HackerOne의 CEO인 카라 스프라그와의 인터뷰 시리즈

카라 스프래그HackerOne의 CEO인 그녀는 소프트웨어 및 보안 분야에서 제품 리더십, 일반 경영 및 전략 컨설팅을 아우르는 20년 이상의 경력을 보유한 베테랑 기술 경영진입니다. 2024년 11월 CEO 자리에 오른 그녀는 F5에서 수석 부사장 겸 최고 제품 책임자(CPO)를 역임하며 주요 제품 및 플랫폼 프로젝트를 이끌었고, 그 이전에는 대규모 사업을 총괄하는 일반 경영자 역할을 수행했습니다. F5 이전에는 맥킨지앤컴퍼니에서 10년 이상 파트너로 재직하며 주요 기술 기업들의 성장과 전략에 대한 자문을 제공했으며, 오라클에서 기술 직원으로 경력을 시작했습니다. HackerOne에서의 역할 외에도 Trimble Inc.의 이사회 이사로도 활동하고 있습니다.

HackerOne HackerOne은 해커 기반 보안을 개척한 것으로 가장 잘 알려진 사이버 보안 회사로, 전 세계 윤리적 해커 커뮤니티와 기업을 연결하여 취약점이 악용되기 전에 식별하고 해결합니다. 이 플랫폼은 버그 바운티 프로그램, 취약점 공개, 침투 테스트, 보안 테스트 서비스를 통해 기업과 정부를 지원하며, 이러한 서비스는 전문가의 역량과 자동화 및 AI 기반 워크플로우를 결합합니다. HackerOne은 보안을 사후 대응에서 사전 예방으로 전환함으로써, 위험을 줄이고 대규모 복원력을 향상시키려는 기업에게 현대적인 애플리케이션 보안 스택의 핵심 요소가 되었습니다.

당신은 F5, 맥킨지, 오라클 등 주요 기술 기업에서 수십 년간 리더십을 발휘한 후 2024년 11월 해커원(HackerOne)의 CEO 자리에 오르셨습니다. 경력 후반에 이러한 도전을 하게 된 계기는 무엇이며, 회사를 이끌기 시작했을 때 가장 먼저 설정한 우선순위는 무엇이었습니까?

저는 기술, 전략, 리스크 관리가 교차하는 분야에서 경력을 쌓아왔으며, 급변하는 환경 속에서 조직이 중요한 순간들을 헤쳐나갈 수 있도록 지원해 왔습니다. 제가 해커원에 매료된 이유는 인공지능이 사이버 보안 환경을 재편하는 바로 그런 변곡점에 우리가 다시 한번 서 있기 때문입니다.

보안은 더 이상 후방 지원 업무가 아니라 신뢰, 복원력, 그리고 비즈니스 속도의 핵심 동력입니다. 오늘날 기업들은 고도로 상호 연결된 시스템, 끊임없는 데이터 흐름, 그리고 전례 없는 규모의 자동화된 의사 결정 시스템 속에서 운영되고 있습니다. AI는 혁신을 가속화하지만, 기존 보안 모델로는 감당할 수 없었던 새로운 취약점, 의존성, 그리고 실패 가능성을 야기하기도 합니다.

바로 이런 이유로 HackerOne의 사명은 지금 이 순간 매우 중요합니다. HackerOne의 사명은 더 안전한 인터넷을 구축할 수 있도록 세상을 지원하는 것이며, 인공지능(AI)이 주도하는 세상에서 이 사명은 그 어느 때보다 시급합니다. HackerOne은 전 세계 보안 연구원 커뮤니티와 플랫폼 인텔리전스를 결합하여 공격자가 악용하기 전에 취약점을 찾아 수정한다는 점에서 차별화됩니다. 이러한 인간 참여형 모델은 단순히 차별화되는 것이 아니라 필수적인 요소입니다.

저는 처음부터 세 가지 우선순위에 집중했습니다. 바로 에이전트 플랫폼 기능 확장, 연구원 커뮤니티 투자, 그리고 고객 및 파트너와의 신뢰 강화입니다. 이를 위해 AI 레드팀 규모를 확장하고, Hai를 단순한 보조 도구에서 조직이 위험을 더 빠르게 우선순위화하고 검증하며 해결할 수 있도록 지원하는 AI 에이전트 팀으로 발전시키며, HackerOne Code를 출시하여 개발 초기 단계부터 소프트웨어 보안을 강화했습니다. 현재 90% 이상의 고객이 Hai를 활용하여 취약점 검증 및 수정 작업을 가속화하고 있습니다.

빠르게 변화하는 환경 속에서도 HackerOne의 핵심 목표는 변함없습니다. 바로 위험이 당신을 지배하기 전에 사전에 차단하는 것입니다. HackerOne은 지속적이고 실용적이며 현대 혁신의 속도에 맞춰 구축된 보안을 제공합니다.

