이 분야가 중요한 이유

소프트웨어 취약점은 보통 화면 안에서 끝난다. 피지컬 AI, 로봇, 자율주행차, 스마트팩토리의 임베디드 AI, 는 다르다. 여기서 뚫린 코드는 팔을 휘두르고, 바퀴를 돌리고, 사람이 있는 공간에서 움직인다. 한국경제가 2026년 7월 전한 인터뷰의 표현이 정확하다. “해킹당한 로봇은 사람을 공격할 수도 있다.” 방어 대상이 데이터에서 물리적 안전으로 넘어가는 순간, 보안 엔지니어의 일은 성격이 완전히 달라진다.

시장 숫자도 같은 방향을 가리킨다. 코히런트마켓인사이트는 보안 로봇 시장이 2026년 191.8억 달러에서 2033년 453.1억 달러(연평균 13.1%)로 커진다고 봤고, 로보틱스 자체를 지키는 사이버보안 시장은 코그니티브마켓리서치 기준 2024년 41.2억 달러 규모다. 국내에서는 로봇 제조사(두산로보틱스·레인보우로보틱스), 방산의 무인·자율 무기체계, 그리고 반도체·자동차 스마트팩토리의 협동로봇이 모두 이 방어 수요를 만들어낸다. 로봇 한 대가 사내망의 침투 지점이 되는 순간, 이건 IT 보안이 아니라 산업 안전 문제가 된다.

실제 사례는 이미 쌓였다. 2025년 9월 공개된 유니트리(Unitree)의 UniPwn 취약점은 Go2·B2 4족 로봇과 G1·H1 휴머노이드의 블루투스 저에너지(BLE) 프로비저닝에 하드코딩된 AES 키와 명령어 주입 결함을 드러냈다. 공격자가 무선으로 루트 권한을 잡고, 감염된 로봇 한 대가 주변 기기를 자동으로 감염시키는 웜형 봇넷으로 번질 수 있었다. 앞서 2025년 3월에는 같은 제조사의 Go1 로봇개에서 클라우드세일(CloudSail) 원격 접속 백도어가 발견돼, 연구자들이 API 키 하나로 MIT·프린스턴 등 1,919대에 접근할 수 있음을 확인했다. 막을 사람이 필요하다는 증거다.

필요한 역량

이 분야가 에이전트 데이터 유출 방지 같은 소프트웨어 중심 전문화와 갈라지는 지점은 명확하다. 방어 대상이 클라우드가 아니라 손에 잡히는 하드웨어이기 때문이다. 펌웨어를 뜯어보고, 실시간 운영체제(RTOS)의 동작을 이해하고, 로봇 미들웨어의 통신 계층까지 파고들어야 한다. 화면 밖에서 벌어지는 공격을 막으려면 물리 계층부터 봐야 한다.

핵심 기술:

• 펌웨어 리버스 엔지니어링과 시큐어 부트·서명 검증: 부팅 체인과 OTA 펌웨어 업데이트에 위·변조 방지를 거는 일
• ROS/ROS2·DDS 보안: 로봇 노드 간 통신(DDS 미들웨어)의 인증·암호화. 유니트리 Go2의 DDS 패킷 원격코드실행(CVE-2026-27509·27510)이 보여준 정확히 그 표면
• 무선 프로비저닝 방어: BLE·Wi-Fi 초기 설정 과정의 하드코딩 키·명령어 주입 차단(UniPwn이 뚫은 지점)
• 임베디드·CAN 버스·산업 프로토콜(Modbus·EtherCAT) 보안, 자율주행의 센서 스푸핑(LiDAR·카메라) 대응
• 안전 정지(safe-stop)·페일세이프 설계: 침해 시 로봇이 사람을 다치게 하지 않고 멈추도록

소프트 스킬:

• 물리 안전 사고방식: 침해의 결과가 데이터 손실이 아니라 인명 피해일 수 있다는 감각
• 하드웨어 팀·기구 설계자와의 협업: 보안이 설계 단계부터 들어가야 뒤늦은 패치보다 싸다
• 규제 번역: 기계류 안전 규격(ISO 10218·13849)과 사이버보안 요구를 하나의 설계 기준으로 옮기는 능력

커리어 경로

진입 경로는 세 갈래다. 임베디드·펌웨어 개발자가 보안으로 넘어오거나, 전통 침투 테스터가 하드웨어로 영역을 넓히거나, 로봇공학 엔지니어가 보안을 붙이는 식이다. 공통 조건은 하드웨어와 저수준 코드에 대한 편안함, 그리고 ROS 같은 로봇 스택에 손을 대본 경험이다. 방산·자동차·제조 대기업이 사내 로봇 보안 팀을 꾸리기 시작하면서, 이 이력을 갖춘 사람은 아직 국내에 드물다.