AI 보안 엔지니어 (AI Security Engineer)

이런 사람에게 맞아요

• ✓부수면서 원리를 파헤치는 데서 짜릿함을 느낀다 (공격자 시각)
• ✓파이썬이 편하고 반복 작업 자동화를 좋아한다
• ✓보안 기초와 AI, LLM 도구를 직접 다루는 걸 둘 다 즐긴다
• ✓새 공격, 도구가 매달 쏟아지는 변화를 흥미로워한다

이건 각오하세요

• !신입 자리가 드물다, 대개 보안, 개발 경력을 쌓고 나서 이 분야로 전문화한다
• !과대광고가 심하다, 실제로 되는 도구와 헛것을 가려내는 데 시간을 꽤 쓴다
• !규정, 문서 작업(EU AI Act, 보고서, 문서화)이 영화가 보여주는 것보다 훨씬 많다
• !스킬 수명이 짧다, 지금 아는 게 1~2년이면 낡을 수 있다

공격자 눈으로 경로를 그리는 힘

취약점 목록을 외우는 사람보다, 처음 보는 시스템에서 '입력이 어디로 들어가 어디까지 닿는가'를 먼저 그려보는 사람이 새로운 기술 앞에서 살아남는다. LLM처럼 해마다 형태가 바뀌는 대상에서는 암기한 목록이 빨리 낡지만, 이 그림을 그리는 습관은 오래 간다. 매일 쓰는 앱 하나를 골라 사용자가 글자를 넣을 수 있는 지점을 전부 찾아내고, 그 글자가 결국 어디에 저장되며 누구에게 보이는지 적어보는 것으로 시작한다.

경고 더미에서 진짜만 골라내기

자동 스캐너와 AI 도구는 경고를 아주 많이 만들어내고, 그중 상당수는 실제로 악용할 수 없는 것들이다. 하나씩 확인해 진짜만 추려내지 못하면 개발팀은 곧 보안팀의 지적을 무시하게 되고, 그 순간 이 일은 통째로 힘을 잃는다. 자기가 만든 웹 프로젝트에 무료 스캐너를 돌려 경고 열 개를 뽑은 뒤 각각이 정말 공격으로 이어지는지 손으로 확인해보면, 이 감각이 빨리 는다.

무엇을 먼저 고칠지 정하는 근거

보안팀이 찾아낸 문제를 전부 고칠 시간은 어느 회사에도 없어서, 무엇을 이번 주에 고치고 무엇을 다음 분기로 미룰지 정하는 것이 실제 업무가 된다. 이 순서를 근거 없이 정하면 사소한 것을 손보는 동안 큰 구멍이 그대로 열려 있는 결과가 나온다. 자기 프로젝트에서 발견한 문제들을 악용 난이도와 털렸을 때의 손해라는 두 축으로 표에 배치해보면, 근거를 대는 방식이 손에 익는다.

건드려도 되는 선을 지키는 감각

허가받지 않은 시스템을 건드리는 순간 그 기술은 경력이 아니라 전과가 되고, 이 선을 지켜온 기록이 그대로 채용에서의 신뢰가 된다. 실력이 비슷하면 회사는 남의 시스템 앞에서 멈출 줄 아는 사람을 뽑는다. picoCTF나 본인이 만든 환경, 그리고 버그바운티 프로그램이 문서로 밝힌 범위 안에서만 실습하고, 그 문서의 허용 항목과 금지 항목을 직접 손으로 옮겨 적는 습관을 지금부터 들인다.