Willem Delbare, Aikido의 공동 창립자 및 CEO – 인터뷰 시리즈

Willem Delbare, Aikido의 공동 창립자 겸 CEO는 개발자 중심 소프트웨어 기업을 구축해 온 연쇄 SaaS 창업가이자 기술 창업가입니다. 2022년 Aikido를 시작하기 전에는 HR 플랫폼 Officient, 지속 가능성 이니셔티브 FutureproofedCities, CRM 기업 Teamleader를 공동 설립했습니다. Teamleader에서는 CTO로 일하며 벨기에의 대표적인 SaaS 성공 사례 중 하나로 성장하는 데 기여했습니다. 그는 클라우드 인프라, SaaS 확장성, 사이버 보안의 복잡한 기술 문제를 단순화하는 데 주력해 왔습니다. 그의 리더십 아래 Aikido는 현대적인 개발팀을 위한 실용적인 보안 솔루션에 집중하며 유럽에서 가장 빠르게 성장하는 사이버 보안 스타트업 중 하나로 자리 잡았습니다.

Aikido는 벨기에에 본사를 둔 사이버 보안 기업으로, 개발자와 엔지니어링 팀이 하나의 통합 플랫폼으로 애플리케이션과 클라우드 환경을 보호하도록 돕습니다. 코드 스캔, 의존성 분석, 클라우드 보안 태세 관리, 런타임 보호, AI 지원 테스트를 간소화된 시스템으로 결합합니다. 복잡성과 오탐을 줄이고 여러 공급업체에 분산된 보안 도구를 관리할 필요를 없애려는 접근입니다. 개발자를 우선하는 철학을 바탕으로 자동화, 지속적인 모니터링, 간소화된 문제 해결 절차를 강조해 소프트웨어 개발 수명 주기에 보안을 직접 통합하도록 돕습니다.

Teamleader와 Officient 같은 회사를 구축하고 성장시킨 경험 중 어떤 것들이 2022년 Aikido Security 설립으로 이어졌나요? 기술 창업가로서의 배경은 개발자 친화적인 사이버 보안에 대한 비전을 어떻게 형성했나요?

지난 10년 동안 저는 B2B SaaS에서 제 소명을 찾았습니다. 기술 공동 창립자이자 CTO로 세 스타트업을 거쳤고, HR 기술, 청구서 발행 기술, 탄소 회계 분야에서 세 차례 엑시트를 경험했습니다. 서로 매우 다른 분야였지만 집념은 같았습니다. 사용자가 노트북을 창밖으로 던지고 싶어지지 않는 소프트웨어를 만드는 것이었죠.

하지만 어느 회사에서나 보안 때문에 밤잠을 설쳤습니다. 데이터 유출에 대한 두려움은 현실이었고, 도움이 되어야 할 도구들은 F-16 조종석 같았습니다. 비싸고 복잡하며, 소프트웨어를 빠르게 출시하려는 개발팀보다는 컴퓨터과학 박사에게 맞춰져 있었죠.

우리는 이 문제를 정면으로 해결하기 위해 Aikido Security를 설립했습니다. 규모와 관계없이 모든 조직에 개발자 중심의 통합 소프트웨어 보안 플랫폼을 제공합니다. 코드, 클라우드, 런타임의 핵심 보안 기능을 한곳에 모아 개발자가 안전하게 소프트웨어를 출시하도록 돕습니다.

그 이후 AI는 소프트웨어 개발과 배포를 더욱 가속했고 공격 표면도 넓혔습니다. 다음 단계는 스스로 보안을 유지하는 소프트웨어를 통해 조직이 이 속도를 따라가도록 돕는 것입니다.

2월에는 Aikido Infinite를 출시했습니다. 코드가 프로덕션에 도달하기 전에 실제 악용 가능성을 검증하고 문제 해결의 순환을 완결하는 지속적인 AI 침투 테스트 솔루션입니다.

개발 환경은 이제 가장 큰 보안 사각지대 중 하나로 꼽힙니다. 최근 어떤 변화 때문에 이 문제가 그토록 중요해졌나요?

개발자 컴퓨터는 항상 가치 있는 표적이었습니다. 클라우드 자격 증명, SSH 키, npm 게시 토큰, Kubernetes 설정, 소스 코드에 대한 직접 접근 권한이 있기 때문입니다. 다만 지난 6~12개월 사이 공격자들은 개발자가 이미 신뢰하는 도구를 통해 이 컴퓨터들을 얼마나 쉽게 침해할 수 있는지 깨달았습니다.

