AI 시대, 보안 공부가 쓸모없어졌다는 가장 위험한 착각
AI 시대, 보안 공부가 쓸모없어졌다는 가장 위험한 착각
AI가 보안 업무를 대체하기 어려운 본질적 이유 탐구
얼마 전 사이버가디언즈 보안 캠프에서 한 중학생에게 꽤 인상적인 질문을 받았습니다.
“미토스 같은 AI 관련 기사를 봤는데요. AI가 보안을 다 해주게 되면 사람이 굳이 보안을 공부해야 하는 이유가 있나요?”
근 몇 년간 받았던 질문 중에 가장 놀랐던 질문 중 하나였습니다.
이런 질문은 주로 주니어 실무자들이나 대학생 취준생 사이에서 나왔는데 이제 중학생까지 같은 걱정을 하고 있었습니다.
생각해보면 이상한 일도 아닙니다.
요즘 우리는 매일 새로운 기록을 접합니다. AI가 프로그래밍 대회에서 인간을 뛰어넘고, 십 수년된 취약점을 찾고, CTF를 풀고, 리얼 월드 Exploit까지 만들어냅니다.
기존에는 인간 전문가의 영역이라고 생각했던 문제들을 AI 하나씩 무너뜨리는 장면을 계속 보고 있습니다.
당연히 이런 소식은 중학생도 볼 수 있고, 계속 접하게 되면 불안해지는 것이 당연합니다.
CTF를 해온 사람이라면 변화가 더 피부에 와닿습니다.
과거에는 모델이 문제를 하나 풀 때마다 놀라워했지만 이제는 어디까지 풀었는지를 검토하고 실제로 유효해보이는 풀이 방향을 제시하는 일이 더 익숙해지고 있습니다.
그래서 이런 AI 발전 속도를 두고 지금 세상에서는 이런 질문들이 난무합니다.
“개발자도 없어지는 것 아닌가?”
“회계사도, 변호사도, 의사도 필요 없어지는 것 아닌가?”
“학위도 필요 없고 전문성도 필요 없는 시대가 오는 것 아닌가?”
그리고 보안을 공부하는 사람에게는 결국 하나의 질문으로 모입니다.
AI가 해킹까지 해주는 세상에서 나는 왜 이 어려운 공부를 계속해야 하는가?
저는 이 질문을 가볍게 넘겨서는 안 된다고 생각합니다.
AI를 과소평가해서도 안 됩니다. 지금의 발전속도를 보면 AI는 앞으로 우리가 생각하는 것보다 훨씬 더 많은 보안업무를 자동화할 것입니다.
하지만 여기서 한 가지를 반드시 구분해야 합니다.
AI가 어떤 일을 잘한다는 것과, 그 일을 하던 인간이 필요 없어지는 것은 전혀 같은 명제가 아닙니다.
그 둘 사이에는 생각보다 훨씬 많은 조건이 숨어 있습니다.
그리고 바로 그 조건들을 하나씩 들여다보면 저는 오히려 반대의 결론에 도달합니다.
AI 시대에 보안 공부로 쌓을 수 있는 기본기의 가치가 사라지는 것이 아니라 기본기가 요구되는 업무가 달라질뿐 입니다.
여기에서 보안 공부는 여전히 그대로 유효합니다.
어째서인지 천천히 그리고 이해하기 쉽게 설명해보겠습니다.
시간이 없으시다면 '7. 그래서 결국 기업은 누구를 고용할까요?'라도 일독해보시기를 권합니다.
1. 가장 먼저 버려야 할 착각: “AI가 잘한다 = 사람이 필요 없다”
이 논쟁에서 가장 흔한 오류가 있습니다.
AI가 특정 일을 잘 할 수 있다. 따라서 사람은 필요 없다.
하지만 이 두 문장 사이에는 엄청나게 많은 것이 생략되어 있습니다.
기술적으로 어떤 작업을 수행할 수 있는 Capability와 기업이 실제 사람을 없애도 되는 수준의 Substitution은 완전히 다른 개념입니다.
유명한 사례인 ATM을 생각해볼 수 있습니다.
ATM이 등장하자 은행원이 하던 가장 대표적인 업무인 현금 입출금이 자동화됐습니다. 상식적으로 생각하면 은행원은 급격하게 줄어야 했습니다.
그런데 실제로는 그렇게 단순하게 움직이지 않았습니다.
ATM 사례에서, 미국의 평균 도시 은행지점에서 필요한 직원 수는 1988년 약 20명에서 2004년 13명 수준으로 감소했습니다. 반면 같은 기간 도시지역의 지점 수는 43% 증가했습니다. ATM을 포함한 기술 변화가 지점 운영비를 낮췄고 규제완화와 시장경쟁 같은 다른 요인도 지점 확대에 영향을 주었습니다. 동시에 은행원의 역할은 단순 현금처리에서 고객관계와 금융상품 서비스 쪽으로 이동했습니다 (Bessen, “Toil and Technology”).
물론 ATM과 AI는 전혀 다른 기술입니다.
제가 이 사례를 드는 것은 “AI 때문에 일자리가 절대 줄지 않는다”고 주장하기 위해서가 아닙니다.
핵심은 아래와 같습니다.
업무 하나가 자동화됐다는 사실만으로 최종 고용량을 계산할 수는 없습니다.
기술이 작업을 간소화하거나 없애기도 하지만,
- 작업의 가격을 떨어뜨려 수요를 늘릴 수도 있고,
- 남아 있는 업무의 가치를 높일 수도 있고,
- 한 직업 안에서 사람이 담당하는 역할 자체를 바꿀 수도 있습니다.
경제학에서도 자동화의 최종 고용효과는 생산성뿐 아니라 그 기술이 만들어내는 수요 변화에 크게 좌우된다는 연구가 있습니다 (Bessen, “AI and Jobs”).
그리고 사이버보안에서는 이 문제가 훨씬 더 복잡합니다.
보안 담당자는 단순히 취약점을 찾는 것만 하지 않습니다.
- 어떤 시스템을 검사해야 하는지,
- 어느 계정을 사용할 수 있는지,
- 어디까지 접근할 수 있는지,
- 어떤 행동은 허용되고 어떤 행동은 위험한지,
- 발견한 결과를 실제로 어떻게 처리할 것인지 등을 계속 판단해야 합니다.
어떤 도구가 강력해졌다고 해서 도구를 사용하는 조직의 책임 구조와 의사결정의 중요성이 낮아지는 것은 아닙니다.
다시 말해
어떤 도구가 강력해졌다고 해서, 또 그 도구가 일부 수동 작업을 자동화했다고 해서, 그 도구를 사용하는 작업의 최종 책임 구조와 조직 의사결정의 중요성이 함께 낮아지거나 사라지는 것은 아닙니다.
물론 AGI의 보급화가 현실화된다면 이야기는 달라질 수 있습니다.
하지만 적어도 현재 우리가 관찰하고 있는 LLM과 Agent의 발전방향을 전제로 한다면, 모델의 성능만 보고 인간의 대체를 예측하는 것은 너무 많은 단계를 건너뛴 주장입니다.
