Rami Habal, Magnitude 설립자 겸 CEO – 인터뷰 시리즈

Rami Habal, Magnitude 설립자 겸 CEO는 기업 보안, 머신러닝, 소비자 기술, 그리고 벤처 지원 스타트업에 걸친 경력을 가진 베테랑 사이버보안 및 AI 제품 임원이다. Magnitude를 설립하기 전, 그는 Ballistic Ventures에서 Entrepreneur in Residence로 활동했으며 Abnormal Security에서 4년 이상 근무하면서 Chief Product Officer와 Chief Customer Officer 역할을 맡았다. 이전에는 Habal이 Amazon Alexa의 다중 디바이스 경험을 이끌었고, Reverb에서 제품을 담당했으며, Proofpoint의 초기 직원 중 한 명으로서 스타트업 단계에서 회사가 IPO에 이를 때까지 보안 제품을 구축하고 상용화하는 데 기여했다. 그의 경력에는 벤처 캐피털, 모바일 기술, API, 제품 전략 경험도 포함되어 있어 사이버보안, AI, 엔터프라이즈 소프트웨어 교차점에서 폭넓은 배경을 제공한다.

Magnitude는 주기적인 컴플라이언스 검토를 지속적인 보안 기능으로 전환하는 데 초점을 맞춘 AI 기반 사이버보안 기업이다. 이 회사의 다중 에이전트 플랫폼은 특화된 AI 에이전트를 활용해 공급업체와 제품을 평가하고, 취약점 및 기타 위험 변화를 지속적으로 모니터링하며, 4차, 5차 및 그 이하 파트 의존성을 매핑하고, 공급업체와의 커뮤니케이션을 자동화하며, 복구 관리를 지원한다. 설문지와 특정 시점 평가에 주로 의존하는 대신, Magnitude는 조직 자체 정책에 근거해 추론하고, 추적 가능한 출처와 논리를 갖춘 증거 기반 결정을 제공하도록 설계되었다. 궁극적인 목표는 보안 팀에게 점점 복잡해지는 소프트웨어 및 공급업체 생태계 전반에 걸친 지속적인 가시성을 제공하고, 인간 분석가가 보다 높은 가치의 판단 업무에 집중할 수 있도록 하는 것이다.

Proofpoint, Amazon Alexa, 그리고 Abnormal Security에서 제품을 구축한 경험 이후, 지금이 Magnitude를 설립하기에 적절한 시점이라고 확신하게 된 이유는 무엇인가요? 자율적인 제3자 위험 관리가 별도의 회사가 되어야 한다고 믿게 만든 구체적인 깨달음이나 고객의 고충이 있었나요?

Abnormal에서 근무한 후 회사를 시작하고 싶다는 것을 알았다. 하지만 어떤 문제를 중심으로 회사를 설립해야 할지는 몰랐다. 내 경력 전반에 걸쳐 나는 Proofpoint의 이메일 보안, Alexa의 음성 컴퓨팅, Abnormal의 행동 보안 등과 같이 광범위하고 보편적인 요구를 해결하는 적용 머신러닝 제품에 끌려왔다. 기업을 돕는 그런 동일한 범위의 문제를 또 찾고 싶었다.

그때 에이전트가 등장했다. 이전 머신러닝 물결을 겪으며, 이것이 단순한 제품 기능이 아니라는 것을 알았다. 이는 플랫폼 전환이며, 그런 전환은 흔히 일어나지 않는다.

Ballistic Ventures에서 entrepreneur-in-residence로 활동하던 중, 나는 CISO들과 이 전환이 가장 큰 영향을 미칠 수 있는 영역에 대해 이야기를 나누기 시작했다. 제3자 위험이 반복적으로 언급되었다. 역사적으로 공급업체 위험이 충분히 느리게 변해 주기적인 검토가 따라갈 수 있었기 때문에 TPRM은 GRC 기능 내에 위치하는 것이 타당했다. 그러나 그 가정은 무너지기 시작했다. 모두가 이것이 큰 문제라고 동의했지만, 대부분의 조직은 여전히 연간 설문지, 스프레드시트, 정기 검토 및 방대한 수작업으로 이를 관리하고 있었다. 반응은 일관되었다: 제3자 위험 관리는 중요하지만, 이를 해결할 좋은 방법이 아직 없다.