HackerOne은 침투 테스트와 AI 레드팀 활동이 200% 급증했을 뿐만 아니라 지속적인 위협 노출 관리로 전략적 전환을 이루었습니다. 이러한 추세는 회사의 장기적인 비전에 어떤 영향을 미치고 있으며, 이러한 성장세는 기업 보안의 미래에 대해 무엇을 시사한다고 생각하십니까?

지금 우리가 목격하고 있는 것은 일시적인 급증이 아니라 재설정입니다. 침투 테스트와 AI 기반 레드팀 활동이 200% 급증한 것은 특정 시점의 보안으로는 현대 기업의 변화 속도를 따라잡을 수 없다는 것을 보여줍니다.

이러한 현실은 코드와 클라우드에서부터 AI 시스템에 이르기까지 전체 라이프사이클에 걸쳐 지속적인 위협 노출 관리라는 장기적인 비전을 형성하는 데 영향을 미치고 있습니다. AI가 혁신과 공격 속도를 모두 가속화함에 따라, 진정한 과제는 취약점을 찾는 것이 아니라, 무엇이 악용될 수 있는지 입증하고, 가장 중요한 것을 우선순위화하고, 신속하게 수정하는 것입니다. 우리는 바로 이러한 목표를 달성하기 위해 지속적인 테스트, 자율 검증, 지능형 우선순위 지정, 그리고 전문가의 역량을 결합한 플랫폼을 구축하고 있습니다.

기업 리더들에게 분명한 신호는 보안이 더 이상 주기적인 감사가 아닌 지속적인 비즈니스 관리 영역으로 자리매김하고 있다는 것입니다. 뛰어난 성과를 내는 기업은 위험을 조기에 파악하고, 신속하게 대응하며, 비즈니스 문제로 발전하기 전에 노출을 차단하는 기업일 것입니다. 이러한 변화가 기업 보안의 미래를 결정짓습니다.

귀사의 AI 시스템 Hai는 취약점 발견 워크플로에 어떻게 통합되며, 연구원과 고객에게 어떤 부분에서 가장 큰 이점을 제공합니까?

Hai는 취약점 관리 워크플로에 직접 통합된 AI 에이전트 팀으로, 지속적으로 분석 및 맥락화하여 조직이 위험의 우선순위를 정하고 검증하며 신속하게 해결할 수 있도록 지원합니다. Hai는 보고서의 전체 수명 주기 동안 작동하며, 보고서 양이 증가하고 위협이 더욱 복잡해짐에 따라 방어 담당자의 역량을 강화하는 데 도움을 줍니다.

Hai는 불필요한 정보를 걸러내어 최고의 효과를 발휘합니다. 보고서를 요약하고, 패턴을 파악하고, 결과를 검증하고, 가장 중요한 문제를 강조함으로써 문제 해결 및 이해도를 향상시킵니다. 저희 연구에 따르면 사용자 중 20%가 매주 6~10시간을 절약하는 것으로 나타났습니다. 탐지부터 확실한 해결까지 걸리는 시간을 크게 단축합니다.

연구자들도 혜택을 받습니다. 그들 중 절반 이상이 현재 업무에 AI 또는 자동화 기술을 활용하고 있습니다.Hai는 그들이 더 강력한 개념 증명, 더 명확한 설명, 그리고 더 일관된 검증을 만들어낼 수 있도록 도와줍니다.

지난 한 해 동안 기업들이 소프트웨어 스택 전반에 걸쳐 AI를 더욱 적극적으로 도입함에 따라 어떤 새로운 유형의 취약점이 나타났습니까?

AI가 제품과 워크플로 전반에 통합됨에 따라 새로운 취약점 유형이 상당한 규모로 나타나고 있습니다. 최신 해커 기반 보안 보고서에 따르면 유효한 AI 취약점 보고는 전년 대비 210% 증가했으며, 현재 CISO의 거의 80%가 보안 테스트 범위에 AI 자산을 포함하고 있습니다. 그중에서도 프롬프트 주입 공격이 가장 눈에 띄었습니다. 전년 대비 0.5배 이상 증가이는 공격자가 모델 동작에 영향을 미치는 가장 일반적인 방법 중 하나로 남아 있습니다. 또한 모델 조작, 안전하지 않은 출력 처리, 데이터 오염, 학습 데이터 및 대응 관리와 관련된 취약점도 증가하고 있습니다.

