20초 핵심
AI 시대의 사이버보안은 ‘컴퓨터에 백신을 까는 일’을 넘어섭니다. 사람과 AI가 무엇에 접근하고, 어떤 행동을 하며, 사고가 났을 때 어떻게 복구할지까지 관리하는 산업입니다.
인터넷을 거대한 도시라고 생각해봅시다. 웹사이트는 건물이고, 비밀번호는 열쇠이며, 프로그램을 만드는 공통 소프트웨어는 여러 건물에 들어가는 같은 회사의 자물쇠입니다. 이제 이 도시에 자물쇠의 약점을 빠르게 찾아내는 도구, AI가 등장했습니다. 방어자에게는 정밀 점검 장비지만, 공격자에게도 강력한 도구가 될 수 있습니다.
인터넷 도시의 비상경보
제시된 기사의 사건들은 2026년 10월 21일 전후에 실제로 공개됐습니다. 다만 취약점 발견, 악성 프로그램 배포, 인증서 신뢰 훼손은 서로 다른 사건이며, 모두 AI가 일으킨 하나의 대형 해킹으로 묶으면 부정확합니다.
| 사건 | 아주 쉽게 비유하면 | 무엇이 위험한가 |
|---|---|---|
| PHP 취약점 | 여러 건물에 설치된 공통 자물쇠에서 결함 발견 | 특정 조건에서 로그인하지 않은 공격자도 서버에 명령을 실행할 수 있어 긴급 수정이 필요했습니다. |
| Node.js 취약점 | 건물을 움직이는 공용 설비에 여러 결함 발견 | 수정 대상은 총 10건이며, 이 가운데 높은 심각도 4건에 원격 코드 실행과 서버 신원 확인 우회 문제가 포함됐습니다. |
| LiteLLM 악성 배포 | 공식 부품 창고에서 받은 부품에 도청장치가 들어 있음 | AI 서비스를 연결하는 도구의 특정 배포본에 비밀번호, 접근키 탈취와 원격 명령 실행 기능이 들어갔습니다. |
| eMudhra 인증서 문제 | 신분증 발급기관의 도장을 남도 만들어 쓸 수 있게 됨 | 중간 인증서 8개의 약한 개인키 때문에 가짜 인증서를 만들어 정상 서버를 사칭할 위험이 생겼습니다. |
여기서 중요한 구분이 있습니다. ‘문에 결함이 있다’와 ‘도둑이 이미 들어왔다’는 같은 말이 아닙니다. PHP 문제로 일부 정부 웹사이트가 내려간 데에는 침입을 막기 위한 예방적 중단도 포함됐습니다.
eMudhra 사건 역시 단순히 ‘강력한 비밀키를 누군가 훔쳤다’고만 이해하기보다, 키 자체가 약해 인증서의 신뢰가 무너진 문제로 이해하는 편이 정확합니다. 브라우저·운영체제·관련 프로그램에서 해당 인증서를 더는 믿지 않도록 처리해야 하므로 대응 범위가 넓어집니다.
AI가 바꾸는 세 가지
약점 찾기가 빨라집니다
예전에는 숙련된 전문가가 코드와 시스템을 오래 들여다봐야 했습니다. AI는 그 작업 일부를 보조하고 자동화할 수 있습니다. 이번 PHP 사례에서도 AI를 활용한 연구가 오래된 문제의 실제 공격 가능성을 드러내는 데 기여했습니다.
문제는 같은 능력을 공격자도 이용할 수 있다는 것입니다. 영국 국가사이버보안센터는 AI가 사이버 침입의 일부 단계를 더 효과적이고 효율적으로 만들고, 취약점 공개 이후 악용까지 걸리는 시간도 더 줄일 것으로 평가했습니다.
비유하면 이렇습니다. 예전에는 도둑이 집집마다 문을 흔들어봤다면, 이제는 더 많은 문을 더 빨리 점검할 수 있는 보조도구를 얻은 셈입니다. 그렇다고 AI가 모든 문을 열 수 있다는 뜻은 아닙니다.