이것이 Magnitude의 깨달음이었다. 기존 모델이 더 이상 작동하지 않음을 알았고, 기존 스프레드시트 기반 프로세스를 약간 빠르게 만드는 것이 아니라 운영 모델 자체를 완전히 바꿀 수 있는 기술이 필요했다. 처음부터 나는 모든 공급업체가 결국 위험을 지속적으로 평가하는 에이전트 무리를 갖게 될 것이라고 생각했다. Magnitude는 그 믿음에서 시작되었다.

당신은 AI가 인간보다 빠르게 취약점을 식별하고 무기화할 수 있는 \”Mythos 시대\”의 도래를 설명했습니다. 지난 1년 동안 어떤 변화들을 목격했으며, 이것이 미래의 문제가 아니라 이미 진행 중인 전환이라고 확신하게 되었나요?

내가 본 가장 큰 변화는 이러한 공격이 발생하는 속도다. 1년 전만 해도 대화의 대부분은 AI가 궁극적으로 공격자에게 어떤 능력을 제공할 수 있을지에 관한 것이었다. 이제 우리는 그 능력이 실시간으로 형태를 갖추는 것을 볼 수 있다. AI는 공격자가 훨씬 더 큰 소프트웨어 생태계를 조사하고, 이전에 알려지지 않았을 수도 있는 약점을 발견하며, 인간 팀이 따라잡기 어려운 규모로 그 약점을 공격하도록 도울 수 있다.

Mythos 시대에 AI 시스템은 소프트웨어 생태계 전반에 걸쳐 2,000개가 넘는 이전에 알려지지 않은 결함을 찾아내는 능력을 입증했으며, 취약점 발견부터 무기화된 익스플로잇까지의 중앙값 시간이 2026년 말까지 한 시간 이하로 단축될 것으로 예상된다. 발견과 무기화 사이의 시간이 계속 짧아지는 동안, 이는 노출이 나타나는 속도와 전통적인 검토 주기가 대응하는 속도 사이에 격차를 만들게 된다.

우리는 사고 패턴도 같은 방향으로 움직이는 것을 보고 있다. 우리의 분석에 따르면 공급망 공격 빈도는 2024년 한 달에 약 13건에서 2026년에는 월 41건으로 증가했다. 주요 최첨단 모델의 개선과 함께 활동이 증가하고 있음을 확인했다. 모든 모델 출시가 직접적으로 공격을 늘린다고 주장하진 않지만, 이 추세는 무시하기 어렵다. 공격 속도가 가속화됨에 따라 도구들의 역량도 더욱 향상되고 있다.

이 변화를 실제로 확인시켜 주는 것은 제가 보안 리더들과 나누는 대화입니다. 그들은 더 이상 제3자 위험을 연간 검토와 갱신 시점에만 다룰 수 있는 문제로 이야기하지 않습니다. 공급업체, 소프트웨어 의존성, 하위 공급업체가 지속적으로 변하기 때문에 검토 사이의 몇 개월 동안 위험에 노출된 느낌을 받습니다.

그것이 제가 생각하는 Mythos 시대의 의미입니다. 위험을 이해하고 대응할 수 있는 시간 창이 좁아지는 반면, 단일 공급업체가 침해될 경우의 잠재적 영향은 커지고 있습니다. 주기적인 컴플라이언스 프로세스는 이러한 환경을 위해 설계된 것이 아닙니다.

많은 기업이 조직 전반에 AI 에이전트를 빠르게 배치하고 있습니다. 이러한 에이전트가 외부 공급업체, API 및 하위 의존성과 점점 더 많이 상호 작용하게 될 때, 보안 리더는 거버넌스를 어떻게 재고해야 할까요?

