AI가 6주 만에 찾아낸 5년치 버그

무슨 얘기였나: 팔로알토는 Mythos를 자사 코드에 붙여 실전 레드팀 테스트를 진행했다. 6주 만에 나온 결과물은 내부 추산 기준 5~7년 분량의 취약점 목록이었다. 아로라는 "과대광고가 아니었다, 기능이 진짜(legit)"라고 단언했다.

울트라 모드의 의미: 일반 모드 외에 '울트라 모드(지속적 사고, persistent thinking)'로 실행하면 모델이 정답을 찾을 때까지 계속 시도한다. 이 때 단일 취약점이 아니라 여러 취약점을 연결한 새 공격 벡터를 도출할 수 있다 — 보안 관점에서 가장 위험한 시나리오.

확산 속도: 아로라는 "Claude 4.8, 5.5가 이미 유사 성능을 갖추고 있고 오픈소스 모델에도 3개월 안에 이런 기능이 등장할 것"이라고 전망했다. "가장 어려운 코드를 뚫을 필요도 없다 — 오래된 OT(산업용) 시스템 하나에서 취약점 몇 개만 찾으면 된다."

"AI가 나쁜 코드를 찾는 능력은 실재한다. 그것도 우리가 상상하는 것보다 훨씬 빠르게."

실질적 리스크: 아로라는 큰 기업(PG&E 발전소 같은 국가 인프라)보다 오히려 소규모 사업자 — 치과·의원·소규모 제조업체가 더 위험하다고 강조했다. Change Healthcare 랜섬웨어 사건처럼 의원 전체가 마비되는 사태가 더 현실적인 위협이라는 것.

무슨 얘기였나: 아로라는 "모델 성능 벤치마크에서 아무도 오탐율을 공개하지 않는다"며 GPT-4.8, 5.5도 마찬가지라고 지적했다. 방어 자동화(보험금 지급, 이상 거래 탐지, 코드 자동 패치 등)에 10~20% 오탐이 있으면 기업은 실제 돈을 잃는다.

실질적 함의: "진짜 문제는 누가 최신 S급 모델을 갖느냐가 아니라, 그 모델의 20% 오탐을 1% 미만으로 낮추는 작업"이라는 것. 이것이 팔로알토가 실제로 하는 일이고, 모델 레이어 위에서 부가가치가 생기는 구간이다.

"오탐율 30%짜리 모델로 자율주행을 하겠다고? 나는 내 아이들을 그 차에 태우지 않겠다."

투자 관점: 오탐 문제는 역설적으로 보안 플랫폼 기업의 해자(moat)가 된다. 도메인별 파인튜닝·하네스·메모리 레이어를 구축한 기업만이 엔터프라이즈에 팔 수 있는 정확도를 달성한다. "raw 모델"을 직접 붙이는 것은 현재로선 위험 부담이 크다.

분석형 SaaS가 죽는 이유: Salesforce 마켓플레이스 앱처럼 "당신 데이터 분석해드릴게요" 모델은 이제 NLM(자연어 모델)을 데이터에 직접 붙이면 대체된다. 팟캐스트 현장에서도 실제 사례가 나왔다 — 팀이 SaaS 제품 20개 시트 중 실제 로그인은 0명. 계정을 3개로 줄이고 Slack + Claude에 연결했더니 비용이 90% 절감됐다.

시스템 오브 워크의 미래: CRM·ERP처럼 업무 프로세스에 깊이 박힌 소프트웨어는 당장 죽진 않지만, 에이전트가 UI를 대체하면서 5년 내 재설계 압력을 받는다. "영업 전화 마치고 에이전트에게 '다 알아서 입력해'라고 하면 UI 자체가 필요 없다." 데이터 입력 인력과 UI 디자인 비용이 사라지는 구조.

가격 압박 = SaaS 아포칼립스의 진짜 이유: "개발자 10명 고용해서 10억 원 아끼겠다"는 선택지가 생기면 SaaS 벤더는 가격 결정력을 잃는다. 새로운 AI 네이티브 스타트업들은 이미 "기존 시트 당 연 $1,000짜리를 consumption 기반으로 80~90% 저렴하게 공급"하는 피치로 시장에 진입 중.

