Select Language

お問い合わせ

会社紹介

サービス

製品

メディアセンター

お問い合わせ

会社紹介

サービス

製品

メディアセンター

Select Language

お問い合わせ

会社紹介

サービス

製品

メディアセンター

今日表示しない

トップへ戻る

セキュリティインサイト

자동화가 빨라질수록, 사람의 판단이 더 중요한 이유... 가트너가 그린 ‘침투테스트의 미래’

김인순

2026/07/29

コンテンツ

AI와 자동화가 침투테스트 시장을 뒤흔들고 있습니다.

2026년 3월, 가트너는 『The Future of Pen Testing Is Continuous Offensive Security Testing』이라는 보고서를 발표했습니다.

이 보고서는 침투테스트 상시화 시대에 초점을 두고 있지만 보안 담당자가 놓쳐서는 안되는 또 다른 포인트가 있습니다. 바로 자동화 시대일수록, 사람의 자리가 어디인지를 더 분명히 하라는 것입니다.

왜 ‘상시’인가

환경이 너무 빨리 바뀝니다. 클라우드는 매일 배포되고, 계정과 권한은 수시로 바뀌며, API는 계속 늘어납니다. 여기에 AI 기반 공격이 속도를 끌어올립니다. 이런 환경에서 1년에 한 두번 하는 보안 점검은, 이미 존재하지 않는 시스템을 찍은 사진 한 장이나 마찬가지 입니다.

그래서 가트너는 ‘연 1~2회’ 침투테스트의 무의미함을 지적하고 ‘상시’로 전환을 주장합니다. 가트너는 이것을 상시 공격 보안 테스트(COST, Continuous Offensive Security Testing)라고 이름 붙였습니다. 새 자산이 노출되거나, 위험한 취약점이 공개되거나, 핵심 통제가 바뀌면, 그때 검증이 자동으로 시작되는 구조입니다.

가트너는 2028년까지 기업 침투테스트 프로그램의 60% 이상이 연 단위 방식을 벗어나, 데브섹옵스(DevSecOps) 파이프라인 안에서 상시 검증으로 운영될 것이라고 예측했습니다.

보고서가 진짜 강조한 것: 휴먼 인 더 루프

가트너는 자동화가 모든 것을 해결할 수 없다고 지적합니다. 그래서 내놓은 결론은 사람과 자동화를 함께 쓰라는 것입니다.

자동화와 AI는 침투테스트를 빠르게 만들고 커버리지를 넓힙니다. 하지만 깊이와 맥락, 창의성이 필요한 지점에서는 전문가 판단이 대체 불가능합니다.

이 내용은 사실 낯선 이야기가 아닙니다.

기업들은 보안 외에 다른 영역에서 AI를 도입해 사용할 때 같은 원칙을 쓰고 있습니다.

기업은 AI 에이전트에게 코드 배포에서 정산, 고객 응대를 맡깁니다. 사람이 하던 단순 작업은 AI로 인해 빨라집니다. 하지만 돈과 데이터가 크게 오가는 결정적 순간에는, 사람이 마지막으로 확인합니다. 이걸 휴먼 인 더 루프(Human in the loop)라 부릅니다.

AI를 폭넓게 쓰되, 꼭 확인해야 하는 지점에 사람의 검증을 넣는 것입니다. 할루시네이션을 줄이고 AI가 놓치는 부분을 인간이 검증하는 구조입니다.

가트너가 말하는 침투테스트의 미래도 정확히 같은 구조입니다. 기업이 다양한 AI를 도입하며 얻은 교훈은 침투테스트에도 그대로 적용됩니다.

도구는 넓게 보고, 사람은 깊게 본다

AI가 잘하는 일과 사람이 잘하는 일은 다릅니다. 이 둘은 경쟁 관계가 아닙니다. 역할이 다를 뿐입니다.

자동화 도구는 ‘넓게, 자주’ 봅니다. 매일 바뀌는 자산, 새로 열린 외부 접점, 반복 확인이 필요한 기본 취약점을 빠르게 훑습니다. 사람이 24시간 붙어서 할 수 없는 일입니다.

전문가는 ‘깊게’ 봅니다. 공격자의 시선으로 우회 경로를 찾고, 흩어진 약점 여러 개를 하나의 침투 경로로 엮습니다. 비즈니스 로직의 허점, 권한의 오남용처럼 맥락을 알아야만 보이는 문제를 잡아냅니다.

