OX Security의 공동 창립자이자 CEO인 Neatsun Ziv – 인터뷰 시리즈

니트선 지브OX Secuity의 공동 창립자이자 CEO인 그는 DevSecOps 시대의 소프트웨어 공급망 보안을 재정의하는 최전선에 있습니다. OX 설립 전, 그는 Check Point에서 사이버 보안 담당 부사장으로 재직하며 글로벌 이니셔티브를 이끌고 SolarWinds 및 NotPetya와 같은 주요 위협에 대한 신속한 대응을 지휘했습니다. 지난 10년간 가장 심각한 사이버 사건들이 발생했을 때, 그는 인터폴, 국가 CERT 및 기타 법 집행 기관과 직접 협력하는 업무를 자주 수행했습니다.

OX 시큐리티 OX는 노이즈를 차단하도록 설계된 애플리케이션 보안 플랫폼으로, 조직이 진정으로 중요한 소수의 위험에 집중할 수 있도록 지원합니다. 악용 가능성, 도달 가능성 및 비즈니스 영향 분석을 활용하여 전체 소프트웨어 개발 라이프사이클에 걸쳐 증거 기반 우선순위를 제공합니다. 코드부터 클라우드까지 완벽한 커버리지, 100개 이상의 통합, 그리고 노코드 워크플로를 갖춘 OX는 개발자 워크플로에 가이드 방식의 수정 기능을 직접 내장하여 효과적이고 원활한 보안 조치를 보장합니다.

OX Security를 공동 창립하기 전에는 Check Point에서 주요 사고 대응을 이끌었습니다. 회사를 설립하기로 결심하게 된 계기는 무엇이었으며, 애플리케이션 보안 분야의 어떤 부분을 간과하셨는지 궁금합니다.

체크포인트에서 일하면서 저는 "기업 속도 격차"를 직접 경험했습니다. 전통적인 보안 기업의 변화 속도가 더딘 것입니다. 또한 보안팀이 여러 면에서, 특히 위험의 우선순위를 올바르게 정하는 데 있어 상당히 비효율적인 모습을 목격했습니다.

동시에, 저는 (당시에는 미개발 상태였던) 생성 AI가 보안 도구의 미래 발전 방향을 제시한다는 것을 깨달았습니다. 실제로 생성 AI는 매우 빠른 속도로 발전했습니다. 여러 가지 중요한 변화가 동시에 일어나고 있었습니다.

위협 행위자의 가속화: 공격자들은 새로운 기술과 기법을 빠르게 도입하고 있으며, 보안 솔루션이 따라잡을 수 있는 속도보다 더 빠르게 움직이고 있습니다.

"바이브 코딩" 현상: 당시에는 이 용어가 존재하지 않았지만, 개발자들이 Copilot과 같은 AI 지원 코딩 도구에 점점 더 의존하게 되면서 소프트웨어 구축 방식이 근본적으로 바뀌고 완전히 새로운 보안 고려 사항이 도입되는 것을 보았습니다.

공급망 공격의 진화: 소프트웨어 공급망 공격이 가속화되면서 기존 도구로는 해결할 수 없는 애플리케이션 보안에 대한 새로운 접근 방식에 대한 시급한 필요성이 생겨났습니다.

기존 기업 구조 내에서 점진적으로 개선하는 것만으로는 이러한 빠르게 진화하는 과제를 해결하기에 충분하지 않습니다.

제가 마지막으로 깨달은 것은 위협이 코드 속으로 빠르게 침투하고 있다는 것이었습니다. 보안도 그에 따라야 했습니다. 우리는 기존 프레임워크에서 벗어나 새롭고 빠른 경쟁을 시작해야 했습니다.

OX의 핵심 사명은 개발자들이 실제로 중요한 5%의 취약점에 집중할 수 있도록 돕는 것입니다. 언제 그러한 통찰력을 얻게 되셨고, 오늘날 제품 관련 의사 결정에 어떤 영향을 미치고 있습니까?

상당히 큰 규모의 개발팀을 운영하면서, 보안 관련 문제의 규모가 얼마나 엄청난지 직접 경험했습니다. 무엇이 중요하고 무엇이 중요하지 않은지 파악해야 합니다. 끝없이 나열하는 것은 회사의 위험 감소에 도움이 되지 않습니다. 오히려 좌절감을 조성하고, 너무 많은 시간과 자원을 소모하게 되어 위험 감소 목표에서 멀어지게 만듭니다.

이를 통해 개발자들이 진정으로 중요한 것에 집중할 수 있도록 돕고, 그 이유를 설명해야 한다는 것을 깨달았습니다. 그 후에는 개발자에게 문제를 쉽게 해결하는 방법을 보여주거나, 더 나아가 개발자 대신 해결해 주어야 합니다. 이제는 다음과 같은 도구를 통해 가능합니다. 에이전트 OX.

