번스타인은 사이버보안 기업들의 주가가 AI발 예산 확대와 수요 기대감으로 사상 최고치 부근에서 거래되는 가운데, 사이버보안 창업자이자 최근까지 팔로알토 네트웍스에서 클라우드 및 AI 사업을 총괄했던 Amol Mathur를 초청해 업황 전망과 기회를 논의했습니다. Mathur는 클라우드 보안, 데이터 보안, 애플리케이션 보안, 엔드포인트 보안, 보안 운영을 아우르는 20년 이상의 경력을 보유했으며 맥아피, 아카마이, IBM을 거쳤습니다. 번스타인이 가장 흥미롭게 본 지점은 그가 안정적인 임원직을 유지할 수 있었음에도 지금 이 시점을 창업 시기로 선택했다는 점이며, 창업 리스크를 감수하게 만든 요인이 무엇인지가 논의의 핵심 질문이었습니다.
그의 중심 논지는 AI가 수십 년 만에 사이버보안에서 나타난 가장 큰 플랫폼 전환이라는 것입니다. AI는 새로운 공격 표면을 만들어내는 동시에 새로운 세대의 보안 제품을 요구하며, 기존 강자가 자리 잡지 않은 그린필드 영역이라는 것입니다. 그가 팔로알토를 떠나 AI 에이전트 보안에 집중하는 회사를 창업한 이유도 여기에 있습니다. 스타트업이 기존 벤더 대비 성공할 수 있는 조건은 크게 두 가지로, 첫째는 AI 보안이라는 새로운 구매 주체가 형성될 것이라는 믿음이고, 둘째는 특정 진영에 속하지 않는 이른바 스위스형 독립 AI 에이전트 보안 업체가 기존 벤더 대비 유리하다는 판단입니다.
새로운 AI 사이버 구매 센터가 등장할 가능성에 대해서는, 벤더 구도와 구매 담당자가 이미 확립된 전통적 보안 영역과 달리 현재 기업들은 이사회 차원의 지시 아래 AI를 빠르게 도입하는 반면 보안팀은 관련 리스크를 아직 파악하는 단계에 있다는 점을 근거로 들었습니다. 이에 따라 CISO는 기존 보안 필러 중 하나를 통해서가 아니라 별도로 인력을 지정해 이 문제를 살펴보게 되며, 이것이 자연스럽게 새로운 구매 센터로 발전할 수 있다는 것입니다.
공격이 엔드포인트, 클라우드 환경, 아이덴티티, 애플리케이션, AI 시스템을 넘나들면서 개별 보안 제품보다 데이터 집약과 맥락이 더 중요해지고 있다는 점도 강조되었습니다. 그는 앞으로 승자가 될 보안 벤더는 기존 필러 전반에서 데이터를 수집, 상관분석, 해석해 높은 신뢰도의 결과를 내놓는 업체가 될 것으로 보았으며, AI 네이티브 SOC 플랫폼의 부상과 보안 분석 계층을 기저의 SIEM 또는 사이버 데이터 레이크로부터 분리하려는 흐름도 함께 언급했습니다.
논의에서 가장 중요한 구분은 AI로 보안하기와 AI를 보안하기의 차이였습니다. 전자는 위협 탐지, 트리아지, 레드팀, 취약점 관리 등 기존 보안 기능을 AI로 개선하는 것으로, 공격자도 AI를 쓰면서 공격 속도가 빨라진 만큼 대응 역시 머신 속도로 이동해야 하며 SOC의 인적 역량을 AI로 보강해야 한다는 관점입니다. 후자는 AI 시스템 자체, 특히 자율적으로 동작하는 AI 에이전트를 보호하는 문제입니다. 그는 SOC가 중시하는 성과 중심의 세 축으로 안전한 설계와 하드닝, 코드 스캐닝, 위협 모델링을 통해 배포 전 취약점을 차단하는 리스크 예방, 취약점 관리와 노출 관리, 포스처 관리를 통해 운영 환경의 노출을 찾아 수정하는 리스크 교정, 그리고 SIEM, SOC, EDR, XDR 등을 통해 발생한 위협을 신속히 식별하고 봉쇄하는 탐지 및 대응을 제시했습니다. 이 중 단기적으로 가장 큰 기회는 대량 데이터와 복잡한 의사결정이 AI 자동화에 적합한 실시간 교정과 탐지 및 대응 영역에 있다고 보았으며, 벤더들이 각자의 DR 역량을 앞세우며 앞글자만 바꾼 xxDR이 계속 늘어날 것이고 AI 특화 DR을 뜻하는 AIDR까지 등장할 것이라는 농담을 덧붙였습니다.
