원문: Cybersecurity’s Future Belongs to Startups — Gigi Levy-Weiss (NFX) 발행일: 2026-09-13 (NFX 원문 메타데이터 기준) 번역일: 2026-09-17 형식: 원문 전문·축어역 대신 핵심 논지를 재구성한 심층 요약 노트
핵심 논지
대형 사이버보안 기업들이 세워 온 방어 요새는 운영체제(OS) 주변을 지키는 데 최적화되어 있지만, 공격의 중심은 이미 애플리케이션 계층(Application Layer)으로 이동했다. 방화벽, 안티바이러스, 엔드포인트 탐지·대응(EDR)은 여전히 필요하지만, 운영체제를 통제하면 보안도 통제할 수 있다는 오래된 전제만으로는 지금의 소프트웨어 생태계를 설명할 수 없다.
현대의 애플리케이션은 끊임없이 갱신되는 코드 패키지, 플러그인, 확장 프로그램, AI 모델과 업데이트의 조합이다. 클라우드와 DevOps가 소프트웨어를 빠르게 배포하게 만든 덕분에 창의성과 개발 속도는 높아졌지만, 조직 안으로 들어오는 구성요소를 기업이 완전히 파악하거나 통제하기는 더 어려워졌다. 보이지 않는 의존성과 동적으로 변하는 실행 환경이 새로운 공격면(Attack Surface)을 만들고 있다.
이런 전환은 기존 사업자에게는 낡은 구조를 버리기 어려운 부담이 되지만, 스타트업에게는 새 위협을 가장 먼저 정의하고 제품으로 바꿀 수 있는 기회가 된다. 사이버보안의 역사는 소프트웨어가 바뀔 때마다 공격 방식과 방어 산업이 함께 재편되어 왔다는 사실을 보여준다.
소프트웨어 변화가 만든 보안 산업의 세대교체
1980년대 초 소프트웨어는 주로 한 대의 컴퓨터 안에서 실행되는 온프레미스·단일 사용자 시스템이었다. 당시 공격면은 개별 기계 자체였고, 플로피 디스크를 통해 자기 복제하던 1986년의 Brain 바이러스처럼 물리적 매체를 타고 확산되는 악성코드가 대표적인 위협이었다.
인터넷이 1980년대 후반과 1990년대 초에 확산되면서 공격면은 컴퓨터에서 네트워크로 넓어졌다. 1988년 Morris 웜은 메일 시스템의 백도어를 악용해 MIT에서 Berkeley까지 며칠 안에 퍼졌고 수천 대의 컴퓨터를 감염시켰다. 네트워크에 연결된 컴퓨터가 많아질수록 침투 경로가 급격히 늘어난다는 사실이 드러나면서, 미국은 최초의 Computer Emergency Response Team을 만들었고 McAfee·Trend Micro·Symantec 같은 초기 보안 기업이 운영체제에 덧붙이는 안티바이러스 제품을 공급했다.
이메일 바이러스와 탐지를 피하기 위해 계속 형태를 바꾸는 악성코드가 등장하자 네트워크 경계 자체를 지키는 방화벽이 중요해졌다. 2000년대 인터넷 붐은 다시 한 번 변화를 가속했고, 클라우드 컴퓨팅은 애플리케이션을 개발·배포하는 방식과 데이터·워크로드의 위치를 근본적으로 바꾸었다.
DevOps 환경에서는 애플리케이션이 빠르게 만들어지고 운영 중에도 수시로 수정된다. 데이터와 작업이 전 세계의 가상 서버로 분산되면서 운영체제만 보호하는 방식은 충분하지 않게 되었고, 보안을 코드에 내장하는 DevSecOps가 부상했다. Palo Alto Networks의 차세대 방화벽, CrowdStrike의 클라우드 관리형 엔드포인트 보안, Snyk의 실시간 코드 스캐닝, Wiz의 클라우드 보안은 이 새로운 단계에 맞춰 성장한 사례다.
에이전트 애플리케이션 계층으로 이동한 전장
2025년 9월부터는 에이전트 애플리케이션 계층이 새로운 보안 전장으로 떠올랐다. 기업용 애플리케이션은 단일 실행 파일이 아니라 수많은 코드 패키지, 플러그인, 확장 프로그램, AI 모델과 자동 업데이트가 결합된 생태계가 되었고, 기업 보안팀은 조직에 유입되는 소프트웨어를 예전만큼 투명하게 볼 수 없게 되었다.