보안 리더가 먼저 인식해야 할 점은 회사 내부에서 만든 AI 에이전트라도 완전히 내부에만 국한되지 않을 수 있다는 것입니다. 외부 플랫폼, MCP를 통한 서드파티 스킬, Google Drive와 같은 서비스, 혹은 조직이 직접 제어하지 않는 다른 기술에 의존할 수 있습니다. 그리고 이러한 공급업체 각각도 자체 공급업체를 가지고 있을 수 있습니다.

에이전트 자체를 승인하는 것만으로는 더 이상 충분하지 않습니다. 리더는 에이전트가 어떤 정보를 접근할 수 있는지, 어떤 행동을 수행할 수 있는지, 어떤 외부 서비스에 의존하는지, 그리고 언제 인간의 승인이 필요한지를 파악해야 합니다. 또한 에이전트가 새로운 기능을 얻거나 새로운 시스템에 연결되거나 추가적인 하위 공급업체에 의존하기 시작하면서 이러한 의존성이 시간이 지나면서 어떻게 변하는지도 이해해야 합니다. 이러한 통제는 한 번 설정하고 잊어버릴 수 없습니다. 에이전트가 새로운 기능이나 연결을 얻을 때마다 거버넌스도 그에 맞게 조정되어야 합니다.

목표는 AI 도입을 늦추는 것이 아니라, 기업이 에이전트를 자신 있게 사용할 수 있을 만큼 충분한 가시성을 제공하는 것입니다. 거버넌스는 새로운 도구가 도입될 때 일회성 승인으로 끝나는 것이 아니라, 지속적인 보안 실천으로 자리 잡아야 합니다.

제3자 위험 관리는 전통적으로 설문지와 주기적인 검토에 의존해 왔습니다. AI 중심 환경에서 이 모델이 근본적으로 무너진다고 생각하는 이유는 무엇인가요? 

전통적인 TPRM 모델의 문제는 특정 시점에 공급업체가 사실이라고 주장한 내용을 스냅샷 형태로 제공한다는 점입니다. 기업은 처음 승인될 때 설문지를 작성하고, 갱신 시점까지 다시 검토되지 않을 수 있는데, 이는 몇 년이 될 수도 있습니다. 그 사이에 기술, 보안 관행, AI 모델, 데이터 사용 및 공급업체가 모두 변할 수 있습니다. 향후 몇 주 안에 무엇이 변할지 겨우 예측할 수 있을 뿐이므로, 수년 전 평가에 의존하는 것은 더 이상 타당하지 않습니다.

정보의 신뢰성에 대한 질문도 있습니다. 거래를 진행하려는 사람이 입력한 보고된 답변은 독립적인 감사, 서명된 기업 보고서, 혹은 다른 검증 가능한 출처가 뒷받침하는 사실과는 다릅니다. 보안 리더는 답변이 무엇인지뿐만 아니라 그 출처가 어디인지, 그리고 아직 최신인지도 알아야 합니다.

마지막으로, 설문지는 보통 직접적인 공급업체까지만 다룹니다. 숨겨진 4차·5차 관계와 같은 N차 파트너는 거의 표시되지 않지만, 이러한 관계가 실제 위험을 초래할 수 있습니다. 공격자들은 이제 기업의 가장 약한 고리가 기업 자체가 아니라 이러한 하위 공급업체 중 하나라는 것을 알고 있습니다. 그 공급업체를 공격하면 궁극적으로 기업에 접근할 수 있게 됩니다. 이는 비용도 적게 들고 더 쉽습니다.

그래서 저는 단순히 AI를 사용해 설문지를 더 빠르게 작성하는 것이 답이라고 생각하지 않습니다. 그 모델에서는 항상 빈틈이 존재합니다. 모델 자체가 주기적인 자체 보고 스냅샷에서 기업의 공급망만큼 깊은 연속적이고 실시간이며 증거 기반의 위험 이해로 바뀌어야 합니다.

Magnitude는 보안 팀을 위한 자율 AI 인력 개념을 도입했습니다. 특히 고위험 보안 의사결정에서 AI 기반 의사결정과 인간 감독 사이의 균형을 어떻게 보시나요? 

