아론 풀커슨, OPAQUE CEO – 인터뷰 시리즈

아론 풀커슨은 OPAQUE의 CEO이자 기업용 소프트웨어 분야의 오랜 창업가이며 오픈소스 선구자입니다. 20년 넘게 신뢰, 데이터, 디지털 전환에 초점을 맞춘 기술 플랫폼을 구축하고 확장해 왔습니다. 2023년 OPAQUE에 합류하기 전에는 MindTouch를 설립해 널리 쓰이는 기업용 지식 관리 플랫폼으로 성장시키는 데 기여했으며, 이후 이 회사는 NICE Systems에 인수됐습니다. 그 뒤에는 ServiceNow Impact 출시를 이끌었습니다. 이는 ServiceNow 역사상 가장 빠르게 성장한 사업 부문 중 하나입니다. 풀커슨은 경력 내내 신기술, 기업용 소프트웨어, 개방형 생태계가 만나는 영역에서 일하면서 여러 기술 스타트업과 조직에 자문해 왔습니다. 최근에는 데이터 기밀성을 보호하는 AI인 Confidential AI의 주요 지지자로 활동하며, AI 시스템이 기업의 핵심 업무 절차에 통합될수록 개인정보 보호, 거버넌스, 검증 가능한 신뢰가 기본 요건이 될 것이라고 주장합니다.

OPAQUE는 유명한 UC 버클리 RISELab에서 출발한 Confidential AI 기업입니다. 이 연구 생태계는 Apache Spark와 Databricks 같은 기술의 탄생에도 기여했습니다. 회사는 기업이 매우 민감한 데이터를 대상으로 AI 모델, 에이전트, 업무 절차를 실행하면서도 암호학적으로 검증 가능한 개인정보 보호 및 규정 준수 보장을 유지할 수 있는 플랫폼을 개발했습니다. AI 혁신과 데이터 보안 중 하나를 선택하도록 강요하는 대신, OPAQUE는 기밀 컴퓨팅, 암호화된 실행 환경, 하드웨어 증명을 거친 실행을 활용해 AI 처리 전·중·후에 민감한 정보를 보호합니다. 금융, 보험, 의료, 첨단 기술처럼 엄격한 규제를 받는 산업을 위해 설계됐으며, 고객과 파트너로는 ServiceNow (NOW ), Anthropic, Accenture를 비롯해 독점 데이터나 규제 대상 데이터를 노출하지 않고 AI 프로젝트를 시범 단계에서 실제 운영으로 옮기려는 기업들이 있습니다.

여러 기업용 플랫폼을 구축하고 확장해 오셨습니다. OPAQUE의 CEO를 맡고 다음 여정을 신뢰, 개인정보 보호, AI 거버넌스에 집중하게 된 계기는 무엇인가요?

저는 거의 20년 동안 기업용 플랫폼을 구축했습니다. 처음에는 지금도 연간 10억 명이 사용하는 MindTouch에서 일했고, 이후 ServiceNow에서 회사의 가장 빠르게 성장한 제품을 만들었습니다. 두 경험 모두 같은 교훈을 줬습니다. 아무리 강력한 기술도 사람들이 신뢰할 때에만 성공한다는 것입니다.

OPAQUE 공동 창업자인 Raluca Ada Popa, Ion Stoica, Rishabh Poddar를 만났을 때 드문 재능과 비전의 조합을 봤습니다. Raluca는 개인정보 보호와 보안 분야에서 세계적으로 손꼽히는 연구자입니다. Ion은 Databricks를 공동 창업했습니다. Rishabh는 OPAQUE의 기반이 된 핵심 암호학 시스템을 구축했습니다.

UC 버클리 RISELab에서 이들은 한 세대에 영향을 줄 만한 돌파구를 만들어 냈고, 저는 이를 즉시 알아봤습니다. 모든 AI 업무 절차에서 데이터가 비공개 상태로 유지된다는 암호학적 증거였습니다. 약속도, 정책도 아닙니다. 증거입니다.

AI가 향하는 방향, 즉 에이전트가 기업 시스템을 넘나들며 기계 속도로 자율적으로 행동하는 미래를 보면서 Vint Cerf가 30년 동안 경고해 온 것과 같은 공백을 봤습니다. 신뢰 계층이 없다는 점입니다. 인터넷은 사람이 안전장치 역할을 했기에 그 계층 없이도 살아남았습니다. 에이전트 중심 웹에서는 그런 여유가 없을 것입니다. 바로 그 점이 저를 끌어들였습니다.

AI 에이전트가 도구, 애플리케이션, 데이터에 안전하게 접근하도록 하는 표준인 MCP(Model Context Protocol)가 공통 기반으로 떠오르고 있습니다. 이것이 기업의 에이전트 AI 도입과 규모 확대 방식을 어떻게 바꿀 것으로 보시나요?