AI도 출입증이 필요합니다
대답만 하는 챗봇과 실제 업무를 수행하는 AI 에이전트는 다릅니다. 에이전트가 회사 자료를 읽고, 프로그램을 호출하고, 데이터를 수정한다면 사람처럼 고유한 신원과 제한된 권한이 필요합니다.
가령 ‘영수증을 분류하는 AI 직원’에게 회사 전체의 계좌·인사·고객 자료를 열 수 있는 만능 출입증을 주면 어떨까요? 편리해 보이지만, 그 AI가 공격받거나 잘못 행동했을 때 피해 범위도 커집니다. 그래서 AI마다 필요한 자료와 기능만 허용하고, 행동을 기록하며, 즉시 권한을 회수할 수 있도록 설계해야 합니다.
앞으로는 ‘누가 로그인했는가’뿐 아니라 ‘어떤 AI가, 누구의 허락으로, 무엇을 했는가’가 보안의 중요한 질문이 됩니다.
정상 도구도 의심해야 합니다
LiteLLM 사건은 이용자가 수상한 해킹 도구를 찾아다녀서만 피해를 보는 것이 아니라는 점을 보여줍니다. 공식 배포 경로의 특정 버전이 오염되는 소프트웨어 공급망 공격이었습니다.
쉽게 말해 식당이 아니라 식재료 납품업체가 공격받은 것입니다. 식당이 아무리 깨끗해도 오염된 재료가 들어오면 문제가 생깁니다. 따라서 보안은 완성된 서비스뿐 아니라 개발자 계정, 외부 부품, 배포 과정까지 살펴야 합니다.
보안은 하나의 제품이 아닙니다
AI 보안을 이해하는 가장 쉬운 방법은 방어를 세 겹으로 나누는 것입니다. 아래 구분은 산업을 이해하기 위한 틀이며, 어느 한 제품이 모든 사고를 막는다는 뜻은 아닙니다.
- 못 들어오게 하기: 사용자와 AI의 신원을 확인하고, 필요한 자료에만 접근하게 합니다. 회사 안에 있다고 무조건 믿지 않는 ‘제로 트러스트’가 여기에 해당합니다.
- 들어와도 빨리 잡기: 컴퓨터·서버·클라우드에서 이상행동을 찾아 공격을 차단하고 조사합니다.
- 뚫려도 다시 일어서기: 공격자가 바꾸거나 지우기 어렵게 분리한 백업을 확보하고, 깨끗한 데이터로 업무를 복구합니다.
이렇게 보면 보안은 경비원 한 명을 고용하는 일이 아닙니다. 출입증 관리, 감시실 운영, 비상 복구 설비를 함께 갖추는 일에 가깝습니다.
왜 중요한 산업일까
보안 수요를 이해할 때는 ‘해킹 뉴스가 많다’보다 기업이 AI를 실제 업무에 연결하려면 무엇을 먼저 해결해야 하는가를 보는 편이 유용합니다. AI에 데이터와 실행 권한을 주려면 접근통제·활동 기록·권한 회수 같은 장치가 함께 필요합니다.
방어자 역시 AI를 사용합니다. 보안 제품은 AI와 자동화를 활용해 많은 경보를 연결하고, 조사와 대응을 보조하는 방향으로 발전하고 있습니다. 즉, ‘AI를 이용해 지키는 시장’과 ‘AI 자체를 지키는 시장’이 함께 형성되는 것입니다.
투자 관점에서는 반복적인 서비스 이용도 중요합니다. 예를 들어 CrowdStrike는 구독 매출을 별도로 공시합니다. 다만 구독형이라는 이유만으로 성장이 보장되지는 않으며, 보안기업도 갱신률 하락·가격 경쟁·기술 변화에 노출됩니다.