자율적이라고 해서 책임이 없다는 의미는 아닙니다. 제 생각에는 AI가 보안 팀의 많은 시간을 소모하는 중요하지만 반복적인 작업을 담당하고, 판단이나 맥락이 필요하거나 비즈니스에 큰 영향을 미치는 결정에서는 사람이 관여하도록 해야 합니다. 실제로 현재 어느 보안 팀도 현재 과제를 수행할 충분한 자원을 가지고 있지 않습니다. AI가 그 격차를 메우는 데 도움이 될 수 있습니다.

AI의 품질은 매우 중요합니다. AI가 잘 구현되면 팀의 역량을 크게 확대하는 힘이 됩니다. 팀은 더 많은 용량을 확보하고 구성원은 고부가가치 업무에 집중할 수 있습니다. 반대로 AI가 부실하게 구현되면 모든 결과물을 누군가가 재검토해야 하므로 오히려 효율이 떨어집니다. 고위험 보안 의사결정에서는 시스템이 높은 품질을 유지하고, 사용한 증거와 권고에 도달한 과정을 보여줄 수 있어야 하며, 이를 통해 감사 가능한 기록을 생성해야 합니다.

적절한 감독 수준은 조직마다 다를 수 있습니다. 보안 팀이 잘 갖춰진 대기업은 AI를 자동조종 장치처럼 활용하고, 사람은 작업을 감독하며 예외 상황에 개입할 수 있습니다. 인력이 부족하거나 예산이 제한된 소규모 조직은 프로그램의 많은 부분을 자동화할 수 있습니다. 어느 경우든 문제가 사람에게 전달되는 명확한 지점이 있어야 합니다.

궁극적으로 조직은 의사결정의 중요도에 따라 원하는 인간 개입 정도를 결정할 수 있어야 합니다. 목표는 보안을 위해 사람을 배제하는 것이 아니라, 그들의 시간을 보다 효율적으로 활용하고, 비즈니스 결정을 신속히 내리며, 인간의 주의를 가장 큰 가치를 창출하는 의사결정에 집중하도록 돕는 것입니다.

귀하의 팀은 AI, 사이버보안, 그리고 대규모 소비자 플랫폼 분야의 전문성을 결합하고 있습니다. 이러한 조합이 기존 사이버보안 제품과 비교해 Magnitude를 설계하는 방식에 어떤 영향을 미쳤나요? 

우리 각자의 배경은 AI 보안 제품이 수행해야 할 역할에 대해 서로 다른 교훈을 주었습니다. 사이버보안에서는 답변이 신뢰할 수 있고, 증거로 추적 가능하며, 실행 가능할 때만 유용합니다. AI와 머신러닝 분야에서 우리는 단순히 정보를 요약하는 것이 아니라 전문가의 작업을 일관되게 수행할 수 있는 시스템으로 전환하는 것이 진정한 기회임을 배웠습니다. Alexa와 Pandora와 같은 플랫폼을 구축하면서 우리는 대규모에서 신뢰성과 사용성을 고려해야 함을 깨달았습니다.

이러한 교훈은 이미 과중한 업무를 맡고 있는 팀이 조사해야 하는 또 다른 대시보드나 알림 스트림을 제공하는 전통적인 사이버보안 모델에서 벗어나게 했습니다. 우리는 Magnitude를 설계하여 작업을 수행하도록 했습니다: 정보 수집 및 검증, 공급업체 평가, 변화 모니터링, 새로운 정보를 비즈니스 위험에 연결하고, 문제를 해결 방향으로 이동시키는 것입니다.

그 이면에서는 여러 특화된 AI 에이전트가 협업합니다. 그러나 고객 경험은 여전히 간단해야 합니다. 보안 팀이 시스템이 발견한 내용, 그 의미, 그리고 취해야 할 조치를 이해하기 위해 AI 전문가가 될 필요는 없습니다.

그 결과는 수천 개의 공급업체에 걸쳐 지속적으로 운영되면서도 고위험 보안 의사결정에 필요한 기준을 충족하는 제품입니다. 이는 기존 워크플로에 AI를 얹은 것이 아니라, 처음부터 AI가 워크플로의 대부분을 수행하고 사람에게 증거, 가시성, 제어권을 제공한다는 개념으로 구축되었습니다.