Koi Security는 이 변화를 조기에 포착한 사례다. 창업자 Amit Assaraf는 기존 보안 시스템이 애플리케이션 생태계의 변화를 제대로 반영하지 못한다고 판단했고, 실제 공격이 가능한지 검증하기 위해 ‘Darcula Official’이라는 가짜 VS Code 테마 확장 프로그램을 만들었다. 이 확장 프로그램은 일주일 만에 세계 300곳이 넘는 조직을 감염시켰고, 그 안에는 한 국가의 법원 네트워크도 포함됐다.
Koi의 실험은 기업이 설치하는 확장 프로그램 하나가 운영체제 경계 바깥에서 거대한 침투 경로가 될 수 있음을 입증했다. NFX는 이런 문제의식과 소프트웨어 변화에서 새로운 위협이 필연적으로 발생한다는 패턴을 근거로 Koi에 투자했고, Koi는 이후 Palo Alto Networks에 4억 달러로 인수됐다.
2026년에는 공격 체인의 일부를 에이전트가 자율적으로 실행하는 에이전트형 해킹(Agentic Hacking)이 확산될 가능성이 커지고 있다. AI가 공격에 동원되면 공격 속도와 규모가 함께 커질 수 있으므로, AI 기반 공격을 방어하려면 AI 기반 방어가 필요하다. 방어 기술을 강화할 수 있는 시간은 제한적이며, 이 제한된 시간 자체가 새로운 보안 스타트업에게 시장 진입 창을 제공한다.
끊임없는 군비 경쟁이 만드는 창업 기회
보안 산업은 소프트웨어의 진화와 공격자의 적응이 반복되는 영구적인 군비 경쟁에 가깝다. 좋은 측이 새로운 방식으로 소프트웨어를 구축할 때마다 나쁜 측은 새로운 공격 벡터를 찾고, 방어 측은 다시 제품과 운영 방식을 바꿔야 한다.
이 주기는 기존 기업이 따라가기 전에 취약점을 발견하고, 그 취약점만이 아니라 새로운 환경 전체를 이해하는 스타트업에게 유리하다. 최근 5년 동안에도 수십 개의 사이버보안 스타트업이 10억 달러 이상의 기업으로 성장했지만, 단순히 시장에 진입하는 것만으로는 충분하지 않다.
초기 제품의 출발점은 다른 사람이 보지 못한 문제를 발견하고, 자신만이 해결할 수 있는 독특한 관점을 갖는 일이다. Koi가 애플리케이션 계층의 취약점을 일찍 포착한 것처럼, AI 기반 방어에서도 새로운 공격면을 남들보다 먼저 찾아내면 제품-시장 적합성(Product-Market Fit)의 절반을 확보할 수 있다.
실제 고객의 긴급성은 성장 속도로 나타난다. Koi는 Wiz, Snyk, Vanta, Figma, Loom보다 빠르게 연간반복매출(ARR) 100만 달러에 도달했고, 이는 고객이 자신이 취약하다는 사실을 입증받는 순간 보안 솔루션을 받아들일 강한 이유를 갖는다는 점을 보여준다.
새로운 시대의 스타트업 우위와 방어력
전장이 바뀌면 기존 기업의 규모, 고객 기반, 기존 아키텍처 같은 강점이 오히려 과거 패러다임에 묶어 두는 족쇄가 된다. 스타트업은 미래의 위협을 전제로 제품을 설계하고, 대규모 조직의 조정 비용 없이 빠르게 움직이며, 현대 소프트웨어 생태계를 이해하는 인재를 끌어올 수 있다.
보안 제품은 고객에게 첫날부터 명확한 가치를 보여줄 수 있다는 점도 스타트업에 유리하다. 실제 침해 가능성을 증명하면 고객 신뢰를 단번에 얻을 수 있으므로, 추상적인 장기 비전보다 구체적인 취약점과 즉각적인 방어 효과가 강력한 시장 진입점이 된다.
