핵심 요약
AI 요약
기사 목차 펼치기 / 접기
AI가 금융의 생산성을 어디까지 끌어올릴 수 있는가. 지난 10월 14일 뱅크오브아메리카(BofA) 어닝콜에서 나온 이 질문에 돌아온 답에는 뜻밖의 청구서가 먼저 섞여 있었다. AI가 순식간에 찾아낸 소프트웨어 결함을 수습하기 위해 현장에 사람 1000명이 투입돼 있었다.
질문을 던진 이는 월가의 베테랑 금융 애널리스트 마이크 메이오(Mike Mayo)였다. 메이오는 3분기 어닝콜에서 “AI 도입이 전면화되는 시기에 AI가 은행을 어디로 이끌 수 있느냐”고 단도직입적으로 물었다. 이에 대해 브라이언 모이니핸(Brian Moynihan) BofA 최고경영자는 앤트로픽(Anthropic)의 최첨단 AI 모델 미소스(Mythos)를 직접 지목하며 “미소스 도입에 따른 결함 교정 작업”을 첫머리에 꼽았다.
생산성을 물었는데 비용이 먼저 튀어나왔다. AI는 소프트웨어 결함을 찾는 한계비용을 0에 가깝게 떨어뜨렸지만, 이를 실제로 뜯어고치는 일은 고스란히 인간 노동의 몫으로 되돌아왔다. 더욱이 그 사람들은 정규 직원 명부(헤드카운트) 밖에 머물러 있었다. 시계는 반년 전 봄으로 거슬러 올라간다.
4월 7일 금고 설계도를 읽는 기계의 등장
앤트로픽은 4월 7일 프로젝트 글래스윙(Project Glasswing)을 발표하고, 보안 연구용 프론티어 모델 미소스 프리뷰를 일부 기업에 한정 공급했다. 앤트로픽은 이 모델이 고위험 취약점 수천 건을 단숨에 발굴했으며, 그중에는 주요 글로벌 운영체제와 핵심 웹 브라우저의 제로데이 결함도 포함돼 있다고 공개했다. 출범 파트너 12곳 중 금융권에서는 JP모건체이스(JPMorganChase)가 유일하게 이름을 올렸고, 일반 대중에게는 배포할 계획이 없다고 선을 그었다.
모든 금고의 설계도를 읽는 기계가 세상에 나온 날이었다.
발표 직후 블룸버그(Bloomberg)는 스콧 베선트(Scott Bessent) 미국 재무장관과 제롬 파월(Jerome Powell) 연방준비제도 의장이 월가 대형 은행 최고경영자들을 재무부 비공개 회의로 급히 불러 모았다고 보도했다. 익명 소식통을 인용한 당시 보도에서 소집된 참석자 명단 한가운데 모이니핸 BofA 최고경영자가 있었다. 미소스 같은 자율형 취약점 탐색 모델이 금융 전산망의 공격 노출도를 어떻게 뒤흔드는지 경고하고 긴급 방어 체계를 갖추도록 압박하는 자리였다.
사흘 뒤 블룸버그는 BofA가 골드만삭스(Goldman Sachs)·씨티그룹(Citigroup)·모건스탠리(Morgan Stanley)와 함께 내부 보안망에서 미소스를 시험 가동하고 있다고 추가 보도했다. BofA는 초기 글래스윙 파트너 명단에 없었지만, 당국의 경고 이후 서둘러 전선에 뛰어든 셈이었다.
5월 22일 취약점 2만3019건과 실제 패치 75건의 병목
탐색 쪽의 실측 데이터는 6주 만에 공개됐다. 앤트로픽이 5월 22일 공개한 글래스윙 첫 경과 보고서는 미소스가 오픈소스 프로젝트 1000여개에서 보안 결함 2만3019건을 찾아냈다고 적시했다. 하지만 탐색 이후 실제 코드 수정에 이르는 깔때기는 충격적일 만큼 가팔랐다.
통보된 결함 중 실제로 패치가 이뤄진 것은 7건 중 1건꼴(약 14%)에 머물렀다. 앤트로픽은 패치 집계가 실제보다 보수적으로 잡혔을 수 있다는 단서를 달면서도, 보안 생태계의 병목이 어느 지점으로 전이됐는지 스스로 인정했다.
“소프트웨어 보안의 진전은 새 취약점을 얼마나 빨리 찾느냐에 묶여 있었다. 이제는 AI가 찾은 대량의 취약점을 얼마나 빨리 검증하고 공개하고 패치하느냐에 묶여 있다.”
지뢰 탐지기는 들판을 다 훑었는데 제거반은 아직 첫 줄에 서 있었다.
