[테크수다 기자 도안구 eyeball@techsuda.com] 9년 반 동안 관리형 탐지·대응(MDR) 한 가지만 해온 파고네트웍스가 9월 1일 서울 삼성동 그랜드 인터컨티넨탈 파르나스에서 연 '파고 시큐리티 서밋 2026' 미디어 브리핑에서 보안 운영(SOC) 서비스 사업자로 재포지셔닝을 선언했다. 권영목 대표는 이 자리에서 방어(DEFENCE)·공격(ATTACK)·탐지 엔지니어링(Detection-Engineering) 세 브랜드로 구성한 'DeepACT 플랫폼'을 공식 출시하고, 올해 말을 끝으로 MDR이라는 용어를 더는 쓰지 않겠다고 밝혔다. 8월 4일 LG유플러스에 인수된 뒤 처음 내놓은 전략 발표다.

핵심 요약

공격 속도가 판을 바꿨다 — a16z는 9월 4일자 차트에서 취약점 공개 후 실제 악용까지 걸리는 시간 중앙값이 1일로 줄었고 2027년에는 1분에 근접할 것으로 내다봤다. 파고네트웍스도 2026년 상반기를 'AI로 무장한 공격이 현실이 된 해'로 규정하고, 얼마나 많이 탐지하느냐가 아니라 얼마나 빨리 정확하게 판단하느냐로 서비스의 기준을 옮겼다.
MDR 모듈에서 SOC 전체로 — 경보 이후만 맡던 회사가 공격 이전(노출 검증)과 이후(탐지·격리), 그리고 그 사이를 잇는 탐지 룰 자동 생성까지 한 체계로 묶었다. 탐지 엔지니어링은 별도 라이선스 없이 기존 고객에게 제공한다.
AI는 대체가 아니라 '막내' — 반복 분석의 약 70%를 AI에 맡기고 30%를 분석가가 개입하는 휴먼 인 더 루프 구조를 택했다. 주니어 분석가 채용은 중단했고, 고객 장비에 직접 접속해 정책을 집행하기 위한 '시큐리티 인게이지먼트 스페셜리스트'라는 직책을 새로 만들었다.

권영목 파고네트웍스 대표

공격은 '하루'에서 '1분'으로 — 방어의 시계가 달라졌다

권 대표는 발표를 2026년 상반기 회고로 열었다. 2025년까지 AI 공격은 말로만 무서웠는데 올해는 다르게 다가왔다는 것이다. 그가 지목한 결론은 속도였다. 방어자가 취약점과 설정 오류를 찾기 전에 공격자가 먼저 찾아 들어오는 상황이 감당하기 어려운 부담으로 왔다고 했다.

이 체감은 외부 수치와 맞아떨어진다. a16z의 모지스 스턴스타인은 9월 4일자 '차트 오브 더 위크'에서 주요 벤더의 심각·높음 등급 취약점이 올봄 이후 수직으로 늘었고, 공개 당일 악용되는 제로데이 비율이 2020년 대비 4배가 됐으며, 악용까지 걸리는 시간 중앙값이 하루로 떨어졌다고 짚었다. 2022년에는 취약점의 절반이 한 달 반 뒤에도 악용되지 않았는데 지금은 그 생존율이 0%다. 그는 AI가 취약점을 찾는 일뿐 아니라 악용하는 일의 판까지 바꿨다고 썼다. 크라우드스트라이크는 2026년 위협 보고서에서 침투 뒤 내부 이동까지 걸리는 이크라임(eCrime) 평균 시간이 29분으로 전년 대비 65% 줄었고 최단 사례는 27초였다고 밝혔다. 앤트로픽은 2025년 11월 공격 작업의 80~90%를 AI 에이전트가 수행한 첫 사이버 스파이 캠페인을 공개했다.

방어 쪽 대응도 같은 방향으로 몰린다. 파고네트웍스의 슬라이드 한 장이 이 전환을 압축한다. 왼쪽에 '얼마나 많은 위협을 탐지해 내고 있는가', 화살표 오른쪽에 '얼마나 빠르고 정확하게 위험을 판단·대응하는가'. 회사는 오른쪽 질문에 답하는 조직으로 바뀌겠다고 했다.