AGI를 어떻게 정의하느냐에 따라 다르지만 개인적으로 AGI가 세계적 보급화가 현실화되어, 일론 머스크가 주장하는, 모두가 일을 하지 않고 갖고 싶은 것을 모두 가질 수 있다는 유토피아가 도래하는 것은 에너지와 GPU 설계의 물리적 한계 이슈가 효과적으로 개선되고 딥러닝의 미스터리가 풀리지 않는 이상 근 시일 내에는 도저히 도달이 불가능하다고 생각합니다.
설령 발명되었다고 하더라도 이후 그 강력한 기술의 보급과 확산을 둘러쌀 정치 이슈는 또 넘어야할 산입니다.
2. 보안업계가 특히 AI를 과대평가하기 쉬운 이유가 있습니다
재미있게도 보안업계는 다른 산업보다 오히려 AI의 능력을 지나치게 높게 평가하기 쉬운 환경에 놓여 있습니다.
CTF 때문입니다.
AI가 CTF 문제를 풀고, Pwnable을 해결하고, 취약점을 찾아 Exploit을 만드는 장면은 굉장히 강렬합니다.
이것은 우리 모두 목격하고 있는 사실입니다. 그리고 해커에게 이것보다 직접적인 위협처럼 보이는 장면도 드뭅니다.
그런데 여기서 한 가지를 구분해야 합니다.
CTF에서의 보안과 실제 기업 보안은 모두 “보안”이라고 부르지만 문제의 구조와 복잡도는 전혀 다릅니다.
CTF는 비유하자면 방탈출 게임에 가깝습니다.
- 방 안 어딘가에 답이 있다는 사실을 알고 있습니다.
- 문제 출제자가 일부러 취약점을 넣어두었고, 공격해야 할 대상도 정해져 있으며, 문제에는 시작과 끝이 있습니다.
- 문제를 해결하기 위해 서버를 망가뜨려도 실제 고객이나 사업이 피해를 입지 않습니다.
반면 실제 기업 보안은 방탈출이 아닙니다.
- 수백만 명이 실제로 살아가고 있는 도시 전체를 점검하는 일에 더 가깝습니다.
- 도시 어디에 문제가 있는지도 모릅니다.
- 애초에 문제가 존재하는지도 모릅니다.
- 전력망을 검사한다고 마음대로 전기를 끊을 수도 없고, 교통시스템을 점검한다고 출퇴근길 고속도로 한복판에서 실험을 할 수도 없습니다.
- 더 어려운 것은 도시가 검사를 하는 동안에도 계속 변한다는 점입니다.
- 새로운 건물이 올라가고, 도로가 바뀌고, 주민이 이사하고, 정책이 변경됩니다.
그래서 현실에 가까워질수록 AI의 성능도 아직 크게 떨어집니다.
2026년 AgentCyberRange 연구는 15개 실제 웹 애플리케이션과 156개의 내부 호스트를 이용해 실제 기업 침투에 가까운 환경을 만들었습니다. 최초 연구에서 당시 가장 좋은 시스템도 아무런 구체적 힌트 없이 Web Exploitation 과제의 16.1%, Post-Exploitation 과제의 31.7%를 해결하는 데 그쳤습니다 (F. Liu et al.).
근데 이 데이터에서 중요한 것은 “AI가 겨우 16%밖에 못한다”가 아닙니다.
중요한 것은,
정답이 존재한다는 사실을 알고 푸는 문제와, 현실에서 무엇이 문제인지부터 스스로 정의해야 하는 문제 사이에는 엄청난 간극이 존재한다는 사실입니다.
우리는 AI가 CTF 내지는 버그바운티에서 보여주는 압도적인 모습을 보고 감탄할 수 있습니다.
하지만 CTF에서 받은 충격을 현실의 모든 보안직무에 그대로 투영할 필요는 없습니다.
CTF와 기업의 보안 업무.
이 둘은 2차원의 존재와 3차원의 존재를 비교하는 것만큼이나 간단하지 않습니다.
현재 AI 기술은 AI 빅테크들의 비즈니스용 언론플레이로 인해 실제 AI의 능력보다 과도하게 포장되어 있고 또 그것이 빠르게 확산되는 혼란스러운 과도기이기 때문에,
IT 기술 전문성이 없는 일반적인 경영진이, AI가 사람을 대체할 수 있을 거라는 기대와 실험적 시도 등을 함으로써 실제 채용이 감소하고 있는데에 다소 영향이 있는 것으로 보이지만,
톱니바퀴 모음처럼 돌아가는 유기적인 이 사회의 고용 감소를 AI 단일 인자로만 해석하는 것은 전형적인 확증편향일 수 있기에 주의해야 합니다.
3. 그렇다면 정말 AI가 사람을 대체한 미래를 한번 상상해봅시다.
추상적으로 논쟁하기보다 실제 상황을 만들어보겠습니다.
정말 AI 때문에 보안인력 고용이 크게 감소한 미래가 왔다고 가정해보겠습니다.
그 정도 변화가 발생하려면 지금 사람이 하고 있는 업무를 실제 기업환경에서 AI가 상당 부분 끝까지 처리할 수 있어야 합니다.
고용시장에서는 보통 반복적이고 정형화된 업무부터 자동화 압력을 받을 것입니다. 따라서 가장 먼저 영향을 받을 가능성이 높은 것은 주니어 영역일 것입니다.
실제 초급 보안인력이 많이 담당하는 업무를 생각해봅시다.
직무별로 상이하겠지만 일반적으로 SIEM이나 EDR에서 발생하는 Alert의 1차 분석, 로그 분석, 피싱메일과 IOC 조사, 취약점 스캔 결과 검토, False Positive 분류, 취약점 우선순위 결정, Endpoint나 Cloud 설정 점검, Access Review, SAST·DAST 결과 분류, 사고 Ticket 관리, 증적 정리, 정해진 Playbook에 따른 초기 대응 등이 있습니다.
ISC2 역시 2026년 AI를 실제 업무에 사용하는 보안전문가 856명을 대상으로 조사하면서 Alert Triage, Log Analysis, Report Generation, Vulnerability Prioritization, Basic Threat Hunting 같은 업무가 AI에 의해 수행되거나 가속되고 있으며, 이런 작업들이 전통적으로 Entry-level과 Junior 역할의 일부였다고 설명합니다 (ISC2, “Rethinking”).
저도 이 영역이 상당 부분 자동화될 것이라는 데 이견이 없습니다.
그런데 우리는 여기서 한 단계 더 들어가야 합니다.
이 세상의 상식적이라고 생각되는 문제들이나 기대는 사실 하나하나 분해해서 뜯어보면 처음의 기대와는 다른 경우가 상당수 있습니다.
AI가 Alert를 아래와 같이 분석했습니다.
“정상적인 관리자 활동으로 판단됩니다. False Positive입니다.”
그러면 이 AI가 마음대로 Alert를 닫아도 될까요?
이번에는 AI가 반대로 말합니다.
“공격자의 lateral movement 가능성이 높습니다.”
그러면 해당 사용자의 계정을 즉시 잠글까요?
Endpoint를 네트워크에서 격리할까요?
Session Token을 모두 폐기할까요?
방화벽 정책을 변경할까요?
AWS Access Key를 폐기할까요?
Production Server를 재부팅할까요?
