[ISEC 2026 미리보기] XBOW, 자율 모의해킹으로 보안 검증의 기준 다시 쓰다

인간의 한계를 넘어서는 AI

[보안뉴스 엄호식 기자] AI 에이전트가 인간 화이트해커를 제치고 글로벌 버그바운티 정상에 오른 사건은, 애플리케이션 보안이 새로운 국면에 접어들었음을 알리는 신호였다. 2025년 HackerOne 전미 랭킹 1위를 기록한 주인공은 사람이 아닌 XBOW의 AI 에이전트였다.

’탐지’에서 ‘검증’으로
XBOW는 웹 애플리케이션과 API를 대상으로 실제 공격자 관점의 침투 테스트를 자율 수행하는 AI 플랫폼이다. 기존 스캐너가 ‘잠재적 취약점 목록’을 남기고 끝났다면, XBOW는 그 취약점이 실제로 악용 가능한지 직접 공격해 증명한다. 보안팀이 수백 건의 오탐(false positive)을 걸러내는 데 소모하던 시간을, 검증된 실제 위협에 집중하는 시간으로 전환하는 방식이다.

발견된 취약점에는 요약과 재현 절차, 예상 보안 영향, 근본 원인 분석과 대응 방안이 함께 제공된다. 조치 후에는 자동 재검증이 수행돼 “고쳤다고 믿었지만 고쳐지지 않은” 사각지대를 제거한다. 사람이 수 주에 걸쳐 수행하던 모의해킹 사이클이, 코드 배포 주기에 맞춰 상시 반복 가능한 프로세스로 압축되는 셈이다.

속도가 증명한 기술력
XBOW는 2025년 HackerOne 전미 랭킹에서 AI 최초로 1위에 올랐다. 수만 명의 인간 화이트해커를 상대로 거둔 결과이며, 미국 랭킹이 사실상 글로벌 최상위권과 동일한 위상을 갖는다는 점에서 의미가 크다. 그리고 2년 만에 유니콘이 됐다.

2026년 5월 엔비디아의 벤처투자 부문 NVentures를 비롯해 삼성, 액센추어 벤처스, 센티넬원이 참여한 투자로 기업가치 10억달러를 달성했다. 반도체·클라우드·엔드포인트 보안·글로벌 SI를 아우르는 투자자 구성은, XBOW의 기술이 특정 영역이 아닌 소프트웨어 공급망 전반을 겨냥하고 있음을 보여준다. 전략적 투자자들이 각자의 고객 기반을 XBOW에 연결할 명분을 찾았다는 뜻이기도 하다.

한국을 APAC 거점으로
XBOW는 삼성SDS와의 전략적 협력을 시작으로 한국을 아시아태평양 시장 확대의 교두보로 삼는다. 금융, 제조, 통신 등 규제 강도와 공격 표면이 동시에 커지는 산업군이 우선 대상이다. 국내 기업들이 글로벌 수준의 애플리케이션 보안 검증을 상시 체계로 내재화할 수 있도록 지원한다는 구상이다.

XBOW가 그리는 그림은 단순한 도구 판매가 아니다. 공격자가 AI로 무장하는 시대에 방어자 역시 동일한 속도와 규모를 갖춰야 한다는 것, 그리고 그 격차를 메우는 유일한 방법이 자율 에이전트라는 것이 이 회사의 명제다. ISEC 2026에서 XBOW는 이 명제의 현재형을 시연하며, 이원래 총괄 대표의 ‘AI 시대의 자율 침투테스트: Mythos 평가가 보여준 AI 보안의 현실과 한계’를 주제로 한 단독 세션과 XBOW 부스에서 참관객과 만날 예정이다.

한편, 대한민국 대표 사이버보안 콘퍼런스이자 아시아 최대 규모로 자리 잡은 ‘ISEC 2026’(제20회 국제 시큐리티 콘퍼런스)가 오는 8월 11일(화)부터 12일(수)까지 양일간 서울 코엑스에서 개최된다. ISEC 2026은 AI의 급속한 발전으로 단순한 자동화를 넘어 AI 에이전트로 가능해진 ‘자율성’에 초점을 맞춰 AI 보안의 미래를 조망하는 의미를 담은 ‘AI로 구현하는 자율 보안의 미래’를 주제로 코엑스 전시장(Hall D)과 오디토리움(3F), 아셈볼룸(2F)에서 지난해보다 확대된 규모로 개최된다. 특히 2026년에는 총 20여개 트랙, 100개 세션 발표와 150여개 사이버보안 솔루션 기업이 참여한 170여개의 솔루션 전시 부스도 마련될 전망이다.

아울러 행사 기간 중 참관객의 현장 투표와 설문조사, 영상 평가 등을 통해 선발한 명강연자들을 시상하는 ‘ISEC 2026 베스트 스피커 어워즈’와 카이스트 사이버보안연구센터와 공동 주관해 사이버 공격에 대한 실습을 통해 대응법을 마스터하고 보안 업무에 활용할 수 있는 유료 ‘트레이닝 코스’ 등 콘텐츠의 질적 향상 및 강연 수준 제고에 끊임없이 나설 계획이다. 이와 관련된 세부 사항은 ISEC 홈페이지를 참조하거나 ISEC 조직위원회에 문의하면 된다.

[엄호식 기자(eomhs@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다