MCP는 기업이 에이전트 AI를 도입하고 규모를 확대하는 데 중요한 진전입니다. AI 업무 절차를 위한 범용 연결 장치라고 생각하면 됩니다. 에이전트가 도구, 애플리케이션, 데이터에 연결되는 방식을 표준화해 실제 장애 요인을 줄이고 실험을 빠르게 만듭니다.

하지만 접근을 표준화하는 것만으로 에이전트 AI가 안전해지거나 확장 가능해지는 것은 아닙니다. 에이전트, 도구, 데이터 소스와 연결이 늘수록 새로운 통합 하나하나가 데이터 유출 가능 범위를 넓힙니다. 실행 중에 규칙을 강제하지 않는 연결 지점은 모두 잠재적인 노출 경로입니다. AI 에이전트가 민감한 시스템 및 독점 로직과 상호작용할 때 저장 데이터 암호화와 네트워크 통제만으로는 부족합니다. 보안 경계가 실행 시점으로 이동했으며, 생태계 규모가 커질수록 이 전환은 더 시급해집니다.

이 핵심 연결 지점에서 검증 가능성을 확보하는 일은 기업에 결정적으로 중요해질 것입니다. 기업은 MCP 방식의 접근에 어떤 코드가 어디서 어떤 정책에 따라 실행됐는지를 보여 주는 암호학적 증거를 결합하고, 실행 전·중·후를 아우를 때 에이전트 AI의 규모를 확대할 수 있습니다. 접근과 검증 가능성의 결합입니다. 바로 이 조합이 실제 운영 도입을 가능하게 합니다.

MCP가 에이전트 접근을 표준화하는 상황에서, 에이전트 기반 시스템의 보안, 정책 강제 적용, 신뢰에는 현재 어떤 공백이 가장 크다고 보시나요?

저희는 2026년 AI Leak Surface 연구를 마치고 결과를 정리한 「AI 기술 환경에서 데이터가 유출되는 12가지 방식」을 발표했습니다. 이 연구가 바로 그 문제를 다룹니다. 연산, 통제, 애플리케이션과 그 사이의 인계 구간 등 AI의 전체 신뢰 경계를 아우르는 8개 범주에서 46개의 노출 경로를 확인했습니다. 악의적인 행위자는 고려하지도 않은 수치입니다. 아무것도 고장 나지 않았고 로그도 정상으로 보이는데 시스템이 계속 데이터를 유출하는 상황입니다.

가장 큰 공백은 연결 기능에 있지 않습니다. 그 부분은 MCP가 해결하고 있습니다. 문제는 에이전트가 연결된 뒤 벌어지는 일입니다. 대부분의 조직은 세 가지 기본 질문에 답하지 못합니다. 우리 AI는 실제로 어떻게 행동하는가? 누가 통제하는가? 정책이 강제 적용됐다는 사실을 어떻게 증명하는가?

연구에서는 경계가 설정만 됐을 뿐 실제로 강제되지 않는다는 점이 드러났습니다. 정책은 문서, 설정 파일, 배포 시점의 설정에 존재하지만 실행 중인 시스템을 제약하지 못합니다. 임원용 AI 비서가 중요한 미공개 정보를 일정 초대에 넣습니다. RAG 보조 도구가 이사회용 재무 정보를 주니어 분석가에게 제공합니다. 공급업체의 SDK가 12개월 동안 1,000만 개의 쿼리를 조용히 외부로 빼냅니다. 모든 경우에 접근 통제는 마련돼 있었습니다. 그래도 데이터는 유출됐습니다.

기업이 설정된 정책과 실제 강제되는 정책 사이의 공백을 메우기 전까지 MCP는 현관문을 표준화할 뿐입니다. 집은 여전히 무방비 상태입니다.

AI 에이전트가 민감한 시스템과 독점 데이터에 접근할 수 있게 되면, 기업이 미처 대비하지 못한 개인정보 보호 및 규정 준수 위험이 새롭게 어떻게 나타나나요?

대부분의 기업은 저장되거나 전송되는 데이터를 기준으로 개인정보 보호를 생각합니다. 하지만 에이전트 업무 절차에서는 이 모델이 통하지 않습니다. 가장 큰 위험은 사용 중인 데이터의 노출이기 때문입니다.

예를 들어 고성능 자동차 제조업체가 조립 라인 전반에 AI를 사용한다고 해 봅시다. 센서 측정값, 시간 순서, 품질 검사 같은 원시 데이터는 무해해 보입니다. 하지만 이제 대규모 언어 모델은 그 과정에서 부수적으로 남는 데이터 흔적만으로 독점 제조 공정을 재구성할 수 있습니다. 5년 전에는 잡음이던 것이 이제 경쟁업체를 위한 설계도가 된 것입니다.