MDR에서 확장 선택 — 보안관제와 MDR 사이의 공백

권 대표의 설명에 따르면 한국의 전통 서비스는 보안관제, 곧 MSS(Managed Security Service)였다. 방화벽·IPS·VPN·SIEM 같은 장비를 안정적으로 돌리고 정책을 넣고 인력을 대는 일이 핵심이었다. 룰과 시그니처 기반 장비가 AI 기반 탐지로 바뀌면서 '악성에 가까운 요소를 이만큼 갖고 있으니 판단해 달라'는 식의 경보가 쏟아졌고, 맥락을 읽어 판단하는 일이 별도 서비스로 떨어져 나왔다. 그것이 MDR(Managed Detection and Response)이다. 한국어로는 보통 관리형 탐지·대응 서비스라고 한다.

쉽게 말하면, 보안 솔루션만 납품하는 것이 아니라 외부 보안 전문업체가 고객사의 보안 환경을 24시간 모니터링하면서 실제 위협을 탐지하고, 분석하고, 대응까지 대신해주는 서비스다

그는 해외에서 7년 넘게 성숙한 이 시장이 한국에서는 불과 2년 반 전에야 용어로 자리 잡았다고 했다.

그런데 파고네트웍스는 이제 그 용어를 놓는다. 권 대표는 "MDR이라는 용어를 쓰는 것은 올해 12월 말까지가 마지막이 될 것 같다. 이번에 DeepACT 어택과 디펜스를 출시하면서 SOC 영역으로 들어간다"고 말했다. 다만 시스템 성능까지 보는 일반 관제가 아니라 위협 탐지·대응 관점의 SOC 서비스 사업자가 되겠다는 것이 단기 계획이다.

고객 기반이 이 선택을 설명한다. 회사의 주 고객은 연매출 500억 원에서 5조 원 사이의 중견기업이고, 이들의 보안 인력은 3~5명, 많아야 10명이다. 그나마 절반 이상이 컴플라이언스에 매달려 실제 탐지·대응 활동을 하지 못한다. 300개가 넘는 고객사 가운데 미드마켓만 150곳이 넘고, MDR 고객의 다수는 제조업이다. 원격 서비스라는 조건 때문에 금융과 공공 고객은 아직 없다. 이런 고객에게 '경보 이후'만 맡는 MDR로는 부족했다는 것이 회사의 판단이다.

DeepACT 3형제 — 공격 이전, 이후, 그리고 그 사이

세 브랜드는 신제품 세 개라기보다 기존 서비스를 한 사이클로 묶은 재편에 가깝다. 회사 슬라이드도 '3대 브랜드 유기적 통합'과 '공격 이전·이후 전체 사이클 대응'을 특징으로 내세운다.

DeepACT DEFENCE는 기존 MDR의 후속이다. EPP·EDR·NDR·XDR에 AI 보안(AIDR)과 아이덴티티 보안을 더해 24×7 탐지·격리를 맡는다. 회사가 강조한 변화는 두 가지다. 하나는 벤더 중립이다. 센티널원 MSSP 파트너로 성장했지만 고객이 이미 마이크로소프트 디펜더나 팔로알토, 크라우드스트라이크를 쓰고 있어도 API를 통해 서비스를 얹는다. 다른 하나는 통보에서 집행으로의 이동이다. 권영목 대표는 대응 가이드를 줬는데 고객이 정책으로 반영하지 않아 위협이 옆으로 번지는 것을 눈으로 지켜본 경험을 털어놓았다. 300개 고객사의 방화벽 관리자 권한을 다 받기는 어렵기 때문에, 고객과 협의해 장비에 직접 접속하고 정책을 집행하는 역할을 새 직책으로 만들었다. AIDR은 섀도 AI 가시성과 MCP 연결 뒤 권한이 자동으로 상승하는 문제를 겨냥하며, 글로벌 벤더 두 곳과 협력해 제공한다.

DeepACT ATTACK은 공격자 관점이다. 공격표면관리(ASM), 적대적 노출 검증(AEV), AI 레드팀, 다크웹 모니터링(DRP)을 하나의 구독 서비스로 묶었다. 출시 전까지 ASM은 오픈소스 인텔리전스로 했고 크리티컬 취약점이 나오면 사람 펜테스터를 투입했는데, 펜테스터가 아프거나 쉬면 멈추는 방식이 비효율적이라는 요구가 이어졌다고 한다. 다크웹 모니터링은 재택 PC에서 유출된 회사 계정으로 공격자가 정상 VPN 로그인을 하면 EDR로는 잡히지 않는 문제 때문에 넣었다. 유출된 계정·AD·VPN 정보를 곧바로 EDR·NDR 룰에 반영하는 식이다. ASM과 레드팀은 글로벌 벤더와 새로 협약해 라이선스 모델로 나간다. 권 대표는 연 1~2회 모의해킹 예산을 1년 상시 서비스로 돌리겠다는 고객 문의가 이미 들어와 견적까지 나가고 있다고 했다.

