이 분야가 중요한 이유

2026년 7월 19일 공개 채용 API 스캔에서 뚜렷한 패턴이 잡혔다. 상위 스케일업 17곳의 최신 공고 105건 가운데 보안 엔지니어 포지션이 Discord, Gusto, Ramp, Replit, Brex, Cursor 등에서 동시에 열려 있었다. 세부 영역도 제각각이다. Brex는 애플리케이션 보안, Ramp는 엔드포인트 보안, Replit은 취약점 관리와 안티어뷰즈. Cursor는 아예 “Agent & Product Security” 엔지니어링 매니저를 찾는다. 18개월 전에는 거의 없던 직함이다. 전담 CISO 조직을 갖추기 직전 단계의 회사들이, 제품 코드베이스 안에서 보안을 설계할 사람을 찾고 있다는 신호다.

배경에는 AI 에이전트가 있다. Check Point의 AI Security Report 2026(7월 14일 발행)은 악성 페이로드 탐지가 2026년 3월에서 5월 사이 약 5배로 뛰었고, 에이전트가 읽는 문서와 웹페이지에 명령을 심는 간접 프롬프트 인젝션이 실전 공격 기법으로 자리 잡았다고 진단했다. 모델은 데이터와 명령을 항상 구분하지 못한다. 에이전트에게 도구와 권한을 쥐여준 제품일수록 공격 표면이 자기 코드 바깥까지 넓어진다.

시장 수치도 같은 방향을 가리킨다. Mordor Intelligence는 글로벌 애플리케이션 보안 시장을 2026년 148억 달러에서 2031년 281억 달러로, 연평균 13.6% 성장으로 전망한다. 국내 사정도 다르지 않다. 네이버·카카오·토스급은 전담 보안 조직을 굴리지만, 시리즈 A~C 스타트업 대부분은 “보안을 아는 백엔드 엔지니어"가 사실상 보안팀이다. 개인정보보호법 과징금과 ISMS-P 인증 요건은 회사 규모를 봐주지 않는다.

경계선 하나는 분명히 긋고 가자. 이 전문화는 프라이버시·신뢰안전(T&S) 엔지니어링과 다른 자리다. T&S가 사용자 행동과 콘텐츠 악용(가짜 계정, 유해 콘텐츠, 연령 인증)을 다룬다면, 제품 보안은 코드와 아키텍처 수준의 공격(인젝션, 권한 상승, 데이터 유출 경로)을 막는다. 채용 공고도 대부분 별도로 난다.

필요한 역량

제품 보안 엔지니어는 보안 감사자가 아니라 만드는 사람이다. 취약점 리포트를 쓰는 데서 멈추지 않고, 고친 코드와 재발을 막는 구조까지 직접 넣는다.

애플리케이션 보안 기본기

• OWASP Top 10을 암기하는 수준이 아니라, 자기 서비스 코드에서 IDOR·SSRF·인증 우회를 직접 찾아 고쳐본 경험
• 인증·인가 설계: OAuth 2.0, OIDC, 세션 관리, 토큰 수명 주기
• 시크릿 관리: 하드코딩 키 제거, Vault·KMS 연동, 키 로테이션 자동화

AI 시대의 새 공격 표면

• 프롬프트 인젝션 방어: 직접·간접 인젝션 구분, 입력·출력 검증 레이어 설계
• 에이전트 권한 경계: 툴 호출 화이트리스트, 샌드박스 실행, 최소 권한 원칙의 에이전트 버전
• RAG 파이프라인 오염 대응: 외부 문서를 신뢰 경계 밖 입력으로 취급하는 설계

시큐어 SDLC 구축

• 위협 모델링을 스프린트 안에 끼워 넣는 경량 프로세스 설계
• SAST·DAST·의존성 스캔·시크릿 스캐닝을 CI에 배선하고 오탐을 관리하는 운영 감각
• 침해 대응: 감사 로그 설계, 이상 징후 알림, 런북 작성과 모의 훈련

설득 능력

• 보안 요구를 제품 언어로 번역해 개발팀이 스스로 움직이게 만드는 커뮤니케이션. 스케일업의 1호 보안 엔지니어에게는 코드만큼 중요한 무기다.

커리어 경로

주니어 단계 (0~3년) 백엔드나 풀스택으로 출발해 보안 티켓을 자원해서 가져가는 것이 가장 빠른 진입로다. 사내에 보안 챔피언 제도가 있으면 손을 들고, 없으면 의존성 취약점 정리나 시크릿 스캐닝 도입 같은 작은 개선을 먼저 만들어낸다. CTF 수상 기록이나 버그바운티 리포트 몇 건은 실전 감각을 증명하는 가장 싼 방법이다. 국내라면 토스·당근 같은 곳의 보안 엔지니어 채용 요건을 미리 읽어두고 갭을 메워가면 된다.

미드레벨 단계 (3~6년) 스케일업의 1호 보안 엔지니어 자리가 이 구간에 열려 있다. 2026년 7월 실측 공고 기준으로 Ramp의 엔드포인트 보안 시니어는 $172K~$236K, Replit의 취약점 관리 엔지니어는 $210K~$270K 밴드를 걸었다. 이 단계의 핵심은 혼자서 위협 모델링, 스캔 파이프라인 구축, 개발팀 설득까지 끝내는 풀스택 보안 역량이다. 여기에 에이전트 보안 경험이 얹히면 이직 시장에서 희소성이 확 뛴다.

시니어·리더 단계 (6년 이상) 회사의 첫 보안 조직을 설계하는 자리로 간다. Cursor의 Agent & Product Security EM, Discord의 Safety 엔지니어링 디렉터처럼 매니지먼트 트랙이 열리고, 그 위로 CISO 트랙이 이어진다. AI 인프라가 중공업 규모로 커지는 흐름(데이터센터 투자를 다룬 The Atlantic 2026년 7월 기사가 이 배경을 짚는다) 속에서, 지킬 자산이 커질수록 보안 리더의 협상력도 같이 커진다.