이러한 위험이 특히 심각한 이유는 시스템에만 영향을 미치는 것이 아니라 의사 결정, 워크플로 및 고객 신뢰에도 영향을 미치기 때문입니다. AI는 기존 테스트 방식으로는 완전히 파악할 수 없는 오류 경로를 만들어냅니다. 이러한 시스템이 실제 운영 환경에 배포되고 운영상 더욱 중요해짐에 따라, 기업 보안 프로그램에서 AI 보안 테스트는 더욱 핵심적인 역할을 하게 될 것입니다.

저희 접근 방식은 AI 기반 자동화를 통해 탐지 및 패턴 감지 규모를 확장하고, 인간의 전문 지식을 활용하여 미묘한 오류, 새로운 취약점, 그리고 실제적인 영향을 밝혀내는 데 중점을 둡니다. 이를 통해 방어자는 공격자와 동일한 속도와 규모로 작전을 수행할 수 있습니다.

전 세계 연구자 커뮤니티가 확장됨에 따라, 이처럼 거대한 크라우드소싱 생태계 전반에서 신뢰, 품질 및 공정성을 유지하는 동시에 다양성과 포용성에 대한 약속을 어떻게 이행할 수 있을까요?

신뢰는 크라우드소싱 기반 보안 모델의 토대이며, 커뮤니티 규모가 커짐에 따라 의도적으로 구축해야 합니다. 저희에게 있어 그 시작은 명확한 기준, 일관된 인센티브, 그리고 강력한 거버넌스입니다.

저희 커뮤니티는 엄격한 검증을 거친 보안 연구원들로 구성되어 있으며, 고객과 협력하여 다양한 기술 분야에서 실제 취약점을 식별, 검증 및 해결하는 데 도움을 드립니다.

우리는 플랫폼 인텔리전스와 사람의 감독을 결합하여 품질과 공정성을 유지합니다. 이를 위해 연구 결과를 검증하고, 일관된 참여 규칙을 시행하며, 연구자의 배경, 지역 또는 경력이 아닌 연구 성과에 따라 보상합니다. 평판 시스템, 투명한 심사 과정, 그리고 일관된 보상 모델은 시장 양측에 책임감을 부여합니다.

저희는 연구원들의 성공을 위해 깊이 투자하고 있습니다. 온보딩, 교육, 그리고 명확한 성장 경로를 통해 신입 연구원들이 역량을 키우고 신뢰도를 높일 수 있도록 지원합니다. 지난 6년간, 저희 플랫폼을 통해 50명의 연구자가 각각 1만 달러 이상을 벌었습니다. 이는 작품의 수준과 모델의 공정성을 모두 보여주는 강력한 신호입니다.

다양성과 포용성은 별개의 계획이 아니라 생태계의 강점을 뒷받침하는 핵심 요소입니다. 보안 문제는 전 세계적인 문제이며, 다양한 관점은 서로 다른 공격 경로와 사각지대를 드러냅니다. 그 결과, 성장할수록 분열되는 것이 아니라 더욱 강력해지는, 신뢰할 수 있고 뛰어난 성과를 내는 커뮤니티가 형성됩니다.

HackerOne은 AI 기반 취약점 발견이 책임감 있게 이루어지고 편견이나 오용을 방지하도록 어떤 안전장치를 마련했습니까?

저희 플랫폼 전반에 걸쳐 AI 에이전트는 명확성을 높이고, 조사 결과를 검증하며, 문제 해결 속도를 높이도록 설계되었습니다. 반면, 수용 여부, 심각도 및 대응 방안에 대한 결정은 여전히 ​​인간의 책임 하에 이루어집니다.

우리는 고객에게 기대하는 것과 동일한 기준을 스스로에게 적용합니다. 내부적으로 AI 기능을 활용하고, 실제 워크플로우에서 지속적으로 성능 테스트를 진행하며, 자체 솔루션에서 중대한 취약점을 발견한 연구원 커뮤니티에 보상을 제공합니다. 이러한 과정을 통해 편향, 불일치 또는 오용 사례를 조기에 발견할 수 있는 강력한 피드백 루프가 구축됩니다.

AI가 보안 운영에 더욱 깊숙이 자리 잡음에 따라, 우리의 목표는 투명성, 지속적인 테스트, 그리고 인간의 책임감을 바탕으로 팀이 신뢰할 수 있는 기준을 세우는 것입니다.

취약점 발견 및 보상 건수가 120% 증가했다는 것은 위협 환경에 중대한 변화가 있음을 시사합니다. 이러한 변화를 탐지 기술의 발전으로 해석하시겠습니까, 아니면 기업용 소프트웨어의 위험성이 증가하고 있다는 신호로 해석하시겠습니까?

둘 다 맞습니다. 바로 그게 핵심이죠.