사이버보안 분야에서 AI와 관련된 가장 큰 우려 중 하나는 방어자와 공격자 모두에게 힘을 실어준다는 점입니다. 현재 이점이 방어자에게 있는가, 아니면 공격자에게 있는가? 그리고 향후 몇 년 동안 누가 앞서 나갈지를 결정하는 요인은 무엇이라고 보십니까?

현재는 특히 공급망 공격 측면에서 공격자에게 유리한 상황이라고 생각합니다. 방어자가 완전히 뒤처졌다고 말하고 싶지는 않습니다. 방어자를 위한 행동 촉구는 이를 미래의 문제로만 여기지 말고 지금 바로 더 빠르게 움직이라는 것입니다. 양측 모두 동일한 AI 도구에 접근할 수 있지만, 현재는 경제성 및 시장 진입 속도가 공격자에게 유리합니다.

AI는 더 많은 공격 경로를 테스트하고, 더 깊은 단계(N-레벨)에서 시도를 실행하며, 그 과정을 대규모로 반복하는 것을 저렴하고 쉽게 만듭니다. 공격자가 널리 사용되는 공급업체나 소프트웨어 구성요소를 장악하면, 하나의 성공적인 공격이 수백, 심지어 수천 개의 기업에 퍼질 수 있습니다.

방어자는 방대한 공급업체, 소프트웨어 구성요소, 하위 공급망을 이해하고 보호해야 하는 어려운 과제를 안고 있습니다. 또한 기업이 대응하고, 도움이 되는 소프트웨어를 구매하며, 이를 운영화하는 데 시간이 걸리기 때문에 공격자가 활용할 수 있는 창이 생깁니다.

누가 앞서 나갈지를 결정하는 핵심은 방어자가 그 방정식을 바꿀 수 있느냐입니다. 방어자는 가끔씩 검토하고 수동으로 후속 조치를 취하는 수준을 넘어, 지속적인 모니터링과 신속한 조치를 구현해야 합니다. 변화 를 지속적으로 감시하고 비즈니스 위험에 연결하며 빠르게 대응할 수 있는 자동화된 거버넌스 및 방어 시스템은 공격을 확산시키기 어렵게 만들고, 반복 비용을 높일 것입니다.

사이버보안은 언제나 쫓고 쫓기는 게임이었습니다. AI가 그 자체를 바꾸지는 않지만, 속도와 위험 수준을 높입니다. 방어자는 공격자가 점점 빠르게 움직이는 속도에 맞춰 학습하고, 적응하며, 행동할 수 있는 시스템이 필요합니다.

AI 공급망은 점점 복잡해지고 있으며, 조직은 수많은 기본 모델, SaaS 벤더, 자율 에이전트에 의존하고 있습니다. 기업이 아직 과소평가하고 있는 신흥 위험은 무엇이라고 보십니까?

가장 과소평가되는 위험은 기업이 승인했다고 생각하는 제품 뒤에 숨은 기술입니다. 내부에서 구축한 에이전트라도 외부 플랫폼, 플러그인, 계약업체, 소프트웨어 구성요소에 의존할 수 있습니다. 이러한 숨겨진 관계는 직접 공급업체 뒤에 있는 공급업체, 즉 N차 공급업체 위험을 초래합니다.

대다수 기업은 그 깊은 계층에 대해 거의 가시성이 없습니다. 계약을 체결한 상대는 알지만, 최종적으로 제품을 지원하는 모든 외부 서비스, 소프트웨어 구성요소, 하청업체까지는 파악하지 못합니다.

또 다른 문제는 이러한 시스템이 서로 연결된 정도입니다. 하나의 플러그인이나 지원 서비스의 약점이 해당 제공업체에만 국한되지 않을 수 있습니다. 이는 더 큰 플랫폼으로 연결되는 경로를 만들고, 이를 이용하는 다수 조직에 영향을 미칩니다. 따라서 비교적 작은 공급업체가 훨씬 큰 노출 원천이 될 수 있습니다.