그리고 더 중요한 질문이 이어집니다.
어떤 근거로?
어떤 방법으로?
얼마 동안?
누구의 승인으로?
바로 이 순간부터 문제의 본질이 달라집니다.
단순 현상 분석의 문제가 Context 맥락, Authority 권한, Reliability 신뢰, Accountability 책임의 문제로 바뀝니다.
AI는 현상 분석 이후에 따라오는 위 4가지 카테고리의 문제도 함께 해결할 수 있어야 합니다. 각 항목별 설명은 후술하겠습니다.
발생한 현상 너머의 본질에는 실제로 아주 다른 문제가 기인하고 있을 수 있습니다.
그래서 우리는 의식적으로든 무의식적으로든, 문제가 발생하면 항상 현상에서 본질을 탐구하게 됩니다.
보안은 특히 그 현상과 본질 간의 거리가 매우 길고 복잡한 분야입니다.
그 문제의 해결책은 데이터화, 즉 자료화할 수 있는 형태로 남아있는 무언가를 통해서 해결할 수 있지만
자료화할 수 없는, 무형의 정보로 존재하는 무언가를 통해서만 해결해야할 수도 있습니다.
보통 사람이 일을 할 때 회사에서 메신저, 구두, 몸짓, 표정 등으로 공유되고 유통되는 모든 '유의미하다고 판단할 수 있는' 정보들을 모두 문서화하지 않습니다.
담당자가 지금 잠시 전화를 받으러 10분 정도 자리를 비웠다는 사실, 그가 복귀했다는 사실, 그가 다시 서버 유지보수 업체로부터 '긴급해보이는' 전화를 받고 다시 잠시 자리를 비운 사실, 그가 전화를 받고 어딘가 유관 담당자를 찾으러 간 것 같은 사실
이런 것들을 시시각각 AI의 판단 데이터로 넣기 위한 작업을 할 수는 없습니다.
이것은 매우 비효율적이고 업무 생산성을 크게 저하시킵니다.
분석 결과인 현상을 이해하려면, 본질을 탐구하기 위해 필연적으로 또 다른, 본질에 가까워지는 질문으로 이어지고
각 질문의 대답은 프롬프트나 데이터셋으로 넣어줄 수 없는, 문서화 되지 않은 정보를 통해서만 이루어질 수 있습니다.
그리고 그 대답은 또 다른 책임을 낳습니다. 또 이 질문이 얼마나 많은 파생 질문으로 이어질지 알 수 없습니다. 과연 본질에 도달 할 수 있는지도 알 수 없습니다.
이 알 수 없음의 상태는 누구도 원하지 않습니다. 특히 보안처럼 민감한 주제일수록, 실제 피해를 감당해야하는 책임이 있는 사람이나 조직일수록 더욱 원하지 않습니다.
그렇다면 우리는 질문을 다시 세워야 합니다.
"AI는 문제 해결을 위한 본질을 몇 퍼센트나 파악할 수 있는가?"
자신있게 100%라고 답변할 수 있는 때가 미래에 올까요?
그리고 그 미래가 온다면 대충이라도 어떤 변화들이 전제되어야 할까요?
그리고 그 전제의 모습과 스케일은 어떤가요? 금방 올 것 같나요?
여러분들의 생각은 어떤가요?
이 100%의 미래가 오지 않는 이상 AI에게 충분한 권한을 줄 수 없기 때문에
우리는 이 문제의 본질을 찾을 수 있기 위해 사람이 필요합니다.
4. Context 맥락의 제약: 회사는 프롬프트 안에 들어가지 않습니다
AI의 현실적인 한계를 말할 때 흔히 Context Window의 크기를 이야기합니다.
기업에는 수백만 줄의 코드가 있고, 수백 개의 서버가 있고, Cloud, VPN, SaaS, Kubernetes, IAM, Database, Endpoint, CI/CD가 서로 연결되어 있습니다.
따라서 그 모든 정보를 하나의 Context Window에 넣을 수 없다는 주장입니다.
문제의식은 맞습니다.
하지만 저는 진짜 문제는 조금 더 깊은 곳에 있다고 생각합니다.
문제는 “얼마나 많은 정보를 넣을 수 있는가?”보다 “수많은 정보 중 지금 무엇이 중요한지를 어떻게 알아낼 것인가?”에 가깝습니다.
물론 앞으로 Context Window는 더 커질 것이고, RAG와 외부 Memory, Code Index, Knowledge Graph, 여러 Agent 그리고 앞으로 새로 발명될 기술을 이용하면 한계를 상당 부분 우회할 수 있겠습니다.
ACL 2026에 발표된 장기 Software Engineering Agent 연구에서도 기존 Agent들이 긴 상호작용 동안 Context Explosion, Semantic Drift, reasoning degradation에 직면할 수 있음을 지적하며, 단순히 모든 과거 정보를 계속 쌓는 대신 중요한 정보를 선택적으로 압축·보존하는 구조를 제안했습니다 (S. Liu et al.).
쉽게 말하면 이렇습니다.
책상을 크게 만든다고 일을 잘하게 되는 것은 아닙니다.
책상 위에 회사의 문서 10만 장을 전부 펼쳐놓아도 지금 이 순간 어떤 문서가 중요한지 알지 못하면 소용이 없습니다.
그리고 현실의 회사에는 더 어려운 문제가 있습니다.
회사가 알고 있는 모든 것이 문서로 존재하지 않습니다.
위 질문은 당연해보이지만 생각보다 매우 중요한 질문입니다.
상술했다싶이
기업에는 문서로 표현되지 않는 수많은, 사람의 뇌에만 있거나 부서 간 공유되지 않은 암묵지가 존재합니다.
그 암묵지는 실체가 없고 의사결정에 치명적인 영향을 끼치지만 자료 형태로 존재하지 않습니다.
회사에서 의사결정을 위해 필요한 정보의 상당수는 명시적인 데이터 밖에도 상당수 존재합니다.
사람은 기억와 경험 등을 통해 업무 역량을 쌓아나갑니다. 하지만 이 기억과 경험 그리고 시시각각 변하는 무형의 변화와 정보들은 프롬프트로 입력할 수 없습니다.
- “저 서버는 이상해 보여도, 경영진이 지시한 미상의 기밀 사유로 이번 주까지는 절대로 재부팅하면 안 된다.”
- “이 계정은 원래 삭제대상이지만 이번 Migration이 끝날 때까지만 유지하기로 했다.”
- “저 트래픽은 공격처럼 보이지만 오늘 불시 Red Team 훈련이 예정되어 있다는 얘기를 비밀스럽게 들었다.”
- “문서에는 A 방식이라고 쓰여 있지만 지난주 장애 이후 실제 Production에서는 B 방식으로 우회하고 있다.”
- “저 고객은 일반 고객과 계약조건이 달라서 데이터 보관정책이 다르다.”
이런 정보 중 일부는 한 달 전 혹은 1년 전 Slack에 있을 수 있고, 일부는 메일이나 회의록에 있을 수 있고, 일부는 담당자의 머릿속에만 있습니다.
물론 사람도 이 모든 것을 완벽하게 알지는 못합니다.