DeepACT Detection-Engineering은 두 브랜드 사이를 잇는 엔진이다. 구글 위협 인텔리전스(GTI)·센티널랩스·크라우드스트라이크 팔콘 인텔리전스에서 새 침해지표(IOC)가 나오면 고객사에 설치된 EDR·NDR·XDR을 먼저 검색하고, 없으면 앞으로 들어올 것에 대비해 헌팅 룰을 자동으로 만든다. 룰은 오픈 포맷인 시그마(Sigma)로 정제해 포티넷·안랩·팔로알토 등 고객마다 다른 장비에 맞춰 배포하고, 오류 검증을 거쳐 '디텍션 애즈 코드'로 버전 관리한다. 이 파이프라인에서 프론티어 AI가 파고 헌터들의 수동 절차를 자동화한 로직과 함께 돈다. 권영목 대표는 앤트로픽과 오픈AI의 공개 채널을 MCP로 연결해 쓰며, 보안 전용 프로그램인 글래스윙이나 데이브레이크 접근 권한은 없다고 했다. 이 서비스는 별도 라이선스를 받지 않는다. 어택과 디펜스의 룰 품질을 높여 5년, 10년 구독을 유도하는 편이 회사에도 고객에도 낫다는 계산이다. 회사는 헌팅 작업이 2시간에서 5분으로, 난독화 멀웨어 연계 분석은 60~70% 줄어야 한다는 기준으로 제안서를 쓴다고 밝혔다.

엄청난 막내가 들어왔다 — AI 70, 사람 30

권 대표는 가트너가 2025년에 '자율 SOC는 쉽게 오지 않는다'고 했다가 올해 6월에는 '당분간'이라는 조건을 붙였다고 소개하며, 그 당분간을 짧게는 2년 길게는 4년으로 읽었다. 가트너의 2026년 보안 운영 하이프 사이클은 AI SOC 에이전트를 기대 정점에 두고 시장 침투율을 1~5%로 봤다.[^4] 회사의 현실론은 이 시각과 맞닿아 있다.

그래서 파고네트웍스가 택한 것은 대체가 아니라 역할 분담이다. 권영목 대표는 "AI라는 기술이 새로운 사람으로 인식됐을 때 엄청나게 방대한 지식과 빠르게 일을 처리할 수 있는 막내는 막내인데, 엄청난 막내가 채용된다고 보면 된다"고 말했다. 막내에게 일을 시키려면 그 위에서 판단하는 분석가의 수준이 올라가야 한다. 회사는 낮은 레벨의 분석가 채용을 중단하고 기존 인력을 상위 레벨로 올리고 있다.

AI에 업무를 맡기는 기준도 제시했다. 첫째, 잘못된 판단이라며 원복을 지시했을 때 되돌릴 수 있는가. 둘째, 같은 유형을 100번, 500번, 1천 번 처리한 경험에 근거한 판단인가. 여기에 핵심 시스템 정보가 얽힌 이벤트는 사람이 맥락을 던져주는 구간을 남긴다. 이렇게 나누면 특정 영역은 70%를 AI에 맡기고 30%를 팀이 개입하는 휴먼 인 더 루프 형태가 된다. 슬라이드의 문구가 회사의 입장을 요약한다. 'AI 기반 방어 전략에서도 최종 판단과 책임은 운영조직의 역할.'

야간 근무 문제는 사람 배치로 풀었다. 6월 30일 캐나다 토론토에 시차가 정반대인 MDR 센터를 세웠고, 9월 5일 분석가 4명이 ICT 비자를 받아 1년에서 최대 3년 순환 근무로 떠났다. 국내 관제센터가 야간을 외주로 돌리는 관행에 대해 그는 낮과 밤의 헌팅 품질이 같은지 직접 물어보라고 했다.

LG유플러스 품에서 — 사명도 대표도 그대로, 사업 조항은 없다

LG유플러스는 8월 4일 파고네트웍스를 인수했다고 밝혔다. 목적의 첫 번째는 대외 사업이 아니라 전사 보안 대응 체계 고도화, 곧 위협 탐지·분석·대응 역량의 내재화였고, 기업 고객 보안 사업 강화는 그다음이었다. 홍범식 대표의 '보안·품질·안전' 3대 기본기와 MWC26 'Secure AI' 전략을 구체화하는 첫 M&A라는 설명이 따랐다. 투자 규모와 지분율은 비밀유지 조항으로 공개하지 않았다.