"데이터를 한 곳에 모아놓고 LLM 돌리면 되는데, 세 개의 SaaS 제품에 각각 쿼리 날릴 이유가 없다."

왜 10배인가: 아로라는 두 가지 이유를 댔다. 첫째, AI 기반 사이버 방어는 정상 패턴을 학습해야 하므로 기존보다 훨씬 많은 엔터프라이즈 로그·행동 데이터가 필요하다. 둘째, 에이전트가 "맥락(context)과 기억(memory)"을 갖추려면 조직 전체의 데이터가 구조화되어 있어야 한다.

하드웨어도 부활: "저지연·고처리량 비트 이동"에는 여전히 하드웨어가 가장 효율적이다. Goldman, JP Morgan, Morgan Stanley 같은 금융사가 클라우드 전환을 꺼리는 이유도 지연시간(latency) 증가 = 수익 감소이기 때문. "한때 Dell은 끝났다고 했는데 지금 시총이 3~4,000억 달러로 돌아왔다."

공급망 병목: 설계 속도는 AI로 빨라지지만, 진짜 제약은 생산. "모든 하드웨어 부품이 백오더 상태이고 전 세계 공장이 GPU·칩 카드 생산에 매달려 있다." 미국의 자국 내 공급망 구축은 상단의 정치적 의지와 세제 혜택(가속 감가상각 100% 첫 해 인식)이 맞물려야 10년 단위 프로젝트가 가능하다는 시각.

모델 유틸리티화: 아로라는 "IQ 120짜리 과제엔 1센트, IQ 250짜리엔 10달러" 식으로 인텔리전스를 on-demand 구매하는 시대가 온다고 봤다. "일반 고객 콜 응대에 최신 최강 모델을 붙일 이유가 없다" — 모델은 결국 차별화 포인트가 아니라 유틸리티(인프라)가 된다는 것.

OpenAI·Anthropic은 결국 Microsoft Office가 될까: 아로라는 "그렇지 않다"고 봤다. 기업들은 자체 개발이 아니라 도메인 특화 AI 애플리케이션 회사(차세대 AI 네이티브 Salesforce 등)가 만들어주길 원한다. 50,000개 기업이 같은 앱을 필요로 한다면 각자 만들 이유가 없다. "그 레이어의 회사들이 아직 충분히 만들어지지 않았다 — 우리는 기다리는 중이다."

엔터프라이즈 AI 도입의 두 가지 빠른 수익화 경로: (1) 기존 SaaS를 대체하는 Replacement TAM — 이미 예산이 있고, 더 낫고 싸면 바로 교체. (2) 소비자 구독 — "우리가 역사상 가장 많은 구독료를 매달 내고 있다. 케이블 요금 비싸다고 했는데 지금은 더 낸다."

Google 10조 달러 테제: 아로라는 "살아있는 동안 세계 최초 10조 달러 기업이 될 것"이라고 했다. Waymo에 대해선 "차가 작동한다. 더 많은 도시에, 더 빠르게 확장해야 한다"고 했다.

$PANW M&A 전략 진화: 초기 8년은 "제품 회사를 사서 영업 엔진에 얹는" 플레이북이었다 — 시총 170억 달러에서 2,380억 달러로 성장. 3개월 전엔 신원보안(identity security) 기업을 250억 달러에 인수 마무리했다 — 에이전트 시대의 신원 보안이 핵심 인프라가 된다는 판단. 향후 전략은 "AI를 활용해 업계 최고 수준의 영업이익률을 달성하면, 어떤 인수를 해도 마진을 끌어올릴 수 있다"는 방향으로 확장.

인력 관련 역발상: "AI가 사람을 줄인다고 하는데 팔로알토는 기술 인력이 오히려 늘었다. AI가 모든 것에 전환(transformation)을 요구하기 때문에 더 많은 기술 인력이 필요하다."

"100억 달러를 넘으면 1조 달러가 더 쉽다. 첫 번째 10배가 훨씬 어려웠다."