핵심은 AI가 인간을 대체할 정도로 행동하려면 이 맥락을 누군가 계속 정제하고 연결하고 최신 상태로 제공해야 한다는 것입니다.
그리고 어느 정보가 중요하고, 어느 정보가 오래됐고, 어느 예외가 아직 유효한지를 판단하는 것 자체가 또 하나의 업무가 됩니다.
Context Window가 백만 토큰에서 천만 토큰이 된다고 이 암묵지 문제는 사라지지 않습니다.
매뉴얼을 모두 읽었다고 그 회사의 베테랑 직원이 되는 것은 아닙니다.
운전면허 필기시험 문제를 전부 외웠다고 20년 경력의 택시기사와 같은 방식으로 서울의 도로에서 반응하고 최적의 경로를 읽을 수 없는 것과 비슷합니다.
하나의 Alert에 대응하기 위해 보안팀, 개발팀, 법무팀, 사업팀, 고객지원팀, 경영팀 이렇게 6개의 팀에서 하나의 결정을 내려야한다면 이 상황에서 AI가 유의미하게 기능할 수 있을까요?
각 팀별로 존재하는 무형 히스토리와 암묵지를 AI가 효과적으로 이해할 수 있을까요?
더 어려운 것은 회사의 맥락이 계속 변한다는 것입니다
회사의 맥락은 한 번 입력하면 끝나는 정보가 아닙니다. 계속 변합니다.
- 오전 10시에 맞았던 판단이 오전 10시 10분에는 틀릴 수 있습니다.
- 어제는 금지됐던 접근이 오늘부터 허용될 수도 있습니다.
- 어제까지 중요하지 않던 서버 혹은 새로 추가된 서버가 대형 고객을 유치하면서 핵심자산이 될 수도 있습니다.
- 상급자 지시 한 번으로 우선순위가 순식간에 '종종' 바뀝니다.
- 고객과 전화 한 통을 하면서 예외가 만들어집니다.
- 장애가 발생하면서 순식간에 기존 Runbook이 무효화됩니다.
- 퇴사자들이 발생하며 권한구조가 바뀝니다.
법이 바뀌고, 계약이 바뀌고, 제품이 바뀌고, 조직 문화가 바뀌고, 사람이 바뀝니다.
즉 AI에게 필요한 것은 회사에 존재하는 문서를 한 번 학습하는 것이 아닙니다.
컴퓨터 속에만 존재하는 AI가 정말 최선의 의사결정을 내릴 수 있을 정도의 '충분한 정보'를 기반으로 판단할 수 있을까요?
상술했다싶이, 그 '충분한 정보'는 자료화 되지 않은 채로 컴퓨터 밖에 존재할 수도 있지 않을까요?
그리고 그 '충분한 정보'가 컴퓨터 안에 있다고 하더라도
충분히 라벨링 되지 않은 채로, 과거의 어떤 회의록, slack, 개인 dm, 메일 속에 맥락 파악을 할 수 없는 채로 파편화 되어 존재할 수도 있지 않을까요?
Context Window가 아무리 커져도 이 문제는 다른 차원에 존재하는 별개의 문제입니다.
이 문제가 정면적으로든 측면적으로든 해결되어야 그 때부터 비로소 대체 이야기를 '시작'할 수 있습니다.
5. Authority 권한의 제약: 잘할 수 있는 것과 실제로 맡길 수 있는 것은 다릅니다
이번에는 AI가 충분한 정보를 얻은 날이 왔다고 가정해보겠습니다.
그러면 문제가 끝날까요? 당연히 아닙니다.
여기서 보안이라는 직무의 독특한 특성이 등장합니다.
보안업무의 범위와 자유도는 결국 그 수행자에게 얼마나 많은 권한을 줄 수 있느냐에 의해 결정된다는 것입니다.
그리고 경영팀은 보안팀 권고사항보다 사업팀의 의견을 최종적으로 따르게될 수도 있습니다.
무슨 말일까요?
AI가 사람을 실제로 대체하려면 분석결과만 내놓는 것이 아니라 업무를 End-to-End로 처리할 수 있을 정도의 실행권한도 가져야 합니다.
예시로 보겠습니다.
- AI가 핵심 서버에서 악성행위를 발견했습니다.
- 보안 관점에서 가장 안전한 결정은 즉시 서버를 중단하거나 격리하는 것일 수 있습니다.
- 그런데 그 서버가 지금 수십만 건의 결제를 처리하는 서버라면 어떻게 해야 할까요?
- 보안팀에게는 즉시 격리나 중단이 정답입니다.
- 사업팀에게는 예상 손실 규모파악이 우선이고 즉시 중단하지 않는 것이 정답일 수 있습니다.
- 법무팀은 침해사고 신고와 증거보존 그리고 예상 배상 규모를 먼저 걱정할 수 있습니다.
- 경영진은 침해위험과 사업중단위험 그리고 미디어 노출 시 경영리스크를 동시에 봐야 합니다.
모두가 자기 관점에서는 맞는 말을 하고 있을 수 있습니다.
또 어떤 계정에서 수상한 로그인이 발견됐다고 합시다.
- AI는 계정 잠금을 추천합니다.
- 그런데 그 계정이 해외출장 중인 임원의 계정일 수도 있고
- 사고대응을 위해 임시로 권한을 부여한 계정일 수도 있고
- 협력사의 Migration 때문에 이번 주까지만 예외가 허용된 계정일 수도 있고
- 개발팀 팀장님이 아주 잠깐의 테스트를 위해 부여한 임시권한 일 수도 있고
- 부서간 소통 미스로 발생한 단순 권한 누락 건일 수도 있습니다.
AI는 어떻게 옳은 판단을 내려야할까요?
개인적으로 '보안 담당자' 역할을 부여받은 AI는 위와 같은 상황에 대한 대응권한은 아마 가지지 못할 겁니다.
보안은 기밀성과 무결성만 지키는 일이 아니라 가용성과 사업의 연속성까지 함께 지키고 책임까지 져야하는 일이기 때문입니다.
그렇다면 결국 AI의 판단을 검증할 수 있는 사람이 필요합니다.
이 검증 책임이라고 하는 것이 어째서 이토록 중요한지는 바로 다음 목차에서 후술하겠습니다.
미국 NIST CSF 2.0에서도 사이버보안을 단순한 IT 기술문제가 아니라 '전사 위험 관리'와 연결하고 새롭게 GOVERN 기능을 강조하는 이유 역시 이런 구조와 연결됩니다. 조직은 위험허용수준과 역할·책임을 정하고 사이버 위험을 기업 전체의 위험과 맞춰 관리해야한다고 명시합니다 (Pascoe et al.).
AI Agent의 권한 자체도 새로운 보안문제입니다.
NIST는 2026년 별도의 concept paper에서 AI와 software agent에게 여러 데이터·도구·애플리케이션 접근권한을 부여할 때 identity와 authorization control을 어떻게 적용할 것인지를 독립적인 문제로 다루기 시작했습니다 (Booth et al.).
AI가 똑똑해질수록 이 문제가 사라지는 것이 아닙니다.
오히려 AI가 더 많은 일을 할 수 있을수록 우리가 그 AI에게 부여해야 하는 권한도 커집니다.
그리고 권한이 커질수록 잘못된 판단 한 번의 피해도 커집니다.