이러한 통찰력은 우리 회사를 세운 토대가 되었고, 오늘날 우리의 모든 제품 관련 의사 결정의 기준이 되고 있습니다. 우리가 개발하는 모든 기능, 모든 역량은 "이 기능이 개발자들이 진정으로 중요한 것에 집중하는 데 도움이 되는가? 위험을 줄이는가?"라는 질문에서 시작됩니다.

이 플랫폼은 SDLC 전반의 위험을 매핑하는 "코드 투사"에 중점을 두고 있습니다. 이 기술의 작동 원리와 다른 취약점 관리 도구와의 차이점을 설명해 주시겠습니까?

코드 프로젝션은 기본적으로 코드에서 문제를 파악하고 해당 코드가 클라우드에 도달했을 때 어떻게 동작할지 미리 예측하는 기술입니다. 이를 통해 문제가 프로덕션 환경에서 실행되기 훨씬 전에, 즉 위험이 이미 노출된 상태에서 문제를 해결할 수 있습니다.

모든 코드에는 이를 빌드하고 클라우드로 가져오는 프로세스, 즉 CI/CD가 있다는 것을 이해함으로써 작동합니다. 우리는 코드를 읽고 그 의미를 해석할 수 있습니다. 단도직입적으로 예를 들어보자면, 인터넷에 노출되는 것과 그렇지 않은 것은 분명히 다른 의미를 지닙니다.

다른 제품과의 주요 차이점은 대부분의 도구가 긴 문제 목록을 남기고 작업을 종료한다는 것입니다. 진정으로 중요한 위험의 5%, 심지어 그보다 적은 부분에 집중하지 못하고, 이러한 위험들을 걸러내다 보면 결국 거의 무의미한 시간 범위에 머물게 됩니다. 또한 어떤 개발자에게 문제를 할당해야 할지 알 수 없습니다.

우리의 접근 방식은 그것을 완전히 바꿔놓았습니다. 우리는 단순히 문제를 식별하는 데 그치지 않고 맥락, 우선순위, 명확한 소유권을 제공했습니다.

스캐닝 도구, 비밀 관리, SBOM, SaaS 검색 등 다양한 기능을 완벽하게 통합하는 솔루션을 제공합니다. 이 모든 기능을 원활한 개발자 경험으로 통합하는 데 있어 가장 어려웠던 기술적 과제는 무엇이었나요?

가장 어려운 문제는 데이터를 인사이트로 전환하는 것입니다. 데이터는 방금 언급하신 모든 것을 의미합니다. 하지만 개발자에게는 명확성, 핵심 요점, 그리고 논리가 필요합니다. 집중적인 소통이 필요합니다. 방대한 데이터를 실행 가능한 인사이트로 전환하는 방법, 이것이 업계의 가장 큰 과제입니다.

개발자가 실제로 실행할 수 있는 명확하고 우선순위가 높은 작업을 제공하고 일관된 스토리를 전달하는 방식으로 해당 정보를 종합하는 것이 가장 큰 과제였습니다.

PBOM(Pipeline Bill of Materials)은 OX 혁신입니다. SBOM과 어떻게 다르며, 현대 소프트웨어 공급망 보안에 필수적인 이유는 무엇일까요?

PBOM은 소프트웨어가 작성되는 순간부터 운영 단계에 이르기까지 소프트웨어에서 발생하는 모든 과정을 살펴볼 수 있는 기능입니다. SBOM은 PBOM의 구성 요소로, 애플리케이션 내부에 있는 모든 소프트웨어 패키지를 살펴봅니다.

이전 질문에 답하자면, PBOM은 데이터를 인사이트로 전환할 수 있게 해주는 토대입니다. 훨씬 더 광범위한 그림, 즉 모든 데이터를 살펴보기 때문입니다. 최종 구성 요소뿐만 아니라 코드의 전체 여정과 변환 과정을 포착합니다.

이러한 포괄적인 관점은 기존 보안 도구가 최종 결과만 보고, 손상된 빌드 도구, 악의적인 커밋, 개발 및 배포 중에 발생하는 파이프라인 조작과 같은 중요한 공격 벡터를 놓치기 때문에 필수적입니다.

OX는 각 AI 모델이 특정 취약점 유형과 프로그래밍 언어에 초점을 맞춘 새로운 다중 에이전트 아키텍처인 Agent OX를 공개했습니다. 이러한 설계 결정의 배경은 무엇이며, 제안하는 해결책이 실제 환경에서 설명 가능하고 신뢰할 수 있도록 어떻게 보장하시겠습니까?

