미국의 민간 인텔리전스 기업 Strider가 공개 기록과 이른바 agentic AI를 결합해 미 공군, NATO 등 고객이 외국 국가 연계 행위자를 식별하도록 돕고 있다는 보도가 나왔다.1 이 뉴스가 중요한 이유는, AI가 보안 업무를 자동화한다는 익숙한 이야기보다 한 단계 더 나아가 "국가 리스크를 민간 SaaS처럼 운영하는 시장"이 커지고 있음을 보여주기 때문이다.
핵심은 모델의 화려함이 아니다. Strider는 공개 데이터, 자체 분석 방법론, 고객의 내부 보안 데이터까지 엮어 "누가 위험한가"보다 "왜 지금 이 관계가 문제인가"를 더 빨리 답하려 한다. 방산, 공급망, 연구개발, 채용을 다루는 조직이라면 이 흐름을 단순한 위협 인텔리전스 제품 출시로 보면 부족하다.
Strider가 실제로 하려는 일: 검색이 아니라 연결과 우선순위화
확인 가능한 사실부터 보자. Strider는 자사 플랫폼이 공개적으로 이용 가능한 데이터와 자체 데이터 자산을 기반으로 사람, 조직, 기술, 오픈소스 기여, 공급망 관계를 분석한다고 설명한다.23 2025년에는 생성형 AI 기반 엔진 'Spark'를 발표했고, 2026년에는 이를 확장한 "agentic operating system"을 내놨다고 밝혔다.45
여기서 agentic AI라는 표현은 다소 마케팅 용어에 가깝다. 다만 제품 설명을 종합하면 Strider가 말하는 핵심 기능은 비교적 명확하다. 대량의 비정형 공개 데이터를 지속적으로 수집하고, 개체 간 관계를 연결하고, 위험 점수를 붙이고, 사용자가 자연어 질의로 조사 흐름을 줄이는 방식이다.45
실무적으로 중요한 포인트는 이 부분이다. 기존 OSINT 도구가 "찾을 수 있게" 해줬다면, Strider류 제품은 "조사 우선순위를 정해주고 보고서 초안을 만들어주는" 방향으로 이동하고 있다. 정보 수집보다 해석과 정리가 병목인 조직일수록 매력적일 수밖에 없다.
왜 지금 이 시장이 커지나: 국가안보와 기업 운영의 경계가 흐려졌다
Strider는 자신들을 전통적 사이버 보안 업체보다는 경제안보·전략 인텔리전스 회사로 포지셔닝한다. 이 회사가 강조하는 대상도 해킹 자체보다 인재 영입, 공동연구, 투자, 공급망, 제3자 파트너 같은 회색지대다.26
이건 시장의 변화와 맞물린다. 공급망 실사, 수출통제, 연구보안, 오픈소스 위험 관리가 한 묶음이 되고 있다. 실제로 Strider는 공급망 리스크 플랫폼 Craft와 협력해 외국 영향력 데이터를 국방 관련 공급업체 평가에 결합했다.7 즉, "이 업체가 납품 가능한가"라는 질문에 재무나 품질만이 아니라 국가 연계성까지 들어오기 시작한 것이다.
이 변화는 방산과 정부에만 국한되지 않는다. 반도체, AI, 바이오, 배터리, 항공우주처럼 기술 유출과 인재 이동이 민감한 산업에서는 채용 검증, 협력기관 심사, 오픈소스 검토가 모두 지정학 업무가 된다. 보안팀만 볼 일이 아니라 법무, 구매, HR, 연구기획이 함께 봐야 하는 이유다.
강점은 속도, 약점은 해석의 정확도다
Strider가 내세우는 장점은 분명하다. 조사 시간을 며칠 혹은 몇 주에서 몇 분으로 줄인다고 주장하고, 내부 데이터와 결합해 "outside-in" 시각을 제공한다고 말한다.4 만약 이 약속이 일정 수준 사실이라면, 인력 부족에 시달리는 공공기관과 대기업에는 꽤 실용적이다.
하지만 여기에는 분명한 한계도 있다. 첫째, 공개 기록 기반 분석은 본질적으로 데이터 품질 문제를 안고 있다. 이름 중복, 번역 오류, 오래된 소속 정보, 맥락 없는 관계 추론이 쉽게 오탐을 만든다. 둘째, "국가 연계"는 법적 판단이 아니라 해석의 문제인 경우가 많다. 공동저자, 학력, 과거 근무 이력만으로 위험도를 높게 보면 정상적 국제 협력까지 위축시킬 수 있다.
그래서 이런 도구를 도입할 때의 질문은 "정확도가 몇 %인가"가 아니다. 오히려 다음이 더 중요하다. 근거 출처를 추적할 수 있는가. 사람이 최종 검토하는가. 어떤 신호가 위험 점수에 반영되는가. 반론이나 정정 절차가 있는가. Strider도 "explainable insights"와 추적 가능한 소싱을 강조하지만, 실제 운용에서 어느 정도 투명한지는 고객 검증의 영역으로 남아 있다.5
도입 판단 기준: 보안 제품이 아니라 운영 체계로 봐야 한다
이런 제품이 맞는 조직은 분명하다. 국가 지원 위협의 표적이 되기 쉬운 산업, 복잡한 해외 파트너망을 가진 조직, 규제 대응과 이사회 보고를 자주 해야 하는 곳이다. 반대로 일반적인 IT 보안 문제만 다루는 조직이라면 과한 투자일 수 있다.
도입 여부를 볼 때는 세 가지만 먼저 확인하면 된다.
첫째, 데이터 범위보다 워크플로 통합이다. SIEM, DLP, 공급망 관리, 채용 심사, 벤더 온보딩에 실제로 연결되지 않으면 예쁜 인텔리전스 대시보드로 끝난다.3
둘째, 탐지보다 판정 책임이다. AI가 연결한 관계를 누가 승인하고 어떤 기준으로 차단할지 내부 거버넌스가 있어야 한다.
셋째, 지정학 리스크를 얼마나 운영 문제로 다루고 있는가다. 이 질문에 아직 "보안팀 일"이라고 답한다면, Strider가 보여주는 변화는 제품 트렌드가 아니라 조직 설계의 신호다.
결국 Strider가 상징하는 것은 AI의 새 기능보다도, 공개 정보·내부 데이터·정책 판단을 한 화면으로 묶어 의사결정 시간을 줄이려는 흐름이다. 지금 신경 써야 할 사람은 CISO만이 아니다. 조달, 법무, HR, 연구보안, 그리고 기술 기업의 경영진이다. 앞으로 봐야 할 포인트도 하나다. 이런 도구가 더 많은 위험을 "발견"하는지가 아니라, 더 적은 오판으로 더 나은 결정을 만들 수 있는지다.
참고
3Strategic Intelligence - Strider Intel
7Craft Partners With Strider to Safeguard Supply Chains Amid Rising Foreign Influence Threats
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.