우리는 일 년 내내 이를 추적했습니다. Trivy, TanStack, Bitwarden CLI, VS Code 확장 프로그램 Nx Console, 그리고 이제 GitHub까지 모두 개발 도구를 통해 침해됐습니다. 모든 경우에 표적은 기기였습니다.

문제는 대부분의 보안팀이 그 컴퓨터에서 실제로 무엇이 실행되는지 볼 수 없다는 것입니다. EDR은 애플리케이션 수준을 감시하지만 그 안에서 실행되는 패키지, 확장 프로그램, AI 도구는 보지 못합니다. 반면 개발자들은 거의 검증하지 않은 채 매일 새로운 패키지와 확장 프로그램, AI 도구를 추가합니다. LLM은 그럴듯한 악성 코드를 만들기도 쉽게 해 공격자 전반의 진입 장벽을 낮췄습니다. 개발자 컴퓨터에 실제로 있는 것과 보안팀이 볼 수 있는 것 사이의 이 간극이 모든 공격이 일어나는 지점입니다.

공급망 공격과 AI 도입이 함께 늘어나는 상황에서 AI는 공격자와 방어자 사이의 균형을 어떻게 바꾸고 있나요?

AI는 공급망 악성 코드를 만드는 일을 훨씬 쉽게 했습니다. 그럴듯한 공격 페이로드를 만들고 코드를 난독화하며, 악용할 수 있을 정도로 패키지 레지스트리를 이해하려면 예전에는 실제 기술력이 필요했습니다. 이제는 LLM 구독이면 됩니다. 최근 GitHub 침해를 포함해 올해 주요 공격 대부분을 일으킨 TeamPCP에서 이를 직접 확인했습니다. 특별히 정교한 집단은 아니지만 공격을 많이 벌이며, AI가 그 규모를 키우는 데 크게 기여했습니다. 1년 전에는 개별 패키지 침해를 다뤘습니다. 지금은 Shai-Hulud 같은 자가 복제 웜과 여러 레지스트리로 이어지는 연쇄 캠페인이 나타납니다. 한 번의 침해로 훔친 자격 증명이 다음 침해를 가능하게 하는 것입니다.

AI는 방어에도 도움이 되지만 방식이 다릅니다. 보안팀은 이제 수백 개의 공격 경로를 동시에 시도하는 AI 에이전트로 전체 코드베이스를 지속적으로 침투 테스트할 수 있습니다. 덕분에 여전히 사람의 판단이 필요한 결정에 시간을 쓸 수 있습니다. 기기에서도 AI는 설치할 내용을 개발자 컴퓨터에 들어오기 전에 분석해 악성 패키지를 더 일찍 찾아냅니다. 하지만 솔직히 현재 AI의 혜택은 방어자보다 공격자가 더 많이 받고 있습니다. 악성 코드 생성의 장벽이 탐지의 장벽보다 더 빨리 낮아졌기 때문입니다.

Aikido는 보안을 더 앞선 단계로 옮겨야 한다고 말합니다. 오늘날 소프트웨어를 개발하고 출시하는 팀에 구체적으로 어떤 의미인가요?

업계는 수년간 보안을 왼쪽, 즉 CI/CD 파이프라인의 앞선 단계로 옮겨 왔습니다. 하지만 공격 표면은 그보다 더 앞선 개발자 컴퓨터 자체로 이동했습니다. GitHub 침해가 좋은 예입니다. 프로덕션의 안전하지 않은 코드가 문제가 아니었습니다. 개발자 한 명의 노트북에 있던 VS Code 확장 프로그램이 침해돼 코드 한 줄을 쓰기도 전에 자격 증명을 유출한 것입니다.

실제로는 코드가 작성되고 도구가 설치되는 곳에서 보안이 지속적으로 작동해야 한다는 뜻입니다. 개발자 기기에서 실행되는 것을 검증하고, 악성 패키지와 확장 프로그램이 기기에 들어오기 전에 차단하며, 예정된 검토를 기다리는 대신 코드가 바뀔 때 악용 가능한 위험을 자동으로 테스트해야 합니다. 목표는 탐지, 검증, 해결이 사후의 별도 과정이 아니라 개발 흐름 안에서 완결되는 순환입니다.

