AI가 해킹하는 시대, 보안 직군에서 진짜 필요한 역량은 무엇일까

요즘은 AI에게 코드를 던져주면 몇 초 안에 취약점을 찾아내고, 스캔 결과를 정리하고, 보고서 초안까지 작성해 줍니다. 얼마 전까지는 사람이 직접 손으로 하던 일인데 말이죠. AI가 이미 다 하는데, 나는 뭘 해야 하지 하는 걱정도 들어요.

해킹, 보안 분야는 꽤 오래전부터 전망이 좋다, 앞으로도 계속 필요할 것이라는 이야기가 자연스럽게 따라다녔는데요. 정보보안 인재 수요가 꾸준히 높고 다른 직군보다 상대적으로 안정적이라는 이야기들이요. 실제로 정부에서도 2022년부터 사이버 보안 인재 10만 명을 키우겠다는 계획을 추진해왔고, 2025년 말 기준으로 3년 만에 8만 명을 배출했다고 발표하기도 했습니다.

막상 채용 공고들을 찾아보면 기술 역량만큼이나 커뮤니케이션 역량을 공통적으로 요구하고 있어요. AI가 취약점을 찾아주는 시대에 왜 뜬금없이 커뮤니케이션이 필요할까요?
이번 게시글에서는 지금 보안 직군에서 진짜로 필요한 역량이 무엇인지 짚어볼게요.

이미 실무에서 활용하는 LLM

CVE 데이터베이스를 학습한 모델은 알려진 취약점 유형을 순식간에 분류하고, 코드에서 잠재적으로 위험한 부분을 표시해 줍니다. 예전에는 사람이 직접 하나씩 찾아야 했던 것을 이제는 LLM이 대신해주는 것이죠.

이건 언젠가 이렇게 될 것이라는 가능성의 이야기가 아니라 이미 일어나고 있는 일이기도 해요. Cybersecurity Insiders가 보안 리더 739명을 대상으로 조사한 Pulse of the AI SOC Report(2025)를 보면 AI 기반 SOC 도구를 이미 도입했거나 파일럿·평가 중이라고 답한 조직이 87%였습니다. 핵심 업무에 실제로 AI를 쓰고 있다고 답한 곳도 31%였어요. 조사 시간을 25% 이상 줄였다고 답한 조직은 60%에 달해요.

물론 AI가 완벽한 건 아니에요. 논리적 맥락을 제대로 이해하지 못하거나 환경에 따라 다르게 작동하는 취약점을 잘못 판단하는 경우도 있습니다. 하지만 단순 반복적인 스캔과 분류 작업은 사람 못지않게, 때로는 사람보다 더 빠르게 결과를 내기도 해요. 앞으로 기술이 더 좋아질 것을 예상한다면 취약점을 찾는 기술 자체만으로 사람이 경쟁력을 유지하기는 점점 어려워질 겁니다.

Simbian AI가 2026년 초에 발행한 아티클 Will AI Replace Human SOC Analysts?에서 이런 변화를 경보를 처리하는 사람에서 AI를 감독하는 사람으로의 전환이라고 이야기했어요. AI가 생성한 결과를 그대로 활용하는 것이 아니라 그 결과를 의심하고 심문하는 역할을 사람이 해야 한다는 것이죠.

그러면 취약점을 찾는 기술 말고 AI 앞에서도 경쟁력을 가지려면 어떤 역량이 필요할까요?

보안 사고, 기술 실패보다 소통 단절이 원인

취약점이 발견됐는데 개발팀에 제대로 전달되지 않아 패치가 미뤄지거나, 리스크의 심각도를 경영진이 오해해서 예산 승인이 늦어지는 등의 상황은 실제로 일어날 수 있는 일이에요. 보안 인력 교육 플랫폼 Iceberg는 한 분석 글에서 보안 사고는 기술 결함이 아니라 협업 단절과 소통 실패에서 비롯된다고 짚기도 했어요.

마이크로소프트의 아태지역 사이버 보안 고문 압바스 쿠드라티는 CIO Korea 인터뷰에서 같은 문제를 얘기한 적 있어요. "기술 언어를 비즈니스팀이 이해할 수 있는 언어로 바꾸지 못하면 보안 개선 조치가 지연된다." 이 사실을 깨닫고 나서 대중 연설 훈련 모임인 토스트마스터즈에 정기적으로 참석했고, 6~8개월 만에 청중 앞에서 메시지를 전달하는 기술을 익혔다고 해요. 그리고 이후 승진 속도가 눈에 띄게 빨라졌다고 회고하기도 했습니다.