영국 금융당국 역시 이보다 일주일 앞서 동일한 결론에 도달했다. 영란은행과 금융감독청(FCA), 영국 재무부는 5월 15일 발표한 공동성명에서 “금융 기관들은 제3자가 발굴해 쏟아내는 소프트웨어 취약점을 대규모로 분류하고 교정할 체계를 선제적으로 구축해야 한다”고 공식 경고했다.
2분기 헤드카운트 밖으로 밀려난 계약직 1000명
수습에 나선 현장의 풍경은 공식 기록이 드물다. 남겨진 단서는 모이니핸 최고경영자가 넉 달 뒤 실적 자리에서 털어놓은 분기 수치 하나뿐이었다.
모이니핸 최고경영자는 지난 10월 14일 CNBC 방송에 출연해 “지난 2분기에 취약점 패치 작업을 돕기 위해 계약직 1000명을 긴급 투입했고, 그 인력은 지금도 현장에 그대로 남아 있다”고 직접 증언했다. 같은 날 열린 어닝콜에서 그는 이 인력을 두고 “정규직 헤드카운트가 아니라 외부 컨설턴트”라고 규정했다. 공식 직원 명부에는 잡히지 않는 외주 계약직들이었다.
장부에 없는 사람들이 장부를 지키고 있었다.
2분기 직후 경영진의 대외 메시지는 결이 달랐다. 모이니핸 최고경영자는 7월 16일 블룸버그 인터뷰에서 “해당 사이버 보안 분야에 3000명 이상이 근무하며 연간 10억달러(약 1조3240억원) 넘는 예산을 집행하고 있다”며 “현재로서는 급격한 비용 증가세를 보이지 않는다”고 호언장담했다. 하지만 그때는 외부 계약직 1000명의 존재가 언급되지 않았다.
동일한 고통은 월가 맞은편 은행에서도 터져 나왔다. 제이미 다이먼(Jamie Dimon) JP모건체이스 최고경영자 역시 5월 블룸버그TV 대담에서 “현재 수백 명의 전담 인력이 결함 교정에 전업으로 매달려 있다”고 실토했다. 사태의 심각성을 감지한 미국 연방준비제도와 통화감독청(OCC)은 같은 달 대형 은행을 대상으로 한 일부 사이버 정기 검사를 전격 유예했다. 은행들이 소프트웨어 방벽을 수습할 최소한의 시간을 벌어주기 위한 고육지책이었다.
10월 14일 어닝콜 계산서에 한 줄로 묶인 교정 비용
청구서는 이틀에 걸쳐 연달아 날아들었다. 미국 통화감독청(OCC)은 10월 13일 BofA에 자금세탁방지(AML) 체계 관리 부실을 이유로 역사상 최대 규모인 7억5000만달러(약 9930억원)의 민사제재금 부과 조치를 확정했다. 미국 금융범죄단속네트워크(FinCEN)가 함께 발표한 12억달러 제재는 OCC 제재금을 공제한 액수였다.
이튿날 BofA가 공시한 3분기 실적 보고서에서 당기순이익은 69억달러(약 9조1400억원), 일회성 규제 합의 비용을 반영한 조정 주당순이익(EPS)은 1.08달러로 확정됐다. 공식 공시 서류 어디에도 ‘미소스’라는 단어는 단 한 줄도 적혀 있지 않았다.
미소스라는 이름은 정규 보고서가 아닌 경영진 어닝콜 육성 답변에서 비로소 수면 위로 올라왔다. 모이니핸 최고경영자는 3분기에 발생한 “2억달러(약 2650억원) 이상의 추가 지출”이 AML 시스템 개편과 미소스 취약점 교정 두 가지 때문이라고 설명했다. 다만 미소스 몫으로 얼마가 빠져나갔는지는 구체적으로 쪼개 밝히지 않았고, 계약직을 집중 투입했으니 향후 교정 비용은 점차 줄어들 것이라고 얼버무렸다.
계산서에는 두 요리 값이 한 줄로 묶여 찍혀 있었다.
같은 어닝콜에서 앨러스테어 보스윅(Alastair Borthwick) 최고재무책임자(CFO)는 “전체 헤드카운트가 1년 전보다 3500명 가까이 순감했다”고 밝혔다. 모이니핸 최고경영자 역시 사내에서 130개 이상의 AI 프로젝트를 동시다발로 가동하고 있으며, 이를 통해 2027년까지 7억달러(약 9270억원)의 비용 절감 효과를 거둘 것이라고 강조했다. 은행의 정규 직원 명부는 3500명 가까이 가벼워졌지만, 그들이 도입한 AI의 결함을 뒤치다꺼리하는 1000명은 장부 밖에 숨겨져 있었다.