AI 에이전트가 의존성과 도구를 자동으로 내려받는 상황에서 기업은 오픈 소스와 서드파티 코드에 대한 신뢰를 어떻게 재고해야 하나요?

AI 에이전트는 기본적으로 사람의 감독을 거의 받지 않고 의존성과 도구를 자동으로 가져옵니다. 누구도 명시적으로 설치하기로 선택하지 않은 코드가 개발자 컴퓨터에서 실행되므로 신뢰 모델이 근본적으로 달라집니다.

Vercel 침해는 이것이 어떻게 잘못될 수 있는지 보여 줍니다. Vercel이 직접 해킹된 것은 아닙니다. 정상적인 AI 확장 프로그램이 직원의 Google 계정에 OAuth 접근 권한을 갖고 있었는데, 공급업체 측의 정보 탈취 악성 코드 때문에 상위 단계에서 침해됐습니다. 신뢰하는 서드파티 코드가 진입점이 되는, 오픈 소스에서 반복되는 패턴입니다. 개발자 워크스테이션이 침해되면 공격자가 신뢰받는 엔지니어와 같은 접근 권한을 얻으므로 위험은 더 커집니다. 코드를 수정하고 악성 의존성을 삽입하거나 정상 소프트웨어의 변조 버전을 게시할 수 있습니다. 빌드 파이프라인이 그 변경을 받아들이면 신뢰하는 업데이트를 통해 하위 단계로 확산됩니다.

기업은 개발자 컴퓨터의 모든 것을 공격 표면으로 간주해야 합니다. AI 에이전트, 에이전트가 설치하는 도구, 의존하는 확장 프로그램까지 전부 포함됩니다. 알려진 오픈 소스 패키지만 볼 수 있다면 공격이 실제로 일어나는 계층을 놓치는 것입니다.

스스로 보안을 유지하는 소프트웨어라는 개념은 매력적입니다. 이를 대규모로 실현하려면 어떤 핵심 역량이 필요한가요?

완결된 순환이 필요합니다. 코드가 바뀔 때마다 실제 공격 경로를 테스트하고, 문제가 정말 악용 가능한지 확인하거나 그렇지 않다면 해당 발견을 제외할 수 있어야 합니다. 개발 흐름 안에서 수정안을 생성하고 적용한 뒤 다시 테스트해 효과를 검증해야 합니다. 이 모든 과정이 사람이 일정을 잡기를 기다리지 않고 지속적으로 돌아가야 합니다. 보안에서 사람을 없애려는 것이 아니라 끊임없이 필요한 작업을 처리해 팀이 실제 판단이 필요한 결정에 집중하도록 하려는 것입니다.

개발자들은 보안 도구의 지나치게 많은 경고와 오탐 때문에 어려움을 겪습니다. Aikido는 팀이 정말 중요한 일에 집중하도록 어떻게 돕나요?

State of AI in Security & Development 설문에서 보안 책임자의 3분의 2는 오탐 때문에 팀이 보안 절차를 우회하거나 발견 사항을 무시하거나 수정을 미룬 적이 있다고 답했습니다. 불필요한 경고가 많은 도구의 실제 비용이 이것입니다. 시간을 낭비할 뿐 아니라 사람들이 경고를 신뢰하지 않게 만들어 보안을 적극적으로 약화합니다.

Aikido에서는 도달 가능성 분석과 자동 분류로 이를 해결합니다. 모든 취약점을 표시한 뒤 무엇이 중요한지 팀이 판단하게 하는 대신, 여러분의 코드에서 실제로 도달 가능하고 여러분의 환경에서 악용 가능한지 확인합니다. 그렇지 않으면 여러분의 팀은 그 경고를 아예 보지 않습니다. 경고 수를 크게 줄이고, 전달되는 경고는 조치할 가치가 있도록 합니다.

플랫폼은 코드, 클라우드, 런타임 보안과 자동 침투 테스트를 결합합니다. 여러 독립 도구보다 통합 접근법이 더 효과적인 이유는 무엇인가요?

State of AI in Security & Development 설문에서는 직관에 어긋나는 결과가 나왔습니다. 보안 사고를 겪은 팀은 사고가 없었던 팀보다 더 많은 공급업체의 도구를 사용했습니다. 도구가 많다고 보안이 좋아진 것은 아니었습니다. 불필요한 경고와 중복된 발견이 늘고, 문제를 해결하는 대신 여러 대시보드의 경고를 연관 지어 분석하는 데 더 많은 시간이 들었습니다.