에이전트 보안과 아이덴티티는 또 다른 주요 투자 카테고리가 될 수 있다고 보았습니다. AI 에이전트는 프롬프트, 외부 콘텐츠, 툴, 컨텍스트에 의해 영향을 받을 수 있는 신뢰된 주체이기 때문에 근본적으로 새로운 위협 모델을 만들어내며, 비인가 행위 식별에 초점을 맞춘 기존 보안 접근법은 에이전트의 행위가 정상으로 보이면서도 피해를 유발할 수 있는 상황에서 충분하지 않다는 것입니다. 옥타와 같은 아이덴티티 인프라 벤더가 에이전트 아이덴티티와 권한 인프라를 제공하며 중요한 역할을 하겠지만, 효과적인 에이전트 보안을 위해서는 에이전트의 의도를 실시간으로 이해해야 한다고 그는 보았습니다. 장기적으로는 에이전트가 수행 중인 특정 작업에 한정해 동적으로 범위가 부여된 권한을 받는 세계가 목표이며, 이를 위해서는 프롬프트와 목표, 워크플로, 에이전트 행위에 대한 가시성이 필요하고 이는 에이전트 관측성과 보호에 초점을 맞춘 새로운 제품 카테고리를 만들어낼 것입니다.
네트워크와 엔드포인트 중 어느 쪽이 DR 업사이드를 더 잘 포착할지에 대해서는 양쪽 모두 일정 부분을 가져가겠지만 더 넓은 업사이드는 이들을 가로지르는 스위스형 사업자에게 귀속될 가능성이 크다고 보았습니다. 각 필러 사업자는 팔로알토나 크라우드스트라이크처럼 자신의 차세대 SIEM DR 영역에서 해당 구매자를 상대로 자연스럽게 승리하겠지만, 사이버 필러 전반에서 높은 신뢰도의 결과를 만들어내는 데 필요한 데이터와 맥락에 교차적으로 접근하는 전략이 추가적인 승리 공식이라는 것입니다. 필러 위에서 작동하는 AI 네이티브 SOC 운영 벤더들은 AI 에이전트를 자동화된 분석가로 활용해 경보를 조사하고 시스템 간 증거를 연결하며 실제로 사람의 개입이 필요한 사건을 우선순위화함으로써 오랜 신호 대 잡음 문제를 해결하고 있습니다. 아울러 SIEM 벤더가 데이터 계층과 분석 계층을 모두 소유하던 전통적 모델이 도전받고 있으며, 스노우플레이크와 데이터브릭스 같은 데이터 플랫폼은 데이터는 고객 통제 아래 두고 보안 분석은 그 위에서 별도로 제공되어야 한다는 주장을 강화하고 있습니다. Torq, 7AI, Prophet, Dropzone 같은 신생 AI 네이티브 SOC 스타트업들은 모든 필러를 가로질러 작동하며, 필러의 사이버 컨텍스트는 데이터 레이크형 벤더가 호스팅하는 마스터 데이터 저장소에 보관됩니다.
오픈AI와 앤스로픽 같은 AI 랩의 사이버보안 진출에 대해서는, 자사 AI 코딩 에이전트가 작성한 코드가 보안 취약점을 만들었다는 비판을 받지 않도록 하고 자사 AI 에이전트가 취약점 탐색과 악용, 소셜 엔지니어링에 활용되지 않도록 하려는 자기 방어적 성격이 상당 부분 있다는 데 양측이 공감했습니다. Mathur는 AI 랩이 코드 보안과 코드 스캐닝, 소프트웨어 테스팅 등 애플리케이션 보안에 집중할 가능성이 가장 크다고 보았습니다. 기업 구매자가 AI 코딩 에이전트를 평가할 때 가치 있는 코드를 얼마나 잘 만드는지뿐 아니라 그 코드가 얼마나 안전한지도 함께 보기 때문에, 애플리케이션 보안 역량이 AI 코딩 어시스턴트의 차별화 요소가 될 것이라는 판단입니다. 가장 큰 파괴가 예상되는 영역은 코드 스캐닝과 취약점 우선순위화로, 과거 조직들이 과도한 발견 건수와 부실한 우선순위화로 어려움을 겪어온 반면 AI 모델은 코드베이스 전반을 추론하고 악용 가능성을 평가해 실제로 중요한 취약점을 판별할 수 있습니다. 그 결과 여러 카테고리의 보안 벤더들이 대규모 언어 모델이 이미 상당 부분의 작업을 수행할 수 있다면 왜 별도의 전문 제품에 비용을 지불해야 하느냐는 고객의 문제 제기에 직면하게 됩니다. 다만 그는 AI 랩이 보안 운영, 탐지 및 대응, 노출 관리 같은 더 넓은 사이버보안 영역에 공격적으로 진입할 것으로는 보지 않았습니다. 애플리케이션 보안 진출을 유발한 전략적 이유가 이들 영역까지 요구하지 않으며, 더 결정적으로는 이들 광범위한 필러가 AI 랩의 역량을 넘어서는 상당한 도메인 전문성과 워크플로, 통합, 제품화를 필요로 하기 때문입니다. 전략적 필요성 부재와 진입 난이도의 조합은 AI 랩이 시장 점유율과 에이전트 품질을 두고 더 중요한 싸움을 벌이는 시점에 광범위한 사이버보안 구축을 우선할 이유가 되지 못한다는 것입니다.