10월 16일 결함 찾던 앤트로픽의 닫힌 신입 관문
어닝콜 이틀 뒤, 결함을 찾는 기계를 세상에 내놓았던 앤트로픽 스스로가 사내 고용 지표를 담은 거울을 공개했다. 앤트로픽 경제분석팀은 사내 노동 구조 분석 보고서를 통해 사내 AI 에이전트의 누적 업무 시간이 지난 8월 기준 정규직 직원의 6배를 돌파했다고 발표했다. AI 에이전트의 작업 시간이 정규직 전체의 노동 시간을 처음으로 추월한 시점은 2026년 3월이었다.
인력 구조의 변화는 잔인했다. 기술 부서 전체에서 주니어(초급) 엔지니어가 차지하는 비중은 2025년 초 21%에서 14%로 급락했다. 기술직 신규 채용 중 주니어 비중은 더욱 가파르게 곤두박질쳐 27%에서 단 9%로 쪼그라들었다.
결함을 찾는 기계를 만든 장본인의 품에서도 신입 엔지니어의 자리는 사라지고 있었다.
앤트로픽은 보고서에 조심스러운 단서를 달았다. “자사의 독특한 고용 관행이 전체 거시경제에서 그대로 재현된다고 볼 수는 없다”는 방어적 해명이었다. 동시에 회사가 내놓은 어떤 인사 대책도 “보고서에 기록된 주니어 채용 급감 현상을 직접 해결하지 못한다”는 사실 역시 솔직히 시인했다.
BofA의 외주 계약직 1000명과 앤트로픽의 문전박대당한 주니어 구직자는 서로 다른 조직에 속한 남남이며, 인과관계로 얽힌 직접적 결과물도 아니다. 그러나 두 단면은 AI 경제학이 마주한 본질적인 역설을 겨냥한다. 시스템의 결함을 뜯어고칠 숙련 노동의 수요는 폭발하는데, 그 노하우를 바닥에서부터 익혀야 할 신입의 첫 사다리는 송두리째 걷어차이고 있다는 점이다.
감원 대신 신규 채용 문턱을 높인 AI 도입의 역설
거시 지표의 대답은 표면적으로는 완만하다. 글로벌 시장조사업체 가트너(Gartner)는 인력 동향 보고서를 통해 AI 도입으로 인한 직접적 ‘해고 및 감원’ 비율이 2025년 하반기에도 약 1% 수준에 머물렀다고 짚었다. 그러나 채용의 문은 조용히 닫히고 있었다. 국제통화기금(IMF)은 지난 15일 발표한 지역 경제 분석 보고서에서 아시아 19개국의 구인 공고 4000만건을 전수 분석한 결과, AI 노출도가 높은 직군의 채용 수요가 비노출 직군 대비 10% 가까이 위축됐다고 발표했다. 대규모 해고라는 파혈음 대신규 진입로를 차단하는 방식으로 노동시장이 재편되고 있었다.
일각에서는 미소스의 기술적 파급력을 평가절하하는 시선도 제기된다. 세계적인 보안 석학 브루스 슈나이어(Bruce Schneier)는 4월 개인 기술 블로그에서 글래스윙 프로젝트를 향해 “대중의 공포심을 자극한 앤트로픽의 영리한 홍보 전략이었으며 보기 좋게 적중했다”고 꼬집었다. 실제로 미소스를 도입해 웹 브라우저 파이어폭스(Firefox)의 제로데이 결함 271건을 패치한 모질라(Mozilla) 보안팀 역시 공식 개발자 블로그를 통해 “특급 인간 보안 연구자라면 충분히 발견해냈을 범주의 결함이었으며, 초인적인 미지의 버그는 없었다”고 털어놓았다.
하지만 이러한 회의론이 사실이라 해도 해결해야 할 실무의 총량은 변하지 않는다. 인간 연구자가 수개월에 걸쳐 찾아냈을 결함을 기계는 단 몇 초 만에 수만 건씩 쏟아내 책상 위에 무더기로 쌓아 올리기 때문이다.
모이니핸 최고경영자는 기존 결함이 봉합되면 교정 비용 역시 점차 줄어들 것이라고 내다봤다. 하지만 일자리는 결코 사라지지 않았다. 그저 비용의 이름표를 바꾸고 정규직 헤드카운트 밖으로 자리를 옮겼을 뿐이다.
에필로그 10월 31일 유럽 금융권에 도달할 같은 청구서
시선은 이제 대서양 건너 유럽으로 향하고 있다. 유럽중앙은행(ECB)은 7월 7일 역내 감독 대상 주요 은행들에 긴급 서한을 발송했다. 클라우디아 부흐(Claudia Buch) ECB 은행감독위원장은 공식 감독 서한을 통해 “차세대 프론티어 AI 모델은 소프트웨어 결함을 포착하고 공격 코드를 전례 없는 속도로 생성할 수 있다”며 전면적인 방어 행동계획 제출을 명령했다. 그 시한이 오는 10월 31일이다.
기계가 쏟아낸 지뢰를 치우는 것은 결국 사람의 몫이다.