현실의 기업은 정적인 CTF 문제가 아니라 계속 움직이는 생명체에 가깝습니다.
그래서 회사 입장에서 중요한 질문은 이것입니다.
“잘 할 수 있는가?”가 아니라 “정말 맡길 수 있는가?”
두 질문은 전혀 다릅니다.
6. Reliablilty, Accountability 신뢰, 책임의 제약: 책임은 사고가 난 뒤 혼낼 사람을 찾는 문제가 아닙니다
여기서 자주 나오는 말이 있습니다.
“결국 AI는 책임질 수 없으니까 사람이 필요하다.”
그런데 개인적으로 저 책임이라는 단어의 무게감은 너무 자주 가볍게 사용되면서 의미가 많이 퇴색된 것처럼 느껴집니다.
책임이란 AI가 사고를 치면 혼낼 수 없다는 정도의 이야기가 아닙니다.
훨씬 더 무거운 개념입니다.
책임은 중요한 의사결정을 내릴 권한을 정당화하는 전제조건입니다.
이 책임과 권한이라는 원리와 관계 위에서 이 사회가 동작한다고 해도 과언이 아닐만큼 책임은 모든 의사결정에 필연적으로 따라오는 운명과 같은 사이입니다.
그래서 조직에서는 일반적으로 더 큰 결정을 할 수 있는 사람에게 더 큰 책임이 따라붙습니다.
- 수십억 원의 예산을 집행할 수 있는 사람은 왜 그렇게 집행했는지 설명해야 합니다.
- 핵심 시스템을 중단시킬 수 있는 사람은 왜 그 결정을 내렸는지 설명해야 합니다.
- 고객정보에 접근할 수 있는 사람은 그 정보를 적절히 다룰 의무를 집니다.
그렇다면 AI에게도 인간을 대신할 정도로 큰 실행권한을 줬다고 생각해보겠습니다.
- AI의 판단으로 핵심 서버가 중단됐습니다.
- 수십억 원의 손실이 발생했습니다.
- 혹은 AI가 공격자의 행위를 정상활동으로 판단해서 고객정보 수백만 건이 유출됐습니다.
그때 경영진이 고객과 주주총회 앞에서 이렇게 말할 수 있을까요?
“AI가 그렇게 판단했습니다.”
그 한 문장으로 끝날 수 있을까요? 그렇지 않습니다.
이 질문은 다시 조직으로 돌아옵니다.
- 왜 이 AI를 선택했습니까?
- 왜 그 정도 권한을 부여했습니까?
- 누가 위험을 평가했습니까?
- 왜 인간의 승인절차를 없앴습니까?
- 누가 최종적으로 이 위험을 감수하기로 결정했습니까?
미국의 NIST AI Risk Management Framework 역시 AI 위험관리를 위해 명확한 accountability structure가 필요하다고 규정하고, AI 시스템 개발·배치와 관련된 위험결정에 대해 조직의 executive leadership이 책임을 져야 한다는 구조를 제시합니다 (Tabassi).
현재 실무의 인식도 크게 다르지 않습니다.
ISC2의 2026년 조사에서는 AI가 추천한 행동이 잘못된 결과를 냈을 때 응답자의 50%가 자신들의 조직에서는 인간 의사결정자가 최종적으로 책임을 진다고 답했습니다. 동시에 47%는 자율적인 AI 사용에서 결과에 대한 책임소재가 불명확해지는 것을 우려했습니다 (ISC2, “Rethinking”).
책임은 단지 사고가 난 다음 누군가를 처벌하기 위한 무언가가 아닙니다.
- 누가 결정했는지 알아야 그 맥락과 결정을 검토할 수 있고
- 누가 승인했는지 알아야 의사결정 구조를 고칠 수 있고
- 누구에게 의무가 있었는지 알아야 피해와 대응방법을 구상 및 연결하고 구제할 수 있고
- 같은 사고가 반복되지 않도록 어느 통제가 어디에서 왜 실패했는지도 찾아낼 수 있습니다.
즉, 책임은 조직 전체를 한 번의 잘못된 판단으로부터 보호하고 개선하는 통제장치이자 행위와 사건의 시야를 효과적으로 확보하고 대응하기 위한 체크포인트입니다.
그리고 이 때문에 사람을 AI로 대체하는 문제는 단순히 모델의 작업 처리 정확도를 비교하는 문제로 끝나지 않습니다.
AI가 더 정확해지면 인간이 직접 개입해야 하는 빈도는 줄어들 수 있습니다.
하지만 그 AI에게 어느 정도의 권한을 부여할 것인지 결정하고, 그 결과를 최종적으로 감당해야 하는 책임구조까지 자동으로 사라지는 것은 아닙니다.
그 책임 구조 속에 AI는 도구로써의 정체성이 훨씬 강하기에, 결과를 검증하고 책임질 사람이 함께 있어야 비로소 안전하고 완전해질 수 있습니다.
7. 그래서 결국 기업은 누구를 고용할까요?
이제 가장 중요한 질문을 해보겠습니다.
우리는 산 속에서 혼자 자급자족하며 살아가지 않는 이상 결국 사회에서 생존을 위한 경제활동을 해야 합니다.
그렇다면 경제 활동의 주체로써 결국 가장 중요해지는 질문은 하나입니다.
고용 주체들이 결국 고용 시장에서 누구를 선택할 것인가?
질문을 조금만 바꿔보겠습니다.
지금 글을 읽고 있는 독자 여러분이 한 회사의 CEO라면 누구를 선택하시겠습니까?
두 사람이 지원했습니다.
첫 번째 사람은 보안에 대한 기본지식이 거의 없습니다. 네트워크도 잘 모르고, 운영체제도 잘 모르고, 웹 보안도 깊게 공부하지 않았습니다.
대신 AI를 굉장히 능숙하게 사용합니다.
두 번째 사람은 네트워크, 운영체제, 프로그래밍, 웹, 취약점 원리와 공격기법을 제대로 공부했고 직접 문제를 해결할 수 있습니다.
그리고 AI도 첫 번째 사람만큼 능숙하게 사용합니다.
- 회사에는 고객정보가 있습니다.
- 영업비밀이 있습니다.
- 직원들의 개인정보가 있습니다.
- 수년 동안 개발한 소프트웨어가 있습니다.
- 한 번의 보안사고로 수십억 원의 손실이 발생할 수도 있고 여러분이 직접 언론과 고객과 이사회 앞에서 책임져야 할 수도 있습니다.
여러분이라면 누구를 고용하시겠습니까?
답은 거의 정해져 있습니다.
두 번째 사람입니다.
왜냐하면 첫 번째 사람에게는 치명적인 약점이 있기 때문입니다.
AI가 틀렸을 때, AI가 틀렸다는 사실을 알아낼 방법이 없습니다.
이것이 보안에서 기본기가 중요한 가장 본질적인 이유입니다.
AI가 다음과 같이 말한다고 생각해봅시다.
“OAuth Authorization Code Flow에서 Account Takeover가 가능합니다.”
AI는 분석 결과를 누군가에게 전달은 할 수 있습니다.