따라서 위험 관리자는 단순히 “우리는 어떤 AI 모델을 사용하고 있나요?” 라고 묻는 것이 아니라, “이 시스템은 무엇에 의존하고, 그 공급업체들은 무엇에 의존하며, 체인 어디에서 발생한 문제가 우리에게 어떻게 전달될 수 있는가?” 라는 질문을 해야 합니다. 기업이 이러한 질문에 답할 수 있을 때까지, 보이지 않는 위험을 계속해서 물려받게 될 것입니다.

오늘날의 대형 언어 모델을 넘어, 향후 5년 동안 어떤 기술 개발이 기업 사이버 보안 및 위험 관리를 가장 크게 재구성할 것으로 예상하십니까? 

저는 정의적인 변화가 하나의 새로운 모델이 될 것이라고 생각하지 않습니다. 질문에 답하는 AI에서 상황을 지속적으로 관찰하고, 다양한 출처의 정보를 연결하며, 행동을 취할 수 있는 AI 시스템으로의 전환이 될 것입니다.

다음 세대 모델은 단순히 약간 향상되는 것이 아니라 훨씬 더 강력해질 것입니다. 그러나 더 큰 변화는 보안 운영 전반에 걸쳐 협업하는 특화된 에이전트에서 비롯될 것입니다. 현재 벤더 검토, 위협 정보, 비즈니스 위험 및 복구 작업은 종종 별도의 도구와 팀에 의해 관리됩니다. 시간이 지나면서 이러한 기능들이 하나로 통합되기 시작할 것입니다.

보안 시스템이 훨씬 더 연결되어 위협 정보, 비즈니스 컨텍스트, 회사 정책 및 대응 조치를 별도의 도구가 아니라 하나로 결합할 것으로 기대합니다. 이를 통해 공급업체가 새로운 위협에 노출되었음을 인식하고, 비즈니스의 어느 부분이 영향을 받을 수 있는지 파악하며, 여러 수동 전달을 기다리지 않고도 대응을 시작하도록 도울 수 있습니다.

이는 위험 관리를 일련의 주기적인 연습에서 지속적인 운영 역량으로 변화시킬 것입니다. 가장 강력한 위험 프로그램은 기업 컨텍스트, 신뢰할 수 있는 증거, 그리고 정보를 신뢰할 수 있는 행동으로 전환하는 능력을 중심으로 구축될 것입니다.

다음 세대 AI 기반 위협에 대비하는 CISO와 기업 리더에게 한 가지 조언을 제공한다면, 그것은 무엇이며 오늘 우선순위로 삼아야 할 행동은 무엇인가요?

제 조언은 공급망 위험 관리를 연 1회 수행하는 연습으로 중단하라는 것입니다. 위험은 지속적으로 변하며, 귀사의 접근 방식도 그에 맞춰야 합니다. 환경은 살아 숨쉬고 있습니다. 너무 연결되어 있어 별도의 검토와 도구만으로는 변화 속도를 따라잡기 어렵습니다.

이 새롭게 등장하는 공격 표면을 보호하는 방법은 모든 외부 위험에 대해 지속적이고 자율적인 거버넌스와 방어를 제공하는 단일 AI 네이티브 제어 평면을 활용하는 것입니다.

시작점은 가장 중요한 비즈니스 영역입니다. 해당 핵심 운영을 지원하는 공급업체와 외부 서비스를 식별하고, 숨겨진 의존성이 어디에 있는지 파악하며, 위험이 발견될 때의 책임 소유자를 명확히 설정하십시오. 그런 다음 지속적인 모니터링과 일상적인 대응을 가능한 한 자동화하되, 비즈니스에 중대한 영향을 미치는 결정에는 사람을 참여시켜야 합니다.

목표는 단순히 정보를 더 많이 수집하는 것이 아니라, 알고 있는 정보를 지속적으로 연결하고, 무엇이 중요한지 판단하며, 공급업체 문제가 전사적인 문제로 확대되기 전에 조치를 취하는 것입니다.

훌륭한 인터뷰에 감사드립니다. 더 알아보고 싶은 독자들은 Magnitude를 방문하십시오.