미국 상장 보안주
아래 기업들은 같은 ‘보안주’라도 출발점과 강점이 다릅니다. 비유는 이해를 돕기 위한 것이며, 실제 사업은 서로 겹치고 확장되고 있습니다.
| 기업, 티커 | 쉽게 말하면 | 핵심 역할 | 산업을 볼 때의 연결점 |
|---|---|---|---|
| 팔로알토 네트웍스, PANW | 기업의 통합 보안본부 | 네트워크, 클라우드, 보안 운영을 아우르는 플랫폼. | 여러 보안 기능을 통합해 관리하려는 수요 |
| 크라우드스트라이크, CRWD | 컴퓨터와 서버의 디지털 경비대 | 단말기 보호를 바탕으로 신원, 클라우드, AI 영역까지 감시 범위 확대. | 침입 이후의 이상행동 탐지와 대응 |
| 포티넷, FTNT | 회사와 공장의 보안 검문소 | 방화벽과 네트워크 보안, 산업현장용 보안 장비. | 실제 네트워크와 업무, 산업 시스템 보호 |
| 지스케일러, ZS | 필요한 방만 열어주는 출입관리 | 사용자를 회사 네트워크 전체가 아니라 허용된 애플리케이션에 연결. | 클라우드 환경의 제로 트러스트 접근통제 |
| 옥타, OKTA | 사람과 AI의 사원증 관리실 | 신원, 접근권한 관리와 AI 에이전트 신원 통제. | AI마다 소유자, 권한, 중지 수단을 부여하는 수요 |
| 클라우드플레어, NET | 웹사이트 앞의 방어막 | 웹 공격, 디도스, 악성 봇, API 악용 방어. | 외부에 공개된 서비스와 연결 통로 보호 |
| 루브릭, RBRK | 데이터 금고와 복구센터 | 변경하기 어려운 백업과 공격 이후의 데이터 복구. | ‘완벽한 예방’뿐 아니라 업무 재개 능력 확보 |
처음 공부한다면 PANW는 통합 플랫폼, CRWD는 탐지·대응, OKTA는 신원, RBRK는 복구라는 식으로 역할부터 구분해보면 좋습니다. 이것은 공부를 위한 분류이지, 수익률 순위나 매수 추천 순서는 아닙니다.
또한 위 기업들이 이번에 소개된 모든 취약점을 직접 해결하는 것은 아닙니다. PHP·Node.js 같은 공통 소프트웨어의 근본 결함은 해당 프로젝트의 수정과 이용기관의 적용이 필요하며, 보안 제품이 업데이트 자체를 대체하지는 못합니다.
ETF로 접근하는 방법
기업별 승자를 고르기 어렵다면 여러 보안기업을 담은 ETF를 살펴볼 수 있습니다. 다만 이 상품들은 미국 증시에 상장됐다는 뜻이지, 반드시 미국 기업만 보유한다는 뜻은 아닙니다.
| ETF | 연간 총보수율 | 포트폴리오 성격 | 비교할 때 볼 점 |
|---|---|---|---|
| CIBR · First Trust Nasdaq Cybersecurity ETF | 0.58% | 핵심 보안기업과 일부 관련 기술, 서비스 기업을 포함. | 보안 전문기업 외에 어떤 대형 기술기업이 들어 있는지 |
| HACK · Amplify Cybersecurity ETF | 0.60% | 보안 하드웨어, 소프트웨어, 서비스를 함께 담는 구성. | 통신장비, 반도체, 방산 등 인접 사업 노출도 |
| BUG · Global X Cybersecurity ETF | 0.50% | 편입 대상에 사이버보안 매출 비중 최소 50% 기준 적용. | 보안 전문기업에 상대적으로 집중하는 구조 |
| IHAK · iShares Cybersecurity and Tech ETF | 0.47% | 선진국, 신흥국의 보안 하드웨어, 소프트웨어, 서비스에 투자. | 국가별 구성과 다른 ETF와의 종목 차이 |
총보수율은 확인된 운용사 공시 기준이며 변경될 수 있습니다. CIBR은 페이지에 2026년 2월 2일 기준 비용이 표시돼 있고, HACK·BUG는 10월 21일 기준 상품정보, IHAK는 현행 투자설명서 비용을 표시합니다. 거래 수수료·호가 차이·환전 비용·세금까지 모두 포함한 수치는 아닙니다.