AI가 “이 문이 열려 있다”고 알려준다면, 사람은 “그 문으로 들어가면 금고까지 갈 수 있다”를 증명합니다. 열린 문의 개수를 세는 일과, 그 문이 진짜 위험한지 판단하는 일은 전혀 다른 능력입니다.

시장의 트렌드는 여기서 분명해집니다. 자동화를 폭넓게 도입하돼 가장 중요한 길목에는 유능한 인력을 배치합니다. 전부를 사람이 하지도, 전부를 기계에 맡기지도 않습니다. 이 조합의 설계 능력이 곧 경쟁력이 됩니다.

왜 사람이 필요한가: ‘노이즈’라는 함정

AI를 활용한 상시 침투테스트로 바꾸면 필연적으로 따라오는 문제가 있습니다. 취약점 발견이 폭증한다는 것입니다.

가트너는 이 지점을 놓치지 않습니다. 조치할 가치가 있는 것은 ‘우리 환경에서 실제로 익스플로잇 가능한 취약점’입니다.

이게 왜 중요할까요. 대부분의 보안팀은 이미 감당하지 못할 만큼의 보안 경고에 파묻혀 있습니다. 여기에 자동화가 쏟아내는 발견을 그대로 더하면, 팀은 더 안전해지는 게 아니라 마비됩니다.

숫자가 이를 뒷받침합니다.

2025년 한 해에만 신규 취약점(CVE)이 약 4만 8000건 공개됐습니다. 하루 130건이 넘습니다. 전년 대비 약 20% 늘었습니다. 이 목록을 그대로 다 쫓는 것은 애초에 불가능합니다.

그래서 필요한 것이 ‘검증’입니다. 이 취약점이 진짜인가. 우리 시스템에서 실제로 뚫리는가. 뚫린다면 무엇과 어디까지 위험해지는가. 노이즈에서 진짜 위협을 골라내는 판단은 자동화가 가장 서툴고 사람이 가장 잘하는 영역입니다. 자동화가 발견을 늘릴수록, 그것을 걸러낼 사람의 가치는 오히려 올라갑니다.

한 가지 방법으로는 전부를 커버할 수 없다

가트너의 또 다른 경고는 어떤 단일 방법도 전체를 커버하지 못한다는 것입니다.

그래서 침투테스트, 통제 검증, 레드팀, 버그바운티, 공격 노출 검증(AEV)을 상황에 맞게 조합하라고 권합니다. 도구를 하나씩 덧붙여 난립시키지 말고, 하나의 흐름으로 조율(orchestrate)하라는 것입니다.

여기에도 사람의 자리가 있습니다. 어떤 자산에 어떤 방법을 언제 쓸지 결정하는 일. 자동화된 결과를 실제 위험의 우선순위로 번역하는 일. 이것은 오케스트라를 지휘하는 지휘자의 몫이고, 지휘자는 사람입니다.

가트너가 그린 침투테스트의 미래를 한 문장으로 요약하면 이렇습니다.

“자동화로 넓게 감시하고, 사람으로 깊게 판단하라.”

이는 보안만의 이야기가 아닙니다. AI를 도입하는 모든 기업이 지금 배우고 있는 원칙과 정확히 겹칩니다. 자동화는 인간을 대체하기 위한 것이 아니라, 인간이 정말 중요한 판단에 집중하도록 돕기 위한 것입니다.

속도는 AI에게 맡길 수 있습니다. 하지만 “이것이 진짜 위험한가”, “무엇을 먼저 막아야 하는가”라는 질문 앞에서는, 여전히 유능한 사람이 필요합니다. 자동화가 빨라질수록, 그 판단의 가치는 줄어드는 게 아니라 커진다는 사실을 명심해야 합니다.

참고: 가트너, 『The Future of Pen Testing Is Continuous Offensive Security Testing』(Dhivya Poole, Carlos De Sola Caraballo, Mitchell Schneider, 2026년 3월 6일, ID G00845606) 및 동반 구현 보고서. 가트너는 자사 연구 간행물에서 특정 벤더나 제품을 보증하지 않습니다.

CVE 통계는 2025년 공개 CVE 독립 집계 기준(약 48,185건, 전년 대비 약 20%).

김인순

가천대 스타트업 컬리지 겸임교수

전자신문 ICT융합부 데스크 출신으로 20년간 사이버 보안 취재 및 커뮤니케이션 전문가로 활동 중이다.