권 대표는 자신이 LG유플러스 직원은 아니라고 선을 그었다. 회사명과 대표 지위, 사업 계획에 변화가 없고 인력 파견이나 경영 지위 변동도 논의된 바 없다고 했다. 인수 계약에 LG유플러스가 MDR 사업에 진출한다는 항목 자체가 없어 그쪽 사업은 협의하지 않는다고도 했다. 내재화의 실체는 시스템 통합이 아니라 양사 보안 운영팀의 지식 공유 세션이다. 인수 전에는 잠재 고객이던 통신사가 모회사가 되면서 오늘 어떤 위협이 있었는지 거리낌 없이 나누는 커뮤니티가 생겼고, 그것을 LG유플러스 입장에서 내재화라 부르는 게 맞다는 설명이다. 데이터 주권 프로젝트 관여 여부를 묻는 질문에는 현재 관여하는 프로젝트가 없다고 답했다.

국내 보안 특화 AI 파운데이션 모델 사업에 대해서는 신중했다. 북한발 공격처럼 한국을 겨냥한 위협에 특화된 모델은 가능하겠지만 범용 보안 AI 모델은 데이터 양의 문제로 쉽지 않을 것이라고 했다. GTI를 탐지 엔지니어링에 붙이고 데이터를 들여다본 뒤 예상을 훨씬 넘는 양에 압도당했다는 것이 근거였다.

권영목 대표는 "데이터가 정말 핵심 중 핵심입니다"라고 말했다. 한국 보안 서비스가 글로벌 진출을 위해서는 한국 특화 데이터에에만 집중해서는 안된다는 의견이다. 정책 당국이 한국 보안 기업들이 해외로 뻗어나갈 수 있게 지원하기 위해서는 보안 기업들이 얻기 힘든 글로벌 보안 '데이터'를 확보해주는 역할도 병행해야 할 거 같다.

테크수다의 시각

솔직히 고백하면 보안 현장을 제대로 다닌 지 꽤 됐고, 파고네트웍스도 이날 처음 만났다. 트렌드를 확인하러 갔다가 세 가지를 확인했다.

첫째, 방향은 맞고, 그래서 차별점은 아니다. ‘공격자의 눈으로 노출을 검증하고 그 결과를 방어에 되먹이는’ 폐쇄루프는 MDR 업계의 새 경쟁축으로 떠오르고 있다. 아크틱울프(Arctic Wolf)는 세브코 시큐리티(Sevco Security)를 인수했고, 크라우드스트라이크(CrowdStrike)는 XM 사이버(XM Cyber)의 지적재산 인수를 추진 중이다. 이센타이어(eSentire)는 상시 AI 펜테스트 결과를 MDR에 직접 반영하는 아틀라스 프리엠프트(Atlas Preempt)를 내놨다.

가트너도 2028년까지 MDR 발견사항의 절반이 노출 쪽으로 갈 것이라고 봤다. 파고의 진짜 자산은 이 방향이 아니라 300개 고객사, 그중 절반이 제조업 미드마켓이라는 기반과 '통보 대신 집행'을 감당하는 운영 근육이다. 슬라이드 하단에 적힌 'AI가 운영하는 SOC, 사람이 완성하는 SOC'라는 문구가 회사의 위치를 정확히 말한다. 이 회사는 AI 플랫폼 기업이 아니라 AI로 무장한 운영 서비스 기업이다.

둘째, 재료를 대주는 회사가 같은 요리를 팔기 시작했다. 파고의 탐지 엔지니어링은 구글·센티널원·크라우드스트라이크가 제공하는 위협 정보를 받아 AI로 탐지 룰을 만드는 서비스다. 재료는 남의 것이고 조리법이 파고의 것이다. 문제는 재료를 대주는 세 회사가 올해 들어 자기 플랫폼 안에 같은 조리법을 넣기 시작했다는 점이다. 구글은 보안 운영 제품에 탐지 룰을 자동으로 만드는 에이전트를 넣었고, 센티널원은 퍼플 AI, 크라우드스트라이크는 샬럿 AI라는 이름으로 같은 일을 한다.