AI Leak Surface 연구는 수십 가지 시나리오에서 이 패턴을 기록했습니다. 운영 원격 측정 도구는 기본 설정으로 AI 데이터 전체를 수집합니다. 한 유럽 은행에서는 아무도 애플리케이션 성능 모니터링(APM)의 기본 설정을 바꾸지 않아 개인 식별 정보가 포함된 프롬프트 210만 개가 미국 SaaS 인스턴스로 흘러갔습니다. 에이전트 메모리는 세션 사이에 맥락을 유출합니다. 사고 사슬 추적은 외부 계약업체가 접근할 수 있는 관측 플랫폼에 전체 조사 기록을 노출합니다. 기존 규정 준수 체계는 이런 유출을 탐지하도록 설계되지 않았습니다. 사람이 인간의 속도로 데이터를 옮긴다는 전제를 두었기 때문입니다.

Confidential AI가 MCP의 필수적인 보완 수단이 되는 이유는 무엇이며, 접근 표준만으로 해결할 수 없는 과제를 어떻게 해결하나요?

MCP는 누가 무엇에 어떻게 접근하는지를 해결하고, Confidential AI는 접근 허용 이후에 무슨 일이 일어나는지를 해결합니다. 서로 보완하는 계층입니다.

접근 표준만으로는 실행 중 보안 침해, 정책의 점진적 이탈, 무단 데이터 사용을 막을 수 없습니다. 이렇게 생각하면 됩니다. MCP는 에이전트를 시스템에 연결하는 표준 방식을 제공합니다. Confidential AI는 연결된 에이전트가 승인된 일만 할 수 있다는 암호학적 보장을 제공하며, 그 사실을 입증할 수도 있게 합니다.

Confidential AI는 데이터, 신원, 코드, 통신에 대해 실행 중 이러한 보장을 제공합니다. 검증 가능한 실행 증거를 제공하고, 개인정보 보호와 정책 강제 적용이 접근 경계에서 멈추지 않고 AI가 적극적으로 추론하고 생성하고 행동하는 동안에도 지속되도록 합니다. 이것이 없다면 MCP는 튼튼한 기초입니다. 하지만 기초만으로 건물이 안전해지지는 않습니다.

핵심 업무 절차에서 자율 AI 에이전트를 운영하는 기업에 검증 가능한 신뢰란 실제로 어떤 모습인가요?

검증 가능한 신뢰란 어떤 코드가 어디서 어떤 정책에 따라 실행됐는지, 어떤 데이터에 접근했는지, 시간에 따라 시스템이 어떻게 행동했는지를 증명할 수 있다는 뜻입니다.

보험회사가 AI 에이전트로 손해배상 청구 서신을 처리한다고 가정해 봅시다. 실행 전에는 하드웨어 증명이 에이전트 신원과 환경의 무결성을 검증합니다. 실행 중에는 하드웨어로 보호되는 신뢰 실행 환경(Trusted Execution Environment, TEE) 안에서 정책을 암호학적으로 결합해 데이터를 보호하고 정책을 강제 적용합니다. 실행 후에는 변조 방지 감사 기록이 정확히 무슨 일이 있었는지 남깁니다.

에이전트 업무 절차의 위험은 에이전트가 통제를 벗어나는 데 있지 않습니다. 진짜 위험은 에이전트가 작동하는 동안 정책이 강제 적용됐는지, 민감한 데이터가 보호됐는지를 실행 전·중·후에 걸쳐 입증하지 못하는 데 있습니다. 이것이 검증 가능한 신뢰의 의미입니다.

에이전트 시스템이 기계 속도로 작동하면 기존 인간 감독이 왜 한계에 부딪히며, 조직은 이 새로운 환경에서 거버넌스를 어떻게 다시 생각해야 하나요?

수십 년 동안 인터넷에는 보이지 않는 안전장치가 있었습니다. 바로 우리입니다. 사람은 내용을 읽고 의도적으로 클릭하며, 백 개의 시스템에서 동시에 조용히 행동하지는 않습니다.

에이전트 AI는 이런 전제를 하루아침에 무너뜨립니다. 에이전트는 계속 작동하고 기계 속도로 판단하며, 사람을 위해 설계됐지만 기계가 악용할 수 있는 환경을 통해 조종될 수 있습니다. 악성 웹페이지는 사람을 속이듯 AI를 속일 필요가 없습니다. 그냥 지시하면 됩니다.