그래서 Aikido를 코드, 클라우드, 런타임, 의존성, 파이프라인을 포괄하는 하나의 플랫폼으로 만들었습니다. 모든 신호를 한곳에 모으면 중복을 없애고 코드 취약점이 클라우드 환경에서 실제로 도달 가능한지 파악하며, 모든 스캐너 출력을 똑같이 긴급하게 취급하는 대신 실제 위험에 따라 우선순위를 정할 수 있습니다. 팀은 도구 사이에서 발견 사항을 분류하는 시간을 줄이고 중요한 문제를 고치는 데 더 많은 시간을 씁니다. 다만 각 기능은 독립적으로도 경쟁력이 있어야 합니다. 모든 기능이 평범한 플랫폼은 문제를 한곳에 모을 뿐입니다. 각 부분이 독립적인 대안만큼 뛰어나거나 더 나아야 하며, 그렇지 않으면 통합의 논리가 성립하지 않습니다.

Aikido는 빠르게 성장하며 짧은 시간에 큰 호응을 얻었습니다. 이 속도로 사이버 보안 기업을 구축하고 성장시키면서 가장 어려웠던 점은 무엇인가요?

가장 눈에 띄는 것은 우리가 벨기에의 사이버 보안 기업이라는 점입니다. 이 산업은 전통적으로 텔아비브와 실리콘밸리에서 성장했기 때문에 처음에는 다른 곳에서도 세계적 수준의 보안 플랫폼이 나올 수 있는지 의심받았습니다. 하지만 그 거리가 오히려 장점이 됐습니다. 기존 방식을 답습하지 않고 개발자 우선 접근과 팀이 스스로 도입할 수 있는 통합 제품에서 출발했습니다. 그렇게 중소기업을 위한 개발자 보안 플랫폼으로서 조용히 지배적인 위치에 올랐습니다.

더 큰 과제는 속도입니다. 2026년 1월 시리즈 B를 통해 유니콘이 됐고, 지난해 매출은 5배로 늘었습니다. 현재 Premier League, Revolut, SoundCloud를 포함한 10만 개 이상의 팀이 우리를 신뢰합니다. 올해에만 공급망 보안을 위한 Device Protection, AI 침투 테스트를 위한 Infinite, 바이브 코딩 흐름에 보안을 내장하기 위한 Lovable과의 파트너십을 선보였습니다. 이 속도로 나아가면서 플랫폼의 모든 부분에서 품질을 유지하는 것은 끊임없는 과제입니다. 그래도 좋은 고민이죠.

AI 네이티브 개발이 표준이 되는 상황에서 향후 몇 년간 소프트웨어 보안은 어떻게 달라질까요?

솔직히 기존 보안 절차는 이미 속도를 따라가는 데 어려움을 겪고 있습니다. 정기 검토, 예정된 침투 테스트, 사후 스캔은 사실상 더는 존재하지 않는 개발 속도를 전제로 합니다. AI 생성 코드와 자율 에이전트는 이런 절차가 검증할 수 있는 속도보다 빠르게 변화를 만듭니다.

보안은 소프트웨어 개발에 직접 내장된 지속적인 피드백 순환이 되어야 한다고 생각합니다. 우리는 이를 스스로 보안을 유지하는 소프트웨어라고 부릅니다. 모든 코드 변경을 실제 공격 경로로 테스트하고, 발견 사항의 실제 악용 가능성을 검증하며, 수정안을 생성하고 다시 테스트합니다. 사람이 일정을 잡기를 기다릴 필요가 없습니다. 초기 형태는 이미 존재하며 코드, 클라우드, 런타임, 공급망 전반에 이를 구축하고 있습니다.

그다음은 스스로 유지보수하는 소프트웨어입니다. 보안이 문제를 찾아 고치는 데 그치지 않고 시간이 지나도 코드베이스의 건전성을 적극적으로 유지하는 것입니다. 좀 더 먼 미래지만 토대는 이미 만들어지고 있습니다. 확실한 것은 AI 덕분에 고도화된 공격을 실행하는 장벽이 이미 무너졌으며 방어도 같은 속도로 움직여야 한다는 점입니다.

유익한 인터뷰 감사합니다. 더 알아보고 싶은 독자는 Aikido를 방문해 보세요.