AI가 SOC와 클라우드 운영 사이의 지출 균형을 바꿀지에 대해서는, 그는 많은 보안 벤더가 실제로 리스크를 교정하는 사람들보다 보안팀을 상대하는 데 과도하게 집중한다고 지적했습니다. 그는 조직을 촉진자와 실행자로 구분해, 보안팀은 리스크를 식별하고 우선순위를 매기는 촉진자인 반면 개발자와 데브옵스팀, 운영자가 실제로 수정을 이행하는 실행자라고 설명했습니다. 개발자나 데브옵스, 클라우드 운영 인력을 별도의 보안 도구로 끌어오는 대신 그들의 워크플로에 보안 인사이트를 매끄럽게 통합하는 제품이 가장 성공할 가능성이 크며, 보안팀과 데브옵스 및 클라우드 운영 실무자 양쪽을 명시적으로 겨냥해 성공한 사례로 위즈를 들었습니다. 코드와 AI 에이전트의 규모가 커질수록 실행자들이 겪는 어려움도 커지며, 이들이 작업하는 바로 그 시점에 보안 인사이트를 제공하라는 수요는 계속 늘어날 것입니다.
플랫폼화에 대해 그는 플랫폼을 공유된 분류 체계를 갖춘 공통 데이터 계층과, 그 위에 구축되는 보안 역량을 가능하게 하는 공통 자동화 계층의 결합으로 정의했습니다. 이들 역량이 동일한 리스크 이해에서 출발하기 때문에 조직은 여러 영역에 걸쳐 더 빠르고 더 나으며 비용 효율적인 결과를 얻을 수 있습니다. 성공적인 플랫폼은 인프라, 애플리케이션, 엔드포인트, 인력, AI 시스템 등 모든 IT 및 보안 자산에 걸쳐 데이터를 연결하고 상관분석할 수 있어야 하는데, 이 공통 데이터 계층에서 나오는 맥락이 리스크 우선순위화와 교정, 탐지 및 대응에서의 영향 범위 파악 같은 핵심 보안 기능에 필수적이기 때문입니다. 플랫폼은 벤더 관리와 계약, 지원의 단순화라는 상업적 이점도 제공하고 공통 사용자 인터페이스가 일부 팀의 운영 효율을 높일 수 있지만, 이러한 이점은 공통 데이터 계층이 창출하는 가치에 비하면 부차적이며 방화벽 관리팀과 SOC팀처럼 임무와 워크플로가 크게 다른 고도로 전문화된 사일로 사이에서는 관련성이 떨어집니다. 나아가 헤드리스 아키텍처의 등장은 경험이 유연한 워크플로와 AI 기반 상호작용을 통해 전달되면서 고정 기능 사용자 인터페이스의 장기적 중요성을 낮출 수 있습니다.
투자 시사점 측면에서 번스타인은 모델과 목표주가, 투자의견에 변경이 없다고 밝혔습니다. 다만 이번 논의는 새로운 기술 아키텍처와 구매자가 등장하는 국면에서 기존 벤더가 상승분의 제한된 부분만 가져갈 수 있다는 기존 논지를 뒷받침한다고 평가했습니다. 스타트업이 상승분을 실현하기 쉬운 이유로 그는 기존 사이버 벤더들의 필러와 플랫폼을 가로질러 보는 새로운 스위스형 사업자의 이점, 그리고 기업 내 새로운 구매자들이 새로운 베스트 오브 브리드 제품을 선호하는 경향을 함께 강조했으며, 이는 번스타인이 전형적인 혁신가의 딜레마로 보는 현상, 즉 기존 사업자가 다른 우선순위와 투자에 묶여 승리할 제품을 만들기 어렵고 현 플랫폼과 어긋나지 않는 명확한 스토리를 갖기 어려우며 현재 영업 조직으로 새로운 구매자에게 접근하기 어렵다는 문제와 연결됩니다. 결론적으로 번스타인은 사이버보안을 위한 AI와 AI를 보호하는 영역에서 승자로 부상할 스타트업을 주시하고 있으며, 카테고리 리더는 독립적으로 상장할 수 있는 반면 후발 경쟁자들은 골드러시에서 교두보를 확보하려는 대형 기존 플랫폼과 벤더에 인수될 수 있다고 전망했습니다.
커버리지 종목의 투자의견은 클라우드플레어, 크라우드스트라이크, 포티넷이 Market-Perform이며 목표주가는 각각 164달러, 103달러, 102달러입니다. 옥타, 팔로알토 네트웍스, 센티넬원, 지스케일러는 Outperform으로 목표주가는 각각 141달러, 253달러, 19달러, 224달러입니다. 8월 21일 종가 기준으로 클라우드플레어는 293.14달러, 크라우드스트라이크는 191.95달러, 포티넷은 153.51달러, 옥타는 135.14달러, 팔로알토 네트웍스는 357.87달러, 센티넬원은 21.19달러, 지스케일러는 181.75달러를 기록했습니다.
*클로드로 요약함.