기술을 알고 있는 것과 그걸 다른 사람이 행동할 수 있도록 전달하는 것은 전혀 다른 능력이에요. 커리어가 올라갈수록 기술보다 전달하는 능력의 비중이 점점 더 요구되기도 합니다. 말로도, 글로도 전달하는데요. 문제 풀이부터 보고서 작성까지 생각을 문서로 옮기는 능력이 자주 필요합니다.

‘이만큼 잘 해냈다’가 아니라 ‘왜 이 문제가 발생했는가’

보안 업무의 결과물은 종종 발견한 취약점의 목록이 되기도 해요. 하지만 그 목록 자체가 가치를 만들지는 않아요. 그걸 읽는 사람이 무언가를 실행할 수 있게 될 때 만들어집니다.

한빛플러스가 모의해킹 컨설턴트를 인터뷰한 아티클 모의해킹 컨설턴트 3박자: 보고서 작성에서 관련 내용이 언급되는데요. 사원 수준에서는 침투 작업에 6시간, 보고서 작성에 2시간을 쓰지만, 책임급이 되면 하루를 온전히 보고서 작성에만 쓰는 날이 생긴다고 해요. 직급이 올라갈수록 기술을 수행하는 시간이 줄고 기술의 의미를 설명하는 시간이 늘어나는 것이죠.

이건 모의해킹만의 이야기가 아니에요. 보안 운영, 취약점 진단, 인시던트 대응 어디서든 비슷한 구조가 반복됩니다. 결국 내가 발견한 것을 다른 사람이 실행할 수 있는 형태로 정리하는 능력, 즉 테크니컬 라이팅 역량이 커리어를 지속적으로 움직이는 힘이 됩니다.

테크니컬 라이팅이란?

테크니컬 라이팅은 문장을 예쁘게 쓰는 기술이 아니에요. 내용이 기술적으로 정확하면서도 글에서 말하는 내용을 읽는 사람이 이해할 수 있도록 만드는 능력에 가깝습니다.

보안 보고서를 예로 들면, 개발팀은 이 취약점이 왜 발생했고 어떻게 고치면 되는지를 알고 싶어 하고, 경영진은 이 문제가 사업에 어떤 리스크를 만드는지, 고객은 지금 내 데이터가 안전한지를 알고 싶어 해요. 같은 발견 사항이어도 글을 읽는 사람에 맞춰 세 방향으로 다르게 전달할 수 있어야 합니다. 보안을 전혀 모르는 사람이 읽어도 판단할 수 있는 문서를 쓰는 것이 테크니컬 라이팅이에요.

보안 커리어 가이드를 오랫동안 작성해 온 다니엘 미슬러(Daniel Miessler)는 자신의 가이드 How to Build a Cybersecurity Career에서 글쓰기를 성공적인 커리어들이 공통 기본기로 꼽았어요. 명확하게 쓴다는 건 명확하게 생각한다는 것과 같다고 하면서요.

오탐 필터링과 판단력

LLM이 만들어낸 스캔 결과를 그대로 보고서에 붙여 넣으면 오탐(false positive)이 섞여 있을 가능성이 높아요. 환경 설정에 따라 실제로는 문제가 아닌 항목이 경고로 표시되거나, 반대로 맥락상 취약점으로 볼 수 있는 항목은 누락될 수도 있어요.

새벽 3시, 임원 계정에서 평소와 다른 국가의 IP로 로그인이 감지된다면 AI 도구는 곧바로 높은 위험으로 분류할 수 있어요. 그런데 이게 실제 침해인지, 해외 출장 중 정상적으로 접속한 건지는 알림 하나만으로는 알 수 없습니다. 결국 로그를 직접 열어 접속 패턴을 확인하고, 출장 일정과 대조하고, 판단 근거를 문서로 남기는 건 사람의 몫입니다. (물론 오탐률 자체를 줄이려는 시도는 계속되고 있어요. 티오리가 만든 Xint는 여러 AI 에이전트가 코드베이스 전체를 훑고 발견한 취약점을 엔진 내부에서 스스로 재검증하며 오탐률을 약 20%까지 낮추는 방식을 사용해요. 업계에서는 낮은 축에 속하는 수치입니다.)

INE가 2026년 초에 발행한 아티클 The Top 5 Skills for Cyber Defenders in 2026에서는 AI 분류가 시간을 아껴주지만, 틀린 이야기도 자신 있게 설명할 수 있다고 말합니다. AI가 위험도 낮음이라고 결론 내린 항목도 결론이 아니라 가설로 받아들이고, 로그를 직접 열어 검증하는 태도가 필요한 것이죠.