이 회사들 제품을 이미 쓰는 고객이라면 굳이 파고를 거치지 않아도 비슷한 룰을 받게 된다는 뜻이다. 재료 공급 조건이 바뀌면 파고의 서비스는 더 불리해진다. 파고가 이 모듈에 값을 매기지 않기로 한 결정은 이런 사정을 읽은 결과로 보인다. 룰 자체로는 돈을 받기 어려우니, 그 룰을 300개 고객사의 서로 다른 장비에 실제로 넣고 결과를 책임지는 운영에서 값을 받겠다는 것이다. 이 판단은 맞다고 본다.

셋째, 숫자는 아직 회사의 주장이다. 2시간에서 5분, 70 대 30 같은 수치는 측정 정의와 표본이 공개되지 않았다. 권 대표 스스로 완벽한 숫자로 계약하지 않는다고 했다. 정보통신망법 개정으로 위협 모니터링 의무와 24시간 신고가 들어오면 미드마켓의 SOC 아웃소싱 수요는 커질 텐데, 그때 고객이 요구할 것은 슬라이드가 아니라 제3자가 검증한 MTTD·MTTR이다. 직원 28명으로 서울·동남아·토론토에 이어 자카르타까지 4개 센터를 돌리겠다는 계획도 LG유플러스 자본이 채용으로 이어져야 지속 가능하다.

그리고 하나 더. a16z 차트의 본래 주제는 보안이 아니라 채용이었다. 2025년 이후 기술직 채용 공고에서 요구하는 '스킬 수'는 줄고 '경험 연수'는 늘었다. 기존 스킬이 통하지 않는 시대에는 알아서 답을 찾아내는 사람이 필요하다는 뜻이다. 주니어 채용을 끊고 시니어를 키워 AI 막내를 부리게 하겠다는 파고의 인력 전략은 이 차트와 정확히 같은 방향을 가리킨다. 보안뿐 아니라 지식노동 전체에서 벌어지는 일이다. 문제는 그 막내를 부릴 시니어가 어디서 오느냐다. 주니어를 뽑지 않는 산업은 10년 뒤 시니어도 없다. 파고의 답은 아직 없었고, 이 질문은 파고만의 것도 아니다.

이 문제 또한 뚝심있게 한 우물을 파온 회사답게 멋지게 내놓지 않을까 기대되는 만남이었다.

파고네트웍스의 새로운 도전, 이런 점이 궁금하셨나요?

Q. MDR과 SOC 서비스는 무엇이 다른가?
MDR은 보안 장비가 낸 경보를 전문 인력이 분석해 격리·차단까지 해주는 서비스다. 전통 보안관제(MSS)가 장비 운영과 정책 관리에 무게를 뒀다면 MDR은 그 위의 판단과 대응만 떼어낸 모듈이었다. 파고네트웍스가 말하는 SOC 서비스는 경보 이전의 노출 검증, 이후의 대응, 그 사이의 탐지 룰 관리까지 한 조직이 맡는 형태다. 장비 성능까지 보는 일반 관제와는 구분한다.

Q. 탐지 엔지니어링을 왜 무료로 주는가?
회사는 이 모듈이 매출을 직접 내지 않고 어택·디펜스 서비스의 룰 품질을 높이는 엔진이라고 설명한다. 룰이 좋아지면 고객이 5년, 10년 구독을 유지하고, 그것이 라이선스 수입보다 유리하다는 계산이다. 단, 플랫폼 자체를 무료로 납품하는 것은 아니고 대시보드와 자동 생성 리포트만 고객에게 제공한다.

Q. LG유플러스 인수로 파고 고객이 달라지는 것은 없나?
회사 설명으로는 없다. 사명·대표·사업 계획이 그대로이고, 계약에 LG유플러스의 MDR 사업 진출 조항이 없다고 한다. 내재화는 양사 보안팀의 지식 공유 커뮤니티 형태로 진행된다. 지분율과 금액은 비공개다. 다만 타 통신사 고객 보호 장치나 LG유플러스의 기존 'U+프리미엄 보안관제'와의 관계는 이날 설명되지 않았다.

Q. 'AI 70%, 사람 30%'는 무엇을 뜻하나?
반복적인 분석과 탐지 업무 가운데 특정 영역의 약 70%를 AI가 처리하고 30%에 분석가가 개입한다는 회사 내부 운영 비율이다. AI에 맡기는 기준은 원복 가능성과 반복 처리 경험 두 가지이며, 핵심 시스템이 얽힌 이벤트는 사람이 맥락을 제공한다. 측정 정의와 표본은 공개되지 않았다.

[테크수다 기자 도안구 eyeball@techsuda.com]

이 기사를 작성할 때 AI를 활용했다.