다만 새로운 취약점을 먼저 발견하는 것만으로 장기적인 방어력(defensibility)이 완성되지는 않는다. 초기의 웨지(wedge)는 경쟁자보다 앞서 출발하게 해주지만, 시간이 지나면 네트워크 효과(Network Effects), 강한 브랜드, 고객 업무에 깊이 내재화되는 임베딩(Embedding)처럼 여러 층의 방어력을 쌓아야 한다.
창업자가 얻을 수 있는 결론은 보안 시장의 다음 거대한 기회가 이미 완성된 범주가 아니라 아직 이름 붙지 않은 공격면에 있다는 점이다. 소프트웨어의 변화가 멈추지 않는 한 새로운 방어 산업이 계속 생겨나며, 변화의 방향을 일찍 보고 그 현실에 맞게 제품을 설계하는 팀이 기존 강자를 앞지를 수 있다.
핵심 요약 (20줄)
- 대형 사이버보안 기업의 방어 요새는 운영체제 주변을 지키도록 만들어졌지만 공격의 중심은 애플리케이션 계층으로 이동했다.
- 방화벽과 엔드포인트 보안만으로는 코드 패키지·플러그인·확장 프로그램·AI 모델이 결합된 현대 애플리케이션의 위험을 모두 파악하기 어렵다.
- 소프트웨어가 빠르게 갱신될수록 창의성과 배포 속도는 높아지지만 조직이 유입되는 구성요소를 통제하기는 더 어려워진다.
- 1980년대 초에는 개별 컴퓨터가 주된 공격면이었고 Brain 바이러스가 플로피 디스크를 통해 자기 복제했다.
- 1988년 Morris 웜은 네트워크와 메일 시스템의 취약점이 수천 대의 컴퓨터를 며칠 만에 감염시킬 수 있음을 보여줬다.
- 네트워크 확산은 Computer Emergency Response Team의 설립과 McAfee·Trend Micro·Symantec의 초기 안티바이러스 사업을 촉진했다.
- 인터넷 붐과 클라우드 컴퓨팅은 데이터와 작업을 가상 서버 곳곳으로 분산해 운영체제 중심 보안의 한계를 드러냈다.
- DevSecOps는 보안을 코드에 내장했고 Palo Alto Networks·CrowdStrike·Snyk·Wiz가 새로운 방어 계층을 대표했다.
- 2025년 9월 이후 에이전트 애플리케이션 계층은 코드·확장 프로그램·AI 모델·업데이트가 뒤섞인 새로운 보안 전장이 됐다.
- Koi Security는 기존 보안 도구가 확장 프로그램 생태계를 놓치고 있다는 가설을 가짜 VS Code 테마로 검증했다.
- Koi의 ‘Darcula Official’ 확장 프로그램은 일주일 만에 300곳이 넘는 조직과 한 국가의 법원 네트워크를 감염시켰다.
- Koi는 애플리케이션 계층의 위협을 조기에 포착한 결과 Palo Alto Networks에 4억 달러로 인수됐다.
- 에이전트형 해킹은 AI가 공격 체인의 일부를 자율적으로 실행하게 해 공격의 속도와 규모를 키울 수 있다.
- AI 기반 공격에 대응하려면 AI 기반 방어가 필요하며 제한된 방어 준비 기간이 스타트업의 새로운 시장 창을 만든다.
- 소프트웨어 진화와 공격자 적응이 반복되는 영구적 군비 경쟁은 새로운 관점을 가진 스타트업에 지속적인 기회를 제공한다.
- 최근 5년 동안 수십 개의 사이버보안 스타트업이 10억 달러 이상의 기업으로 성장했지만 시장 진입만으로는 차별화되지 않는다.
- 초기 창업자는 기존 기업이 보지 못한 취약점을 발견하고 자신만의 해결 관점을 제품의 출발점으로 삼아야 한다.
- Koi가 여러 유명 스타트업보다 빠르게 ARR 100만 달러에 도달한 사실은 검증된 취약점에 대한 고객의 높은 구매 긴급성을 보여준다.
- 스타트업은 변화한 위협에 맞춰 설계하고 조정 비용 없이 움직이며 현대 소프트웨어 생태계를 아는 인재를 확보할 수 있다.
- 초기 취약점이라는 웨지를 네트워크 효과·브랜드·고객 업무 임베딩으로 확장하는 팀이 보안 시장에서 장기 방어력을 확보한다.