ECC University도 Cybersecurity Skills You Need to Stay Ahead in 2026에서 비슷한 얘기를 하면서 명확함이 사이버 보안 예산을 결정한다고 덧붙였어요. 기술적으로 정확한 판단을 내리는 것과 그 판단을 조직이 이해할 수 있는 말로 옮기는 것은 다른 능력이고, 실무에서는 후자가 예산과 영향력을 좌우하는 경우가 많다는 것이죠.

지금 우리가 준비할 수 있는 것

이미 많은 패턴을 빠르게 처리하는 LLM과의 경쟁에서 이기려는 것보다, LLM이 만들어낸 결과를 검증하고 잘 활용하고 다른 사람에게 정확히 설명하는 역량을 쌓는 것이 현실적인 방향이에요.

지금 당장 어떤 걸 할 수 있을까요?

Wargame 풀이 기록을 보고서 형태로 작성해 보세요.
문제를 풀었다는 사실보다 왜 이 접근이 통했고 어떤 전제가 빠졌으면 통하지 않았을지를 정리해 보는 것입니다. 드림핵에서 워게임 문제를 풀어보고 기술팀이 아닌 사람에게 설명한다고 가정하고 정리해 보세요.

발견한 것과 조치 사항을 분리하는 연습을 해보세요.
SQL injection이 발견됐다는 것과 이 취약점이 실제로 악용될 경우 어떤 데이터가 유출되고 서비스에 어떤 영향을 주는지, 지금 무엇을 조치해야 하는지 정리하는 문장은 완전히 다른 글이에요. 어떻게 조치할 수 있을지를 생각하고 작성하는 것이 테크니컬 라이팅의 시작점으로 볼 수 있습니다.

비보안 직군 지인에게 설명해 보세요.
개발자나 보안 전공자가 아닌 친구에게 워게임에서 찾은 취약점을 설명한다고 가정해 보세요. 상대방이 이해할 수 있는 언어로 바꾸는 과정에서, 본인이 무엇을 알고 무엇을 모르는지 선명하게 보이기 시작할 것이에요. 설명이 어렵다면 아직 자신도 완전히 이해하지 못한 부분이 있다는 신호일 수도 있습니다.

Writeup을 공개적으로 남겨두세요.
면접에서 문제 해결 경험을 이야기할 때, 워게임에서 배운 것을 Writeup으로 정리해두면 사고하는 과정을 제대로 설명할 수 있는 사람인지를 보여줄 수 있습니다. 기술 역량 자체보다 그 역량을 어떻게 전달하는지를 볼 수 있기 때문이에요.

자주 하는 질문

그래도 기술 실력이 기본 아닌가요?

맞아요. 기술력이 불필요하다고 말하는 것이 아닙니다. 기술적 정확성이 없으면 오탐을 걸러낼 수 없고 리스크의 심각도를 판단할 수도 없어요. 기술력은 전제입니다. 다만 기술력만으로는 더 이상 충분하지 않다는 것이죠. LLM이 기술적 작업의 상당 부분을 처리할 수 있게 된 지금, 기술도 되고 그 의미도 제대로 설명할 수 있는 사람과 기술만 되는 사람의 차이는 커지고 있습니다.

커뮤니케이션 역량은 어떻게 훈련하나요?

가장 접근하기 쉬운 방법은 Writeup을 작성하는 것이에요. 풀이 자체보다 왜 이 접근이 통했는지 언어로 정리하는 과정이 핵심이에요. 처음에는 나만 볼 수 있도록 정리해도 괜찮습니다. 풀이 과정을 기록해두는 습관을 들이면 자연스럽게 기술적 사고를 문장으로 변환하는 훈련이 됩니다.

정말 취업할 때 커뮤니케이션 역량이 평가되나요?

채용공고에서 직접 언급하는 곳도 많아요. 기술 면접에서 문제를 풀고 나서 풀이 과정을 설명하도록 요구하는 곳도 있어요. 보고서 작성 능력을 보는 경우도 있고 Writeup을 포트폴리오로 보는 곳도 있습니다. 면접관 입장에서는 지원자가 갖고 있는 기술 역량을 팀원이나 고객에게 전달할 수 있는지를 판단해야 하기 때문이에요.

보안 해킹 분야는 전망이 좋다는 말은 여전히 유효할 수 있어요. 다만 그 전망을 지키는 방법이 조금씩 달라지고 있습니다. LLM보다 빠르게 취약점을 찾는 경쟁이 아니라 LLM이 내놓은 결과를 검증하고 그 의미를 다른 사람에게 정확히 전달하는 역량을 쌓는 쪽이 더 현실적인 방향인 것처럼요.

드림핵 워게임 문제를 풀고 그 과정을 Writeup으로 기록해 보는 것으로 연습해 보세요.

👉 드림핵 워게임 바로가기