“AI의 ‘규모’와 사람의 ‘깊이’를 한 플랫폼에 통합”... 존 아데오 해커원 부사장

“AI가 규모와 속도 높이면 사람이 정확성 검증”
“CTEM-AI 레드티밍 결합, 업계가 나아갈 방향”

[보안뉴스 강현주 기자] “사이버 보안의 미래는 AI와 사람 중 하나를 선택하는 것이 아닙니다. 속도를 위해 AI를 쓰고, 정확도를 위해 사람의 깊이를 결합하는 것입니다.”

‘제20회 국제 시큐리티 콘퍼런스’(ISEC 2026) 현장에서 만난 지속적 위협 노출 관리(CTEM) 기업 해커원(HackerOne)의 존 아데오(John Addeo) 부사장은 이 같이 말했다.

▲ISEC 2026 해커원 부스 앞 존 아데오(John Addeo) 해커원 부사장 [출처: 보안뉴스]

해커원의 글로벌 채널 및 전략적 파트너 GTM(Go-to-Market) 조직을 총괄하는 아데오 부사장은 “사이버보안의 미래가 특정 시점의 평가에만 의존하기보다 지속적인 테스트를 필요로 한다고 믿는다”며 “전 세계 보안 연구자 커뮤니티를 통해 AI와 인간의 전문성을 결합하는 해커원의 접근 방식은, 기존 방식으로는 놓치기 쉬운 취약점을 발견함과 동시에 보안팀이 가장 중요한 사안에 우선순위를 둘 수 있도록 돕는다”고 밝혔다.

특히 AI가 보안 업무의 효율을 극대화하는 수단이지만 그 결과물에 대한 검증은 여전히 사람의 영역이라고 강조했다.

아데오 부사장은 “AI는 이전보다 훨씬 빠른 속도로 공격 경로를 파악해내며 보안 테스트의 규모를 키워준다”며 “하지만 단순히 AI 툴만 사용하는 것은 수많은 가짜 위협(Noise)과 오류를 양산해 오히려 보안 팀의 혼란을 가중시킨다”고 밝혔다.

이어 “해커원은 이러한 한계를 극복하기 위해 AI와 인간 전문성을 하나의 플랫폼에 통합했다”며 “AI가 취약점의 가능성을 빠르게 탐색하면, 해커원의 전문 검증 팀이 24시간 상시 대기하며 그 결과가 유효한지, 시스템에 실제 위협이 되는지 직접 판단한다”고 말했다.

해커원의 플랫폼은 AI 에이전트가 발견, 정찰, 기본 취약점 테스트 등 사람이 하던 수작업을 대신 수행해 속도를 크게 높인다. 이렇게 AI가 찾아낸 취약점에 대해 사람이 직접 유효성과 의미를 검증하고 분류(Triage)를 수행해 정확성을 보장한다는 게 아데오 부사장의 설명이다.

여기서 AI는 또 취약점 발견 및 조치 방법 안내와 소스 코드 코딩까지 처리하는 사이클을 지원하게 된다. 24시간 대기하는 여러 명의 사람과 AI 솔루션을 결합해 속도가 느려지지 않도록 보완한다는 것이다.

아데오 부사장은 “단일 툴의 단순 정보 제공을 넘어, AI의 효율성과 인간 전문가의 검토 과정을 결합해 전체적인 운영 효율과 비용 절감 효과를 이끌어 낸다”고 강조했다.

아데오 부사장은 한국 시장에서 최근 해커원 솔루션들에 대한 수요가 높아진 이유에 대해 “AI 도입 가속화로 새로운 공격 표면이 생겨나고 있으며, 전통적인 애플리케이션과 AI 시스템 모두에 대한 지속적인 검증의 필요성이 커졌다”며 “주기적인 테스트에 의존하기보다 보안 태세를 지속적으로 검증하는 솔루션들이 필요해졌다”고 밝혔다.

이에 따라 해커원의 AI 레드팀(AI Red Teaming), H1 에이전틱 펜테스트(H1 Agentic Pentest), H1 지속적 테스트(H1 Continuous Testing), 버그 바운티 및 취약점 공개 프로그램, 지속적 위협 노출 관리(CTEM) 등의 해커원 제품들의 수요가 높아지고 있다는 게 그의 설명이다.

아데오 부사장은 특히 AI 레드티밍과 지속적 위협 노출 관리(CTEM)의 결합을 해커원의 경쟁력으로 강조하며 “이 결합은 지속적인 피드백 루프를 만들며, 이는 바로 업계가 나아가고 있는 방향”이라며 “CTEM은 가장 큰 리스크가 어디에 있는지 파악하고 우선순위를 정하도록 돕고, AI 레드팀은 창의성과 적대적 사고를 더해, AI 시스템을 테스트해 단순 자동 스캐닝의 한계를 넘는다”고 말했다.

이어 “AI 레드팀에서 얻은 결과는 다시 기업의 전반적인 노출 관리 프로그램에 반영, 보안팀이 전체적인 보안 태세를 지속적으로 개선할 수 있도록 한다”며 “이는 자동화를 사람으로 대체하거나, 사람을 AI로 대체하는 것이 아닌, 규모를 위한 AI와 깊이를 위한 인간 전문성을 하나의 통합 플랫폼을 통해 결합하여 해결을 이끌어내는 것”이라고 강조했다.

아데오 부사장은 AI 위협이 고조되는 가운데 방어자들간 협력의 중요성도 언급했다.

그는 “사이버 보안은 언제나 팀스포츠였으며, 해커원은 AI 기반 역량과 전 세계 보안 연구자 커뮤니티의 전문성을 결합해 AI 시스템에 영향을 미치는 취약점을 지속적으로 식별하고 검증할 수 있도록 지원한다”며 “내부 협력도 점점 중요해지는데, 해커원 연구에 따르면 AI 보안 및 신뢰에 대한 책임은 CISO, CTO, CIO, 법무팀 및 기타 비즈니스 리더들에게 분산돼 있다”고 밝혔다.

국내 파트너인 유넷시스템과의 협력에 대해 아데오 부사장은 “지속적인 보안 테스트 분야에서 해커원이 보유한 글로벌 전문성과, 한국 시장에 대한 깊은 이해와 강력한 현지 입지, 폭넓은 솔루션 및 서비스를 갖춘 유넷시스템즈의 강점을 결합한다”며 “이를 통해 기업들이 지속적인 보안 검증으로 나아가는 여정을 가속화한다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다