하지만 이것이 정말 취약점인지, 정상적인 프로토콜에서의 동작인지, 공격에 어떤 전제조건이 필요한지, 실제 영향이 무엇인지
즉 이 현상이 어떤 본질에 기인한 것인지 판단할 수 없습니다.
그리고 그 본질에 닿기 위해 요구되는 필수 정보는 컴퓨터 밖에도 흔하게 존재합니다.
그래서 누군가는 AI가 무엇을 조사했는지, 무엇을 조사하지 못했는지, 어떤 가정을 했는지 이해해야 합니다.
그리고 실제로 현재 보안현장에서도 AI 때문에 인간의 판단이 없어지는 것이 아니라 AI 결과를 검증하는 업무가 늘어나고 있습니다.
실제로 ISC2 조사에서도 AI를 사용하는 보안인력의 65%가 AI의 권고를 언제 믿고 행동할지 판단하는 데 더 많은 시간을 쓰게 됐고, 63%는 AI가 만들어낸 결과를 검토하고 검증하는 데 더 많은 시간을 사용한다고 답했습니다.
그리고 62%는 AI가 발전했음에도 Foundational Cybersecurity Skill의 필요성이 줄었다고 생각하지 않았습니다 (ISC2, “Rethinking”).
이것은 상당히 중요한 신호입니다.
AI가 보안지식을 없애는 것이 아니라, 보안지식이 적용되는 위치를 바꾸고 있는 것입니다.
과거에는 사람이 직접 로그 1만 줄을 읽고 코드를 분석하기 위해 기본기가 필요했습니다.
이제는 AI가 읽어온 1만 줄의 로그와 코드에서 AI가 내린 결론이 맞는지를 판단하기 위해 기본기가 필요합니다.
과거에는 직접 Payload를 만들기 위해 취약점 원리를 배웠습니다.
이제는 AI가 만들어낸 수백 개 Payload 중 무엇이 실제 공격이고 무엇이 헛소리인지 판별하기 위해 원리를 알아야 합니다.
기본기의 사용처가 바뀌는 것이지 기본기 자체의 필요가 사라지는 것이 아님을 명심해야합니다.
8. 그렇다면 AI 때문에 보안인력의 채용은 결국 어떻게 될까요?
다시 7번 질문으로 돌아와보겠습니다.
저는 지나친 낙관론도 경계해야 한다고 생각합니다.
AI 때문에 일부 채용이 실제로 줄어들 가능성은 높습니다. 이미 그런 신호는 나타나고 있습니다.
ISC2의 2026년 조사에서 AI를 업무에 사용하는 보안전문가의 56%는 지난 1년 동안 AI가 Entry-level position의 필요성을 어느 정도 또는 상당히 줄였다고 응답했습니다.
하지만 동시에 12%는 필요성이 증가했다고 답했고, 53%는 AI가 새로운 종류의 Entry-level role을 만들어내고 있다고 보았습니다 (ISC2, “Rethinking”).
단순한 알림 검수, 기초적인 취약점 분류, 보고서 작성, 반복적인 스캐너 운용만 할 수 있는 사람에게는 분명히 좋지 않은 시대가 오고 있습니다.
따라서 저는 AI가 와도 아무것도 변하지 않을 테니 걱정하지 않아도 됩니다 라고 말하고 싶지 않습니다.
하지만 반대로
“한 사람이 AI로 다섯 명의 일을 할 수 있으니 앞으로 보안인력은 5분의 1만 있으면 된다.”
라는 식의 계산 역시 지나치게 단순합니다.
왜냐하면 경제에서 생산성이 5배 올라가면 생산량을 그대로 두어야 한다는 법은 없기 때문입니다.
기업은 절약된 비용을 그대로 두지 않습니다.
더 많은 제품을 만들고, 더 많은 시장에 진출하고, 더 많은 서비스를 제공하려 합니다.
특히 사이버보안은 이 효과가 커질 가능성이 높은 분야입니다.
현재 수많은 기업은 필요한 만큼 보안을 하고 있지 않습니다.
투자보다는 비용으로 인식하는 경향이 강하기에 할 수 있는 만큼만 하고 있기 때문입니다.
모의해킹을 예로 들어보겠습니다.
지금은 비용 때문에 1년에 한 번 모의해킹을 받는 회사가 많습니다.
그런데 AI 덕분에 모의해킹 비용이 10분의 1로 낮아진다면 어떻게 될까요?
기업이 기존과 똑같이 1년에 한 번만 검사하고 비용을 아낄 수도 있습니다.
하지만 매 분기 검사할 수도 있습니다. 매달 검사할 수도 있습니다. 새로운 기능을 배포할 때마다 검사할 수도 있습니다.
즉,
한 번의 보안검사에 필요한 노동은 줄어드는데, 세상이 요구하는 보안검사의 총량은 훨씬 커질 수 있습니다.
경제학적으로 AI 자동화가 불러올 최종 고용효과를 단순히 AI라는 단일 인자만으로 단정지을 수 없는 이유입니다.
현재의 실증자료 역시 생산성 상승과 고용 감소가 언제나 같은 비율로 움직이지 않는다는 점을 보여줍니다.
2026년 BIS Working Paper는 EU와 미국의 비금융기업 12,000개 이상을 이용해 AI 도입효과를 분석했습니다. 연구에서는 AI 도입기업의 노동생산성이 단기적으로 평균 4% 높아졌지만 기업 수준의 고용에 유의미한 부정적 효과는 발견되지 않았습니다. 연구자들은 장기적 효과는 아직 불확실하다고 명시합니다 (Aldasoro et al.).
기업이 실제로 궁금해하는 것은 아래와 같은 현실적인 질문입니다.
“그래서 사람을 쓰는 것보다 AI를 쓰는 것이 정말 더 이득인가?”
심지어 AI가 틀렸을 때 발생할 수 있는 비용은 아직 가늠조차 안 됩니다.
한국 KDI의 2026년 연구도 재미있는 결과를 보여줍니다.
KDI가 2026년 한국 노동시장의 과업을 분석했을 때, 현재 AI 기술로 일부 과업이 자동화될 가능성이 있는 직업은 전체 직업의 약 72%에 달했습니다.
이 숫자만 보면 굉장히 위협적으로 보입니다.
그런데 KDI가 질문을 하나 더 추가했습니다.
“그런데 실제로 사람 대신 AI를 도입하는 것이 돈이 되는가?”
AI의 도입·운용비용과 그것을 통해 절약할 수 있는 노동비용까지 함께 비교하자 결과는 완전히 달라졌습니다.
현재 경제성이 있어 AI로 자동화될 수 있는 규모는 일자리 기준 약 1.4%로 추정됐습니다.
특히 고숙련·고임금 기술직은 AI에 노출되는 과업이 많음에도 불구하고 맥락 의존성과 인간 판단의 필요성 때문에 완전대체보다 인간과 AI의 보완관계가 더 강하게 나타날 가능성이 있다고 분석했습니다 (남창우).
72%와 1.4%.
이 엄청난 차이가 우리가 AI 대체론을 바라볼 때 놓쳐서는 안 되는 지점입니다.
기술적으로 자동화할 수 있다는 것과 경제적으로 사람을 없애는 것이 합리적이라는 것은 전혀 다른 명제입니다.
