계 단계부터 안전한 소프트웨어가 더 많이 나올 가능성은 있지만 사이버 보안은 기술이 아니라 인간적인 문제"라고 말했다. 레이먼드 제임스 애널리스트 마크 캐시는 보고서에서 시장 반응에 대해 “과도하다”고 평가하며 시장이 클로드 코드 시큐리티 “현재 기능성을 훨씬 뛰어넘는 추측을 하고 있다”고 지적했다.

악시오스는 지난 몇 개월간 VC 투자자들에게 독립형 AI 기반 코드 보안 기업에 대한 투자 가치를 파악해왔는데, VC들은 기업 보안 팀들이 모든 보안 요구사항을 AI 공급업체 하나로 통합하려 하지는 않을 것으로 보고 있다고 전했다.

보안 업계 관계자들도 AI발 위협론 진화에 적극 나섰다. 크라우드스트라이크 조지 커츠 CEO는 링크드인에 “AI는 강력하고 혁신적이다. 그리고 보안 수준을 확실히 높여준다. 하지만 AI가 보안 필요성을 없애지는 않는다. 오히려 그 필요성을 키운다"고 말했다.