인간이 어떻게 전문성을 개발하는지 살펴보고, 동일한 원리를 AI에 적용하여 다중 에이전트 접근 방식을 개발했습니다. 어떤 분야의 전문가가 되려면 개발자는 해당 언어, 특정 아키텍처, 그리고 특정 조직에 대한 전문가여야 합니다. 한 명의 개발자가 모든 문제를 해결할 수는 없듯이, 같은 논리로 단일 AI 에이전트 또한 그 수준의 전문성에 도달할 수 없습니다. 또한, 품질 보증을 담당할 수 있는 에이전트가 필요합니다.

따라서 각 에이전트는 인간 전문가와 마찬가지로 각자의 특정 분야에 대한 심층적인 전문 지식을 개발하게 됩니다.

신뢰성과 설명성을 위해 각 에이전트는 해결책을 제안할 뿐만 아니라 그 이유를 설명하고, 작업을 보여주고, 개발자가 특정 솔루션을 선택한 이유를 정확히 이해할 수 있도록 합니다.

개발자 워크플로 내에서 바로 원클릭 수정에 집중하게 된 계기는 무엇이었나요? 그리고 개발자가 제어권을 유지하고 의도치 않은 부작용을 겪지 않도록 어떻게 보장하시나요?

핵심 아이디어는 마찰을 줄이고 보안 패치를 강화하는 것입니다. 개발자에게 제안된 패치를 수락하기 전에 검토하고 검증할 수 있는 전적인 권한을 부여합니다.

핵심은 "원클릭"이 "자동"을 의미하는 것이 아니라 간소화된 기능을 제공한다는 것입니다. 개발자는 변경 사항을 정확히 확인하고, 그 이유를 파악하며, 제안된 솔루션을 검토한 후 단 한 번의 작업으로 적용할지 선택할 수 있습니다. 제어 및 의사 결정은 전적으로 개발자의 몫이지만, 수정 사항을 조사하고 구현하는 지루한 수동 작업은 제거됩니다.

Microsoft, IBM, SoFi를 고객으로 두고 있습니다. 이러한 기업 관계는 Agent OX와 같은 도구에 대한 로드맵과 피드백 프로세스에 어떤 영향을 미치나요?

저희는 수백 명의 고객과 협력하고 있으며, 그중 수십 명은 직면한 어려움을 솔직하게 공유합니다. 로드맵과 디자인 패턴에 대한 이러한 심도 있는 논의는 제안된 솔루션을 세부적으로 조정하는 저희 역량의 초석입니다. 저희는 고객과의 관계를 매우 소중하게 생각하며, 고객과의 관계를 회사의 최우선 과제로 생각합니다. 이러한 관계를 통해 저희는 실제적인 요구 사항을 파악하고 이를 해결할 솔루션을 개발할 수 있습니다.

AI 보안 도구가 점점 더 보편화됨에 따라, 자동화와 개발자의 신뢰 및 제어 사이의 균형을 어떻게 맞출 수 있을까요? 보조형과 자율형의 경계는 어디에 있을까요?

이전 혁명에서 보았듯이, 이 혁명에 뛰어들지 않는 자는 살아남지 못합니다. 우리가 협력하는 기업들 중에는 AI 도입에 모든 자원을 쏟는 기업들도 있습니다. 우리가 혁명을 목격하고 있다는 것을 이해하고 있기 때문입니다.

이들은 실제로 우리의 가장 협력적인 고객입니다. 왜냐하면 이들은 새로운 미지의 문제에 직면하고 있기 때문입니다. 개발자들은 AI 도구를 신속하게 활용해야 하지만, 동시에 통제력을 잃을까 봐 우려하고 있습니다. 경쟁 우위를 확보하기 위해 위험과 일시적인 통제력 상실을 감수할 의향이 있지만, 우리의 도움을 통해 신뢰를 회복해야 합니다. 우리의 임무는 고객에게 필요한 속도를 제공하는 동시에 프로세스에 대한 신뢰를 회복하는 것입니다.

최근 60만 달러 규모의 시리즈 B 투자를 마무리했습니다. 이 자금 조달은 기술, 시장 출시, 해외 확장 등 OX의 다음 단계 성장을 어떻게 가속화할 것으로 예상하시나요?

새로운 자금은 근본적으로 확장을 위한 것이며, Agent OX 출시를 통해 이제 확인할 수 있게 된 AI 생성 코드에서 파생된 위험을 식별하는 역량을 강화하는 데에도 도움이 될 것입니다.

저희는 이미 100개 이상의 유료 고객을 위해 매일 200억 줄 이상의 코드를 분석하고 있습니다. 이번 투자 유치를 통해 저희는 그 영향력을 전 세계적으로 확대하는 동시에, 항상 저희를 이끌어 온 핵심 질문, 즉 "이 투자가 개발자들이 중요한 일에 집중하는 데 도움이 되는가? 위험을 줄이는가?"에 집중할 수 있게 되었습니다.

훌륭한 인터뷰 감사합니다. 자세한 내용을 알고 싶은 독자는 방문하세요. OX 시큐리티.