기업은 결국 그 위험, AI 솔루션 도입 비용 등과 실제 인력 고용 사이에 어떤 것이 더 이득인지의 저울질을 한 결과에 따르게 됩니다.
그래서 기업은 자연스럽게 아래의 고민을 하게 됩니다.
AI로 사람을 대체했을 때 얻는 비용절감과 생산성 향상이 AI를 도입하고 통제하고 감독하면서 새롭게 떠안게 되는 비용과 위험보다 충분히 큰가?
입니다.
그리고 더 정확하게는
사람만 사용하는 것, AI만 사용하는 것, 그리고 유능한 사람에게 AI를 붙이는 것 가운데 무엇이 우리 회사에 가장 높은 이익을 주는가?
를 비교합니다.
예를 들어 보안전문가 다섯 명이 하던 일을 AI를 사용하는 전문가 두 명이 수행할 수 있게 된다면 단기적으로는 채용수요가 줄어들 수 있습니다.
그 가능성을 부정해서는 안 됩니다.
하지만 동시에 그 두 사람이 만들어내는 생산성 때문에 과거에는 비용 문제로 수행하지 못했던 보안+a 업무까지 새롭게 수행할 수 있다면 기업의 선택은 다시 달라집니다.
기업은 기술에 감탄해서 사람을 대체하는 조직이 아닙니다. 이익과 손실을 면밀히 계산해서 대체합니다.
따라서
이 사람이 하는 일을 AI에게 맡기고 이 사람을 없앴을 때, 새롭게 발생하는 모든 비용과 위험까지 계산하고도 그것이 유능한 보안전문가에게 AI를 활용하게 하는 것보다 정말 더 경제적인가?
여기에 Yes라고 답할 수 있어야 비로소 진짜 노동대체가 시작됩니다.
AI가 사람만큼 잘한다는 사실은 그 계산식의 한 항목을 충족했을 뿐입니다.
기업에서 사람을 대체하는 것은 기술적 성능시험이 아니라 경제적 의사결정입니다.
게다가 정치/사회적 요인은 아예 배제한 분석입니다.
따라서 지금 추이가 미래의 인간 채용의 수를 줄일 것이라고 단순히 생각하면 안 됩니다.
9. 그리고 보안에는 앞으로 ‘해야 할 일’ 자체가 훨씬 많아질 것입니다
세상이 점점 디지털 전환이 될 수록 사이버보안만의 특수한 변수가 하나 있습니다.
우리가 지켜야 할 공격 표면이 계속 넓어지고 늘어난다는 것입니다.
Cloud, SaaS, API, IoT뿐만 아니라 이제는 AI가 작성하는 코드와 Agent까지 있습니다.
피지컬 AI까지 네트워크에 연결되고 공격자 역시 AI를 사용합니다.
AI가 취약점 발견의 생산성을 폭발적으로 높이면 공격자가 찾아낼 수 있는 취약점의 양도 늘어납니다.
그러면 방어자는 강한 보안이 필요한 것이 아니라 더 빠른 보안이 필요해질 수도 있습니다.
실제로 ISC2 조사에서도 보안인들은 AI가 만들어내는 대량의 취약점 발견에 대응하기 위해 더 빠르고 연속적인 Vulnerability Management와 Remediation 구조가 필요하다고 보고 있습니다.
ISC2의 2026년 조사에서도 더 빠르고 많은 AI-discovered vulnerability에 대응하기 위해 Continuous Remediation, Patch Management, Vulnerability Management를 강화해야 한다는 요구가 나타났습니다 (ISC2, “Rethinking”).
그래서 장기적인 고용을 예측하려면 두 가지 질문을 동시에 해야 합니다.
AI 때문에 한 사람의 생산성이 얼마나 높아지고 동시에 얼마나 공격 표면이 생기는가?
그리고
그 결과 사회는 얼마나 더 많은 사이버보안을 요구하게 될 것인가?
10. “LLM이 주니어가 시니어로 올라가는 사다리를 걷어찼다”는 말에 대하여
요즘 또 자주 듣는 말이 있습니다.
“AI가 주니어가 하던 일을 전부 해버리면 주니어는 어디서 경험을 쌓습니까?”
“결국 시니어로 올라가는 사다리 자체가 사라지는 것 아닙니까?”
일리가 있는 걱정입니다.
실제로 기존 주니어가 경험을 쌓던 단순 반복업무 상당수가 AI에게 넘어가면 전통적인 훈련경로가 훼손될 수 있습니다.
하지만 저는 조금 다르게 생각합니다.
과거 주니어는 취약점 100개를 사람이 직접 하나씩 분류하면서 경험을 쌓았습니다.
미래 주니어는 AI가 분류한 취약점 1,000개 중 이상한 판단을 찾아내고, 왜 잘못됐는지 분석하면서 경험을 쌓을 수 있습니다.
과거에는 처음부터 큰 코드베이스를 혼자 이해하는 것이 어려웠습니다.
앞으로는 AI에게 코드의 특정 부분을 설명받고, 관련 함수를 추적하게 하고, 자신이 세운 가설을 빠르게 검증하면서 과거보다 훨씬 빠르게 학습할 수 있습니다.
과거에는 고급 Exploit 기법을 배우려면 수많은 시행착오를 혼자 겪어야 했습니다.
물론 AI를 몇 달 사용했다고 사람이 실제 시니어가 되는 것은 아닙니다.
시니어의 가치는 단순히 지식을 많이 아는 데서 생기지 않기 때문이죠.
실제 장애를 겪고, 잘못된 판단의 비용을 경험하고, 중요한 결정을 내리고, 타인에게 설명하고, 책임져본 경험 역시 필요합니다.
하지만 기술을 습득하는 속도 자체는 과거와 비교할 수 없을 정도로 빨라질 것이라고 생각합니다.
그래서 저는 LLM을 잘 활용한다면 오히려 LLM이 시니어로 가는 가장 강력한 사다리가 될 수 있다고 생각합니다.
흥미롭게도 ISC2 조사에서도 53%가 AI가 새로운 종류의 Entry-level 역할을 만들고 있다고 보았고, 62%는 AI 때문에 보안 기본기의 필요성이 줄어들지 않았다고 답했습니다 (ISC2, “Rethinking”).
결국 갈림길은 AI가 존재하느냐가 아닐 수 있습니다.
AI를 이용해서 더 빠르게 배우는 사람과, AI가 대신해줄 것이라고 생각해서 배우기를 포기한 사람 사이에서 갈릴 수 있습니다.
그래서 기업의 AX 환경이 잘 되어 있을수록 그 기업에서 주니어는 시니어로 비교적 빠르게 전환될 수 있다고 생각합니다.
11. 그래서 오히려 ‘보안 공부 무용론’이 가장 위험합니다
처음 중학생 친구에게 받았던 질문으로 돌아가보겠습니다.
“미래에는 AI가 보안을 다 해줄 텐데 왜 보안을 공부해야 하나요?”
저라면 이제 이렇게 답하고 싶습니다.
"AI를 지휘하고 통제하기 위해"
앞으로 보안 지식은 AI보다 빠르게 타이핑하기 위한 지식이 아니라 AI를 통제하기 위한 지식이 되기 때문입니다.