에이전트당 위험이 단 1%여도 에이전트 100개로 이루어진 네트워크의 보안 침해 확률은 63%입니다. 천 개로 확대하면 99.99%가 됩니다. 사람이 과정에 참여해야 하는 거버넌스는 이 수치를 따라갈 수 없습니다. 감독은 사후 대응적 검토에서 실행 중 보장으로 전환돼야 합니다. 즉 제로 트러스트 업무 절차, 기본 설정으로 이루어지는 정책 강제 적용, 그리고 사람이 나중에 실패를 발견하는 데 의존하지 않는 검증 가능한 실행이 필요합니다.

기업이 신뢰 계층 없이 에이전트 AI를 실험할 때 가장 흔히 나타나는 보안 실패는 무엇인가요?

가장 자주 보는 패턴은 기업이 에이전트 행동에 대한 암호학적 보장 없이 에이전트가 행동하고 서로 조율하도록 내버려 두는 것입니다. 민감한 지식재산을 처리하면서 잘되기만을 바라는 셈입니다.

그 뒤에 일어나는 일은 예측 가능하며, 저희는 AI Leak Surface 연구에서 구체적인 패턴을 기록했습니다. 실행 중 보안 침해는 기존 경계 방어를 우회합니다. 에이전트가 이미 네트워크 안에 있기 때문입니다. 자율 에이전트 체인은 연쇄 실패를 일으킵니다. 악용된 에이전트 하나가 연결된 시스템에 도미노 효과를 촉발합니다. 독점 로직은 아무도 감시할 생각을 하지 못했던 데이터 흔적을 통해 유출됩니다. 실행 중 검증 가능한 신원이나 정책 결합이 없기 때문에 에이전트는 기업의 의도와 악성 입력을 구별하지 못하게 됩니다.

이것은 가상의 문제가 아닙니다. 저희는 겉으로 아무것도 고장 나지 않았는데도 데이터가 의도된 통제를 벗어나는 경로 46개를 파악했습니다. AI 에이전트는 기계 속도로 데이터를 생성하고 공유합니다. 업무 절차에 검증 가능한 실행 중 보호 조치가 내장되지 않으면, 어느 보안팀이든 탐지하거나 대응할 수 있는 속도보다 빠르게 실패가 전파됩니다.

선도 조직은 첨단 AI 기능을 활용하면서 가장 민감한 데이터 자산을 보호해야 하는 요구를 어떻게 조화시키고 있나요?

이를 제대로 해내는 조직은 개인정보 보호와 거버넌스를 브레이크가 아니라 가속 요인으로 봅니다. 이것이 핵심 통찰입니다.

현장에서 보면 선도 기업은 첨단 AI 기능을 검증 가능한 보장을 제공하는 Confidential AI 플랫폼과 결합합니다. 단순한 규정 준수 체크리스트에 그치지 않습니다. 이들은 민감한 데이터를 AI 혁신에 활용하면서도 업무 절차가 자율적으로 실행되는 동안 독점 정보가 보호되도록 합니다.

과거에는 기능과 보안 중 하나를 선택해야 한다고 봤습니다. 가장 빠르게 나아가는 조직은 그 절충 자체를 거부했습니다. AI 전략의 기초에 검증 가능한 신뢰를 구축해 가장 가치 있는 데이터를 활용할 수 있게 합니다. 반면 경쟁업체들은 여전히 시범 단계에 머무르며, 실질적인 성과를 내지 못하는 정제된 데이터셋으로 AI를 돌리고 있습니다.

현재 관찰하시는 상황을 바탕으로, 에이전트 시스템이 시범 단계에서 본격적인 운영으로 전환하는 앞으로 몇 년 동안 기업 AI 거버넌스 모델은 어떻게 발전할 것으로 예상하시나요?

거버넌스는 서류 작업에서 증거로 옮겨갈 것입니다. 가장 간단하게 말하면 그렇습니다. 초기 거버넌스 모델은 사람의 속도로 움직이는 소프트웨어를 전제로 했습니다. 종이에 적힌 정책, 배포 전 승인, 문제가 생긴 뒤의 검토였습니다. 에이전트 시스템은 이 모든 전제를 깨뜨립니다. 계속 작동하고 자율적으로 행동하며 기계 속도로 연쇄 효과를 일으킵니다.

거버넌스는 실행 중 검증 가능성을 새로운 보안 경계로 삼는 방향으로 움직이고 있습니다. 에이전트 생애주기의 모든 단계, 즉 실행 전·중·후의 행동을 입증하는 암호학적 보장이 이를 뒷받침합니다. HTTPS에서 봤던 것과 같은 패턴이 웹 트래픽의 기본이 되고 있습니다. 이제 웹 연결을 암호화할지를 두고 논쟁하는 사람은 없습니다. 몇 년 안에 AI 실행을 실행 시점에 검증할지를 두고 논쟁하는 사람도 없어질 것입니다. 기본 요건이 될 것입니다.

좋은 인터뷰 감사합니다. 더 자세히 알고 싶은 독자는 OPAQUE를 방문하면 됩니다.