서론: 방어비 $240B, 피해액 $9.5T — 40배의 격차

2026년 전 세계 사이버보안 지출은 약 2,440억 달러에 이를 전망이다(Gartner). 그런데 같은 해 사이버범죄 피해액은 9.5조 달러를 돌파한다(Cybersecurity Ventures). 방어에 1달러를 쓸 때 공격자가 40달러의 피해를 만들어내는 구조다.

이 비대칭은 AI로 인해 더 가파르게 벌어지고 있다. Drew Breunig는 최근 “Cybersecurity Looks Like Proof of Work Now”라는 글에서, 보안이 이제 암호화폐의 Proof of Work처럼 연산량을 쏟은 만큰만 안전한 구조로 변했다고 주장했다. 이 글은 어떤 근거를 갖고 있고, 반론은 무엇인가?

TL;DR
– Anthropic Mythos가 32단계 네트워크 공격을 시도당 $12,500(1억 토큰)에 수행 — 수확 체감 없음
– 보안 지출 $240B vs 피해 $9.5T: 40:1 비대칭이 AI로 가속
– AI 피싱 클릭률 54%(수동 12%의 4.5배), 딥페이크 공격 2,137% 증가
– 방어자도 AI로 SOC 조사 시간 90% 감축 가능 — 그러나 배치 속도에서 공격자가 앞선다
– 한국 보안 시장 4조 원 돌파 예상, 16.1% 성장

“Proof of Work” 비유의 배경

Breunig의 글은 Anthropic이 2026년 4월 공개한 Claude Mythos의 AISI(AI Safety Institute) 독립 평가에서 출발한다. Mythos는 32단계 네트워크 공격 시뮬레이션(사람이 20시간 걸리는 작업)을 10회 시도 중 3회 성공했는데, 시도당 1억 토큰(약 $12,500), 전체 테스트 비용 $125,000이 들었다.

핵심은 수확 체감(diminishing returns)이 관찰되지 않았다는 점이다. 토큰을 더 쏟으면 더 많은 취약점이 나온다. 시도당 $12,500은 개인 범죄자에게 비싸 보이지만, 랜섬웨어 평균 몸값 $2~3M 대비 ROI가 수백 배에 달하며 국가 후원 공격자에게는 사소한 비용이다. 이것이 Proof of Work 비유의 근거다 — 시스템을 방어하려면 공격자가 익스플로잇에 쓸 토큰보다 더 많은 토큰을 취약점 탐색에 선제적으로 소비해야 한다.

Breunig의 3가지 함의

1. 오픈소스가 전략 자산이 된다: 공동 투자로 취약점 탐색 비용을 분산해야 개별 기업이 감당할 수 있다
2. 개발 워크플로우가 3단계로 확장: 기능 개발 → 코드 리뷰 → 자율 익스플로잇 헌팅
3. 보안이 영구 비용 항목으로 전환: 일회성 감사가 아니라, 연속적으로 연산을 투입하는 운영 비용

비대칭의 실체: 공격 비용은 내려가고 방어 비용은 올라간다

공격자의 AI 레버리지

AI는 공격의 진입장벽을 무너뜨리고 있다.

2025년 9월에는 작전의 80~90%를 AI가 독립 수행한 최초의 완전 자율 AI 사이버공격이 기록됐다. 공격자에게는 규정 준수도, 조달 사이클도, 이사회 승인도 필요 없다.

방어자의 AI 무기

방어 측도 AI를 도입하고 있지만, 배치 속도에서 구조적 제약이 있다.

IBM 데이터에 따르면 AI+자동화를 활용한 기업의 평균 침해 비용은 $3.62M으로, 미활용 기업($5.52M) 대비 $1.9M 절감이다. SOC 자동화만으로도 조사 시간 90% 감축, 알림 처리 용량 10배 확대가 가능하다.

그러나 문제는 배치 속도다. PwC는 “자율 에이전트가 기계 속도로 탐색·검증·익스플로잇하면 취약점 발견에서 침해까지의 시간 격차가 붕괴한다”고 경고한다. 방어자는 도입 검증, 규정 준수, 인력 교육을 거쳐야 하지만 공격자는 즉시 투입한다. 도구는 동등해도 배치 속도는 비대칭이다.

인력 갭: 480만 명이 부족하다

ISC2 2025 보고서에 따르면 글로벌 보안 인력은 550만 명이지만 부족 인원은 480만 명에 달한다. 올해 보고서는 숫자보다 스킬 갭에 초점을 전환했다 — 응답자의 95%가 팀 내 스킬 갭을 인지하고, 59%는 “심각하거나 중대한” 수준으로 평가했다(2024년 44%에서 급증). AI 보안과 클라우드 보안이 가장 급박한 역량 공백이다.

