핵심 요약

  • 데인 크네히트 Cloudflare CTO는 AI로 심각한 취약점 발견이 잦아지면서 향후 약 18개월간 보안에 자원이 집중될 것으로 전망했다. 다만 이를 영구적인 상태로 보지는 않았다.
  • 안전한 소프트웨어의 출발점은 코드와 구조를 단순하게 만들어 공격 가능한 지점을 줄이는 일이다. AI가 복잡성을 늘리는 경향을 제어할 사람의 판단과 검토 절차가 필요하다.
  • 에이전트가 사람을 위한 웹을 읽는 현재 방식은 비효율적이다. 콘텐츠 전달 방식과 함께 창작자에게 대가를 지급할 결제 체계도 바뀌어야 한다는 주장이다.
  • Cloudflare의 사내 AI 전환은 공통 플랫폼, 업무 절차 재설계, 결과 중심의 평가와 직원들의 자발적인 실험을 통해 진행되고 있다.

취약점 발견의 대중화가 만든 보안 전환기

크네히트는 No Priors 대담에서 AI 도입의 관심사가 빠르게 바뀌었다고 설명했다. 처음에는 직원들이 AI를 쓰고 에이전트를 배포하게 만드는 일이 중심이었다. 이제는 내부 데이터 유출을 막는 문제와 외부 침입을 방어하는 문제가 동시에 부상했다.

그의 관찰에 따르면 과거에는 약 1년에 한 번꼴로 전사 대응이 필요했던 수준의 심각한 취약점 문제가 이제 매주 발생한다. 모두 공개되는 것은 아니라는 설명도 덧붙였다. 최근의 일부 큰 취약점을 발견한 주체도 국가 조직이 아니라 고등학생 등이었다. 에이전트로 특정 영역을 조사하고 취약점 신고 보상금을 받는 개인에게까지 강력한 도구가 확산됐다는 것이다.

그는 향후 약 18개월 동안 공격자 관점에서 취약점을 찾는 활동과 방어 양쪽에 보안 지출이 앞당겨질 것으로 예상했다. 엔지니어링 시간의 절반 이상이 보안에 쓰일 수 있다는 전망도 언급했다. 다만 AI가 기존 코드의 상당 부분을 조사한 뒤에는 자원이 새 소프트웨어 개발로 돌아가 생산성이 높아질 수 있다고 봤다. 이는 그가 예상하는 전환 경로이며, 확정된 일정은 아니다.

그렇다고 인터넷을 신뢰할 수 없게 될 것이라는 비관론에 동의하지는 않았다. 위기 때 경쟁사들도 핵심 인프라 보호를 위해 협력한다는 경험 때문이다. 사무실 전체를 하나의 안전한 경계로 취급하기보다 기기와 데이터 흐름별로 보안을 적용하는 제로 트러스트로의 이동도 기업의 대응 여건을 개선했다고 평가했다.

코드 단순화와 적대적 검토를 함께 설계한다

크네히트는 현재의 과제를 약 70년간 쌓인 소프트웨어를 보수하는 일로 표현했다. 기존 취약점을 따라잡는 동시에 앞으로의 소프트웨어와 에이전트 개발 과정에는 보안 검사를 단계마다 넣어야 한다는 주장이다.

그가 제시한 출발점은 공격 표면, 즉 취약점이 생기거나 공격받을 수 있는 지점을 줄이는 것이다. 코드를 줄이고 구조를 단순하게 만드는 일이 우선이다. 안전한 프로그래밍 언어나 소프트웨어의 성질을 엄밀하게 확인하는 형식 검증도 도움이 될 수 있지만, 초기 AI는 오히려 장황한 코드와 복잡성을 만드는 경향이 있었다고 지적했다.

Cloudflare는 내부 설계 제안과 모범 사례를 문서화하고, 이를 에이전트가 검토 과정에서 따를 수 있는 핵심 원칙으로 정리했다. 코드를 만드는 역할에 더해 성능과 보안을 따져보는 역할을 두는 식이다. 제품 엔지니어 교육, 보안팀의 추가 검토, 개발 절차가 함께 작동해야 한다고 봤다.