실제 구성 차이도 있습니다. CIBR의 10월 19일 상위 보유종목에는 Fortinet·CrowdStrike·Cisco·Palo Alto Networks·Broadcom이 들어 있고, BUG의 10월 21일 상위권에는 Okta·CrowdStrike·Fortinet·Palo Alto Networks·Zscaler가 포함됐습니다. 같은 산업 이름을 달아도 성과가 달라질 수 있는 이유입니다.
CIBR은 산업 전반을 살펴보는 출발점, BUG는 보안 전문기업 비중을 중시할 때의 비교 대상, HACK은 인접 사업까지 보는 비교 대상, IHAK는 비용과 글로벌 구성을 함께 따져볼 대상으로 정리할 수 있습니다. 이는 상품 구조를 이해하기 위한 분류입니다.
성장산업과 좋은 투자는 다릅니다
해킹이 늘어난다고 모든 보안주가 오르는 것은 아닙니다. 산업이 성장해도 업체 간 경쟁과 가격 인하로 수익성이 나빠질 수 있고, 투자자가 이미 높은 성장을 주가에 반영했을 수도 있습니다.
보안업체 자체의 운영 실패도 위험입니다. 2024년 CrowdStrike의 잘못된 콘텐츠 업데이트는 일부 Windows 시스템의 충돌을 일으켰습니다. 해킹과는 다른 사건이지만, 보안기업을 평가할 때 제품 신뢰성과 배포 품질도 중요하다는 교훈을 줍니다.
기업을 분석할 때는 다음 질문을 던져볼 만합니다.
- 고객이 계속 늘고 있는가? 단기 사건보다 신규 계약과 고객 확대 추세를 확인합니다.
- 기존 고객이 더 쓰는가? 계약 갱신과 추가 제품 판매가 이어지는지 봅니다.
- 실제로 현금을 남기는가? 매출뿐 아니라 영업현금흐름과 잉여현금흐름을 확인합니다.
- 주주 몫도 늘어나는가? 주식보상과 신주 발행에 따른 희석을 함께 점검합니다.
- 좋은 미래를 너무 비싸게 사는가? 성장률·수익성과 현재 기업가치를 함께 비교합니다.
ETF도 개별기업 위험을 나누는 도구이지, 산업 전체의 하락을 막는 보험은 아닙니다. 기술 변화와 경쟁, 시장 하락, 환율 변동의 영향을 받을 수 있습니다.
오늘 적용할 보안 습관
- 업데이트를 미루지 않기: 기기·브라우저·앱의 보안 수정이 실제로 적용돼야 보호 효과가 생깁니다.
- 비밀번호를 재사용하지 않기: 계정마다 다른 비밀번호를 쓰고 비밀번호 관리자를 활용합니다.
- 다중인증 켜기: 특히 이메일·금융·클라우드 계정부터 추가 인증을 설정합니다.
- 중요 자료는 따로 백업하기: 공격자가 원본과 백업을 한꺼번에 훼손하지 못하도록 분리하고 복구도 시험합니다.
- AI에 만능 열쇠를 주지 않기: 필요한 자료와 기능만 허용하고, 삭제·결제·배포 같은 중요한 행동에는 별도 승인을 둡니다.
웹사이트나 앱 운영자는 외부 도구의 오염이 확인됐을 때 ‘문제 버전을 지웠으니 끝’이라고 생각해서는 안 됩니다. LiteLLM의 영향받은 배포본을 설치·실행한 환경은 침해된 것으로 취급하고, 깨끗한 환경 재구축과 노출 가능성이 있는 접근키·비밀번호 교체까지 검토해야 합니다.
산업과 상품을 이해하기 위한 교육용 설명입니다. 현재 주가의 적정성이나 개인별 매수·매도 판단은 평가하지 않았습니다.
Signal over Noise. Context over Headlines.
인사이트 타임스 편집부