중소기업은 더 심각하다. 미국 중소기업의 평균 현금 보유액은 $12,100인데 평균 사이버보험 청구액은 $264,000 — 사실상 지급불능 구조다. 60%의 중소기업이 사이버공격 후 6개월 내 폐업한다.

Proof of Work 비유의 한계

Hacker News 토론에서 나온 반론은 경청할 가치가 있다.

1. 패치 병목: 취약점을 찾는 것은 절반이다. AI가 하루에 수백 개를 찾아줘도 팀에 패치 대역폭이 없으면 무의미하다. 보안은 발견이 아니라 실행이 병목이다.

2. 사회공학 미포함: 실제 침해 대부분은 기술적 익스플로잇이 아닌 인간 실수와 피싱이다. 토큰을 아무리 쏟아도 직원이 링크를 클릭하면 끝이다.

3. 정형 검증이 우선: Wireguard처럼 단순한 코드베이스에 정형 검증을 적용하는 것이, 복잡한 코드에 토큰을 무차별 투입하는 것보다 구조적으로 우월하다.

4. 아키텍처가 본질: 아키텍처 설계 품질이 연산량보다 중요하다. 복잡한 코드베이스에 토큰을 쏟아도 근본 원인이 해결되지 않는다.

그래도 PoW 비유가 유용한 이유는, 보안이 “한 번 하면 끝”이 아니라 “계속 연산을 투입해야 유지되는 것”이라는 인식 전환을 돕기 때문이다. 예산 확보를 위해 경영진에게 설명할 때 특히 효과적이다.

한국 보안 시장: 4조 원 시대 진입

한국 사이버보안 시장도 같은 흐름 위에 있다.

• 2026년 시장 규모: 4조 88억 원 전망 (전년 대비 16.1% 성장)
• 최고 성장 분야: 클라우드 보안 2,646억 원 (17.9% 성장률)
• 정보보호 기업: 1,780개사 (4.2% 증가)
• 침해사고: 2025년 상반기 KISA 신고 1,034건 (전년 동기 대비 15% 증가)

범정부 정보보호 종합대책과 통신 3사의 사이버보안 강화 정책이 투자를 견인 중이지만, 글로벌 대비 시장 규모는 여전히 작다. 중소기업 보안 지출 비중은 IT 예산의 5% 미만이 29%로, 글로벌 추세와 같은 딜레마를 공유한다.

누가 주목해야 하나

• CISO/보안 의사결정자: “Proof of Work” 프레임은 보안 예산을 연간 운영 비용(OpEx)으로 재분류하는 논거로 활용할 수 있다. Gartner $240B, 침해 비용 $4.44M 통계와 함께 이사회에 제시하라.
• 개발팀 리드: 개발 워크플로우에 “자율 익스플로잇 헌팅” 단계를 추가하는 것을 실험하라. GitHub Copilot Autofix, Snyk DeepCode AI, Semgrep AI가 이미 이 방향으로 움직이고 있다.
• 오픈소스 메인테이너: AI 취약점 헌팅의 공동 비용 분담 모델에 주목하라. OpenSSF + Alpha-Omega에 Anthropic이 $2.5M을 투입한 이유가 여기 있다.
• 홈서버/셀프호스팅 운영자: “연산 비용 = 보안 수준”은 개인 인프라에도 적용된다. 자동 업데이트, fail2ban, AI 기반 로그 모니터링을 최소 방어선으로 점검하라.

참고 링크

• Drew Breunig — Cybersecurity Looks Like Proof of Work Now
• Gartner — 2025 Information Security Spending Forecast
• IBM — Cost of a Data Breach 2025
• ISC2 — 2025 Cybersecurity Workforce Study
• 보안뉴스 — 2026년 사이버보안 시장 4조 원 돌파 전망

다음 글 추천: GPT-5.4가 Preparedness Framework에서 High 등급을 받은 구체적 이유 — 벤치마크와 방어자 전용 모델 GPT-5.4-Cyber 해부.

관련 글

• GPT-5.4 사이버보안: High 등급 근거와 GPT-5.4-Cyber (2026)
• Ollama를 멈춰야 할 이유와 2026년 로컬 LLM 대안 가이드
• 2026 오픈소스 위기론: Cal.com 클로즈드 전환과 Strix 반박 해부