취약점을 공격자처럼 찾아보는 레드팀도 현재 한 팀에서 향후 네다섯 팀으로 늘어날 것으로 예상했다. 발견량이 기존 처리 능력을 넘으면 엔지니어들이 패치 절차를 자동화하게 된다는 것이 그의 판단이다. 다만 기존 패치 과정이 완벽하다고 주장하지는 않았다. 보안을 위해 새 기능 출시를 동결할 생각도 없으며, 비용 최적화 같은 다른 과제보다 자원을 더 투입하더라도 개발과 보수를 병행해야 한다고 말했다.

보안 역량을 가진 공개 모델과 비공개 모델에 대해서는 장기적으로 개방이 필요하다는 입장이었다. 악의적인 행위자와 대기업은 결국 접근 수단을 찾는 반면, 제한이 계속되면 방어 능력이 필요한 다수만 배제될 수 있다는 논리다. Cloudflare가 중대한 취약점에 대한 보호를 무료 고객에게도 제공한다는 설명 역시 이런 접근성과 연결됐다.

에이전트 웹에는 콘텐츠 대가를 지불할 길이 필요하다

크네히트는 현재 웹을 사람과 에이전트가 같은 경로를 사용하는 과도기로 봤다. 사람은 페이지를 읽으며 광고를 보는 경제 구조에 참여하지만, 에이전트는 같은 시간에 수많은 페이지를 방문한다. 사람이 보는 화면을 에이전트가 해석하도록 변환하는 과정도 불필요한 토큰 소비를 만든다는 지적이다.

컴퓨터끼리 정보를 주고받는 API는 오래전부터 있었지만 인터넷 정보의 일부만 다뤘다. 더 넓은 정보를 찾는 에이전트에 맞춰 콘텐츠를 전달하면서 사이트 운영자의 비용도 낮춰야 한다는 설명이다.

그가 제시한 한 가지 가능성은 에이전트가 콘텐츠를 읽을 가치가 있는지 판단하고, 사이트의 광고 수익 수준을 참고한 대가를 지불하는 방식이다. CPM은 광고 노출 1,000회당 금액을 뜻한다. 이런 소액결제가 대규모로 이뤄지려면 초당 수백만 건을 처리할 결제 체계가 필요하다고 봤다. 오랫동안 실현이 미뤄졌던 소액결제를 에이전트가 촉진할 수 있다는 전망이다.

Cloudflare는 콘텐츠 소액결제를 위한 게이트웨이를 공개했으며, 에이전트용 지갑과 거래를 지원할 스테이블코인도 언급했다. OpenAI와 진행하는 Signals 프로젝트는 에이전트가 인터넷 전체를 반복해서 수집하기보다 새 콘텐츠를 더 쉽게 발견하도록 돕는 작업이라고 설명했다.

다만 개인 에이전트가 사람처럼 매끄럽게 업무를 수행하기에는 기술과 사업 모델이 아직 충분히 따라오지 못했다고 인정했다. 사이트들이 에이전트 접근을 막는 현상도 결과를 알 수 없는 전환기에 협상력을 지키려는 움직임으로 해석했다. 콘텐츠 사업자가 인프라 비용을 충당하고 생계를 유지할 수 있는 수익을 얻는 상태가 그가 제시한 성공 기준이다.

Cloudflare OS는 보안과 회사의 일하는 방식을 담는다

Cloudflare OS는 직원들이 일상적으로 AI를 사용하는 내부 플랫폼에서 출발했다. 고객 정보와 내부 데이터가 유출되지 않도록 데이터 사용과 이동을 파악하면서 새 도구와 모델을 활용하게 하는 것이 초기 목적이었다.

에이전트가 늘자 회사의 개발 방식과 원칙을 명시적으로 가르칠 필요도 생겼다. 사람이 입사 교육과 동료와의 협업으로 배우던 내용을 문서와 플랫폼에 담는 작업이다. 직원이 도구를 만들 때 보안을 매번 별도로 설계하지 않아도 되도록 공통 기반을 제공하려 했다.

이를 외부에 공개한 이유는 Cloudflare의 개발자 도구로 회사용 AI 플랫폼을 어떻게 구성할 수 있는지 보여주는 참조 설계를 제공하기 위해서였다. 다른 조직이 이를 바탕으로 자체 플랫폼을 만들 수 있게 한다는 취지다.

크네히트에 따르면 실제 사용은 엔지니어링팀보다 영업·마케팅과 일반 관리 조직에서 더 많았다. 빈 채팅창만 제공하면 무엇을 해야 할지 막막해하는 직원에게 업무에 맞는 데이터와 안내를 제공한 효과였다. 마케팅팀은 행사 준비 과정에서 수백 개의 내부 도구를 만들었으며, 이전에는 외부 대행사와 협업해야 했던 일도 작은 팀이 빠르게 처리하게 됐다고 설명했다.