그리고 그 지식은 예나 지금이나 같은 지식입니다. 그 지식이 필요한 이유가 바뀌는 것이지 그 지식이 필요 없어진다고 생각하면 안 됩니다.
보안 업무를 하는 AI를 지휘하고 통제하려면 AI가 무슨 말을 하는지 알 수 있어야 하기 때문입니다.
- AI에게 무엇을 조사시켜야 하는가.
- 어떤 접근권한을 줄 것인가.
- 이 결과는 믿을 수 있는가.
- 무엇을 놓쳤을 가능성이 있는가.
- 어디까지 자동으로 실행하도록 허용할 것인가.
- 그 결과를 고객과 경영진에게 어떻게 설명할 것인가.
- 최종적으로 누가 책임질 것인가.
이런 질문에 답하려면 결국 보안을 사람이 알아야 합니다.
이 질문의 대답에 필요한 지식은 같습니다.
단지 달라지는 것은 그 지식을 사용하는 층위입니다.
마치며: 허무주의에 빠지지 마세요
저는 AI를 과소평가하고 싶지 않습니다. AI는 지금보다 훨씬 더 훌륭해질 것입니다.
보안업무의 상당 부분을 자동화할 것이고, 지금 존재하는 일부 직무와 일자리가 실제로 사라질 수도 있습니다.
기존 방식만 고집하는 보안전문가에게는 매우 어려운 시대가 올 것입니다.
하지만 그렇다고 해서
“AI가 다 해주니까 이제 공부할 필요가 없다.”
라는 결론에 너무 빠르게 도달한다면, 저는 그것이 AI 시대에 할 수 있는 가장 위험한 선택 중 하나라고 생각합니다.
미래의 경쟁은
'인간과 AI' 사이에서 벌어지기 보다,
'AI를 사용하지 않는 보안인'과 'AI를 사용하는 보안인' 사이에서 먼저 발생한다고 생각합니다.
그리고 더 중요하게는,
AI에게 의존할 수밖에 없는 사람과 AI를 이해하고 지휘할 수 있는 사람 사이에서 벌어질 거라고 생각합니다.
기업의 AI화인 AX의 속도는 앞으로 더욱 빨라질 전망입니다.
그렇기 때문에 기업은 AI가 내놓은 답을 이해하지도 못하면서 그것이 맞다고 믿을 수밖에 없는 사람을 채용할 이유가 없습니다.
앞으로도 강한 사람은 깊은 보안 기본기를 가지고 있으면서 AI를 자신의 두뇌와 손의 확장처럼 사용하는 사람일 것입니다.
그 사람 한 명이 과거의 보안전문가 여러 명이 하던 업무를 수행할 수도 있습니다. 단 그렇다고 고용률이 낮아진다고 속단해서도 안 됩니다.
그리고 역설적으로 우리는 바로 그 이유 때문에 더 공부해야 합니다.
AI와 경쟁해서 이기기 위해서가 아니라
AI라는 역사상 가장 강력한 지적 도구를 제대로 사용할 자격을 갖추기 위해서입니다.
그러므로 앞으로 보안을 공부하는 사람에게 던져야 할 질문도 달라져야 합니다.
“AI보다 내가 취약점을 더 잘 찾을 수 있을까?”
가 아니라
진짜 질문은
“AI가 취약점을 찾아주는 시대에, 나는 그 AI가 무엇을 찾게 하고 무엇을 믿고 어디까지 행동하게 할지를 결정할 수 있는 사람인가?”
위 질문에 자신 있게 답하려면 결국 공부해야 합니다.
AI 시대에 보안 공부의 가치가 사라지고 있는 것이 아닙니다.
보안 공부가 요구되는 실무에서의 층위가 수동 분석에서 검증과 오케스트레이션으로, 한 단계 위로 올라가고 있는 것뿐입니다.
단지 그뿐 입니다. 그 높은 층위에서 보안 기본기는 어느 업무보다 강조되며 필요합니다.
AI가 보안인을 필요 없게 만드는 시대를 걱정하기 전에 우리는 먼저 물어야 합니다.
과연 보안을 모르는 사람이 그 AI를 책임지고 사용할 수 있을까요?
그 사람이 정말 채용시장에서, 더 깊은 기본기와 AI 활용능력을 동시에 가진 사람보다 선택받을 수 있을까요?
적어도 현재의 답은 상당히 명확해 보입니다.
그래서 지금 보안을 공부하는 것은 늦은 선택이 아닙니다.
오히려 AI가 강해질수록 공부하지 않을 이유가 점점 사라지고 있습니다.
Works Cited
Aldasoro, Iñaki, et al. “AI Adoption, Productivity and Employment: Evidence from European Firms.” BIS Working Papers, no. 1325, Bank for International Settlements, 23 Jan. 2026.
Anthropic. “Partnering with Mozilla to Improve Firefox’s Security.” Anthropic, 6 Mar. 2026. Accessed 31 Aug. 2026.
Bessen, James. “AI and Jobs: The Role of Demand.” NBER Working Paper, no. 24235, National Bureau of Economic Research, Jan. 2018. DOI 10.3386/w24235.
Bessen, James. “Toil and Technology.” Finance & Development, vol. 52, no. 1, Mar. 2015, pp. 16–19.
Booth, Harold, et al. “Accelerating the Adoption of Software and Artificial Intelligence Agent Identity and Authorization.” Concept Paper, National Institute of Standards and Technology, 5 Feb. 2026.
Carlini, Nicholas, et al. “Assessing Claude Mythos Preview’s Cybersecurity Capabilities.” Anthropic, 7 Apr. 2026. Accessed 31 Aug. 2026.
ISC2. “2025 ISC2 Cybersecurity Workforce Study.” ISC2, 4 Dec. 2025. Accessed 31 Aug. 2026.
ISC2. “Rethinking AI’s Impact on Cybersecurity Roles.” ISC2, 14 July 2026. Accessed 31 Aug. 2026.
Liu, Fengyu, et al. “AgentCyberRange: Benchmarking Frontier AI Systems in Realistic Cyber Ranges.” arXiv, 12 June 2026, arXiv:2606.14295.
Liu, Shukai, et al. “Context as a Tool: Context Management for Long-Horizon SWE-Agents.” Findings of the Association for Computational Linguistics: ACL 2026, Association for Computational Linguistics, July 2026, pp. 20604–20617. DOI 10.18653/v1/2026.findings-acl.1032.
Nonaka, Ikujiro. “The Knowledge-Creating Company.” Harvard Business Review, July–Aug. 2007. Accessed 31 Aug. 2026.
Pascoe, Cherilyn, Stephen Quinn, and Karen Scarfone. The NIST Cybersecurity Framework (CSF) 2.0. NIST CSWP 29, National Institute of Standards and Technology, 26 Feb. 2024. DOI 10.6028/NIST.CSWP.29.
Tabassi, Elham. Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST AI 100-1, National Institute of Standards and Technology, 26 Jan. 2023. DOI 10.6028/NIST.AI.100-1.
World Economic Forum. Global Cybersecurity Outlook 2026. World Economic Forum, 12 Jan. 2026.
남창우. AI의 거시경제 영향 분석. 연구보고서 2026-01, 한국개발연구원, 20 July 2026.