이러한 증가는 탐지 기술의 실질적인 발전을 반영합니다. 연구원들은 실행 가능하고 질 높은 취약점을 더욱 많이 발견하고 있으며, 보상 증가는 기업들이 실제 위험을 발견하고 해결하는 데 가치를 두고 있음을 보여줍니다. 더 많은 취약점 발견이 소프트웨어의 위험성을 의미하는 것은 아닙니다. 단지 취약점이 마침내 가시화되었다는 것을 의미할 뿐입니다.

동시에 기업용 소프트웨어는 점점 더 복잡해지고 상호 연결되고 있습니다. 인공지능, 타사 소프트웨어 의존성, 그리고 빨라진 릴리스 주기는 기존의 보안 제어 체계가 감당하도록 설계된 속도보다 훨씬 빠르게 공격 표면을 확장시키고 있습니다.

핵심은 간단합니다. 위험은 역동적이며, 보안 또한 그래야 합니다. 가장 회복력이 뛰어난 조직은 위험 노출이 불가피하다고 가정하고 실제로 중요한 부분을 해결하는 데 끊임없이 집중합니다.

인공지능의 능력이 더욱 향상됨에 따라 향후 몇 년 동안 크라우드소싱 보안 플랫폼이 직면할 가장 큰 과제는 무엇이라고 생각하십니까?

모든 보안 플랫폼에서 가장 큰 과제는 속도와 규모가 증가함에 따라 신호와 신뢰를 유지하는 것입니다.

인공지능이 검색 진입 장벽을 낮추면서 플랫폼은 자동화 및 하이브리드 워크플로우를 통해 처리량이 급증할 것입니다. 문제는 검색 결과 부족이 아니라, 고객에게 과도한 정보 과부하를 초래하고 잘못된 인센티브 구조로 인해 신뢰가 무너지는 것입니다.

성공하는 플랫폼은 활용 가능성을 검증하고, 영향력을 우선시하며, 성과에 따른 보상을 제공하는 동시에 강력한 거버넌스와 인적 책임성을 유지하는 플랫폼이 될 것입니다. 미래는 더 많은 문제를 찾는 것이 아니라, 올바른 문제를 더 빠르게 찾아내고 비즈니스 문제가 발생하기 전에 통찰력을 행동으로 옮기는 데 달려 있습니다.

HackerOne이 취약점 발견을 넘어 지속적인 모니터링, AI 기반 문제 해결, 예측 위협 모델링과 같은 영역으로 확장될 것이라고 예상하십니까?

우리의 목표는 기업이 직면한 핵심 문제, 즉 끊임없이 변화하는 환경 속에서 실제 위험을 이해하고 관리하는 문제를 해결하는 것입니다.

이는 단순히 특정 시점의 취약점 발견을 넘어선다는 것을 의미합니다. 당사는 이미 코드 및 AI 기반 레드팀 활동부터 검증 및 우선순위 지정에 이르기까지 취약점 발생 전 과정에 걸쳐 서비스를 제공하고 있으며, 고객이 취약점을 조기에 발견하고, 그 영향을 신속하게 파악하며, 문제 해결을 위한 조치를 완료할 수 있도록 지원하는 역량에 지속적으로 투자할 것입니다.

AI는 특히 우선순위 지정 및 워크플로 가속화 측면에서 이러한 진화에 핵심적인 역할을 하지만, 항상 인간의 책임감이 중심에 있습니다. 우리의 목표는 현대 혁신에 발맞춰 지속적이고 실용적인 보안을 유지하는 것입니다.

적들이 인공지능을 점점 더 많이 활용함에 따라, HackerOne은 어떻게 앞서나가고 방어 도구 또한 그에 맞춰 빠르게 발전시킬 계획입니까?

우리는 실제 공격이 발생하는 곳에서 활동함으로써 적보다 한발 앞서 나갑니다. 전 세계 연구진은 이미 AI 기반 기술을 실제 환경에서 테스트하고 있으며, 이를 통해 적의 실제 작전 방식을 조기에 파악할 수 있습니다.

우리는 인간의 통찰력을 AI 기반 자동화와 결합하여 문제 발견, 검증, 우선순위 지정 및 해결을 확장합니다. 또한, 고객에게 제공하는 것과 동일한 AI 레드팀 접근 방식을 사용하여 자체 플랫폼을 지속적으로 검증합니다.

목표는 모든 새로운 공격을 예측하는 것이 아니라, 공격자보다 빠르게 학습하는 시스템을 구축하는 것입니다. 이것이 바로 방어 도구가 AI 기반 위협 환경에서 대응력을 유지하는 방법입니다.

훌륭한 인터뷰에 감사드립니다. 회사가 어떻게 인간의 전문 지식과 AI 기반 보안을 활용하여 조직이 실제 위험을 식별하고 비즈니스 문제로 발전하기 전에 차단하는지에 대해 더 자세히 알고 싶으신 독자분들은 다음 링크를 방문해 주세요. HackerOne.