세 팀을 빠르게 만드는 대신 업무 절차를 다시 짠다

AI 중심 조직으로의 재편에는 동료들과의 이별도 포함됐다. 크네히트는 이를 회사의 첫 경험이었다고 설명하며, 과잉 채용을 바로잡기 위한 조치가 아니라 AI가 일부 팀의 업무 방식을 바꾸는 데 따른 재설계였다고 말했다.

대표 사례는 제품 관리자의 고객 이메일 발송이다. 이전에는 분석 조직이 발송 대상 고객군을 추리고, 마케팅팀이 문안과 표현을 다듬고, 마케팅 운영팀이 발송했다. 바뀐 도구에서는 제품 관리자가 대상 고객군을 설명하고 초안을 작성하면 회사의 문체로 다듬어진다. 이후 관리자에게 전달돼 승인을 받으면 발송된다.

기존 세 팀의 처리 속도를 높이는 대신, 한 사람이 승인 절차를 거쳐 일을 끝내도록 흐름을 바꾼 것이다. 이런 변화를 누가 주도할지는 세부 순위를 정해 배정하기보다 도구를 제공하고 실험 과정에서 주도권을 잡는 사람을 찾는 방식으로 접근했다.

토큰 사용량보다 결과를 보고 비용은 알려준다

크네히트는 사람이 매번 업무에 맞는 모델을 고르는 방식이 장기적으로 적절하지 않다고 봤다. 계획에는 최상위 모델을 쓰고, 합의된 계획의 실행에는 공개 모델을 활용한 뒤, 다시 최상위 모델로 검토와 공격 관점의 점검을 하는 조합을 예로 들었다. 다만 현재는 이런 선택이 상당 부분 수작업이라고 인정했다.

Cloudflare는 직원들이 적합하다고 판단한 모델과 도구를 폭넓게 사용하도록 해왔다. 토큰 사용 순위표를 두거나 소비량을 장려하지 않고, 무엇을 만들고 출시했는지로 평가한다는 설명이다.

비용 관리는 사용 사실을 알려주는 방식에 가깝다. 하루 300달러를 쓰면 당사자에게 이메일을 보내고, 500달러 수준이면 관리자에게, 1,000달러면 부사장급에게 알리는 예를 들었다. 이런 경우는 드물며, 사용자 자신이 비용을 모르고 있다가 알림을 반기는 일이 많았다고 말했다.

인턴과 현장 요청이 AI 활용 방식을 퍼뜨린다

Cloudflare는 약 200명의 인턴을 운영했던 시기에 이들과 함께 일한 관리자들이 AI를 더 빨리 도입하는 모습을 관찰했다. 크네히트는 인턴들이 업무를 시작할 때 자연스럽게 AI를 찾는다고 평가했다. 이후 회사는 연간 1,000명의 인턴을 채용하기로 했다. 약 5,000명 규모의 회사에서 한 해에 걸쳐 진행하는 계획이라는 설명이다.

직원의 업무 요청을 받아 에이전트가 따를 작업 지침 파일을 만들어주는 내부 이메일 창구도 운영했다. 일부 직원은 자동화된 AI라고 생각했지만, 실제로는 인턴들이 지침 작성을 돕고 있었다. 이 방식은 외부 컨설팅으로 모든 업무를 목록화하지 않고도 직원들이 불편을 느끼는 지점을 파악하는 통로가 됐다.

그는 채용에서 호기심과 주도성, 공감을 계속 중시한다고 말했다. 특히 개인 생활에서도 AI를 실험하는지를 호기심의 신호로 봤다. 회사 규모와 무료 서비스 제공 범위를 감당하려면 기존 기술을 가져다 쓰는 데 그치지 않고 새로운 방식을 발명할 사람이 필요하다는 이유였다.

크네히트의 설명을 관통하는 것은 AI가 만든 압박을 같은 도구와 업무 재설계로 풀겠다는 접근이다. 보안에서는 단순한 설계와 반복 검토를, 웹에서는 콘텐츠 보상 체계를, 조직에서는 공통 플랫폼과 현장의 실험을 강조했다. 다만 보안 집중기의 종료 시점과 에이전트 경제의 정착은 여전히 그의 전망으로 남아 있다.