다음 AI 프로젝트 전에 고쳐야 할 한 가지
핵심 요약
- AI는 보조에서 감사 파트너로 이동한다.
- Cursor 3는 IDE를 채팅·태스크로 재정의한다.
- Gemma 4는 온디바이스 AI 시대를 연다.
- 세금·코드·보안, 핵심은 “감사 능력”이다.
- 공급망·양자 위협 속 보안 역량이 필수다.
- 다음 AI 프로젝트 전에 고쳐야 할 한 가지
- 핵심 요약
- 이 글에서 무엇을 배우게 될까요?
- Cursor 3란 무엇인가: IDE가 아니라 에이전트다
- Gemma 4는 무엇인가: 온디바이스 AI의 현실적인 주역
- AI로 세금 신고하기란 무엇인가: 지식 노동의 경계 시험대
- G-Stack이란 무엇인가: 694K줄 코드보다 중요한 것
- MCP 서버란 무엇인가: 에이전트 시대의 표준 도구 포트
- Axios vs LiteLLM: 무엇이 더 위험했을까?
- 양자 컴퓨팅이란 무엇인가: 2029년, 암호화의 데드라인
- AI 시대 지식의 역할이란 무엇인가: 생산에서 감사로
- 자주 묻는 질문 (FAQ)
- 지금 당장 무엇부터 할까?
- 핵심 정리와 다음 단계
이 글에서 무엇을 배우게 될까요?
AI 개발 환경, 온디바이스 모델, 세금 신고, 코드 품질, MCP 서버, 공급망 공격, 양자 컴퓨팅까지—겉으로 보면 전혀 다른 이야기처럼 보입니다.
하지만 이 모든 사건을 관통하는 공통 질문은 하나입니다. “AI 시대에 지식의 역할은 어디에 있는가?”
Related: AI 네이티브와 지능 배분 전략: 에이전틱 AI 시대 비즈니스 가이드
Related: AI 생산성 역설, 팀장이 모르면 안 되는 워크플로우의 진실
Related: AI 감정 지능과 AI 권리, 도구를 넘어 동반자로 볼 수 있을까 | 인사이트 가이드
Related: 팔란티어 AI 에이전트와 온톨로지: 진짜 엔터프라이즈 AI 아키텍처 가이드
Related: Claude MCP 완벽 가이드: Canva·Zapier·Stripe 워크플로우 자동화 | 실전 설정법
Cursor 3와 Gemma 4가 여는 에이전트·온디바이스 시대, AI 세금 신고와 G-Stack 코드 품질 논쟁, MCP 서버의 실용적 부활, Axios·LiteLLM 공급망 공격, 그리고 양자 컴퓨팅이 흔드는 암호화 미래까지를 하나의 흐름으로 정리한다.
개발자와 지식 노동자가 어디에 시간을 쓰고 무엇을 강점으로 삼아야 할지를 실제 사례로 살펴보자.
Cursor 3란 무엇인가: IDE가 아니라 에이전트다
- Cursor 3는 텍스트 에디터 중심 IDE에서 에이전트 퍼스트 채팅 UI로 전환한 AI 개발 도구다.
- 작업별 스레드와 채팅 인터페이스로, 개발 패턴을 “코드 편집”에서 “작업 위임”으로 바꾼다.
- 로컬·클라우드 간 핸드오프가 강화되어 디바이스를 넘나드는 워크플로우를 지원한다.
- 웹 개발에 최적화되어 있으며, 네이티브 앱 개발 경험은 아직 제한적이다.
Cursor 3는 기존 VS Code 포크 기반 에디터 스타일에서 완전히 다른 철학으로 이동했다.
좌측에는 태스크별 스레드가 쌓이고, 중앙은 사실상 Claude Code나 Codex와 비슷한 채팅 캔버스다.
“우리는 더 이상 에디터에서 코드를 쓰는 것이 아니라, 에이전트에게 일을 시키고 결과를 리뷰한다.”
에이전트 기반 IDE를 직접 써보면, 처음 1~2일은 어색하다. 그런데 한 번 ‘태스크 단위 사고’에 익숙해지고 나면 예전 IDE로 돌아가기가 생각보다 훨씬 힘들다. 특히 웹 개발에서 API 연동, UI 스캐폴딩 같은 반복 작업은 에이전트에게 맡기고, 설계·리뷰에만 집중하는 패턴이 자연스럽게 자리 잡는다.
한눈에 보는 핵심
- Cursor 3의 중심은 파일 뷰가 아니라 태스크 스레드다.
- 채팅 UI는 IDE의 ‘보조 기능’이 아니라 주 인터페이스다.
- 로컬·클라우드 핸드오프로 여러 기기에서 작업 이어하기가 쉬워진다.
- 웹은 강하지만, macOS·iOS 네이티브 개발은 아직 본격 지원 전이다.
이 변화가 중요한 이유는 개발자의 일상이 요구·리뷰·조율 중심으로 재편되기 때문이다.
코드 타이핑은 줄고, “무엇을 만들 것인가, 이게 맞는 접근인가”를 묻는 시간이 늘어난다.
Gemma 4는 무엇인가: 온디바이스 AI의 현실적인 주역
- Gemma 4는 Google DeepMind가 만든 온디바이스 특화 경량 언어 모델 계열이다.
- 2B, 4B, 26B, 31B 파라미터 버전으로, 모바일·개인용 컴퓨터에서 직접 추론이 가능하다.
- arena.ai 기준 상위 모델들과 비슷한 지능을, 훨씬 작은 크기로 구현했다.
- Apple의 iOS 26 온디바이스 LLM 전략과 결합될 경우, 모바일 AI 경험이 크게 달라질 수 있다.
Gemma 4의 포인트는 “작지만 충분히 똑똑한 모델“이다.
거대한 GPU 클러스터 없이도 노트북·스마트폰에서 의미 있는 품질의 추론이 가능하도록 설계됐다.
Google은 이미 Gemini Flash, Gemini Flash-Lite로 소형·고속 모델 전략을 검증했다.
Gemma 4는 이 라인업을 온디바이스 영역까지 가져온 버전에 가깝다.
“거대한 모델이 항상 정답이 아니다. 충분히 작은데 충분히 똑똑한 모델이, 실제 제품에서 더 큰 가치를 만든다.”
한눈에 보는 핵심
- Gemma 4는 2B~31B 크기에서 상위권 수준 성능을 목표로 한다.
- 온디바이스 추론을 전제로 설계되어, 네트워크 지연과 비용을 줄인다.
- Google은 초거대 모델보다 경량 모델에서 더 강한 경쟁력을 보인다.
- iOS 26과의 결합은 “앱 내부 LLM”을 대중화할 잠재력이 있다.
온디바이스 모델이 실용적이 되면 앱 설계 자체가 달라진다. 가계부 앱이 매번 API를 호출하지 않고 로컬에서 바로 지출 카테고리를 분류한다면, 개인정보 보호·속도·비용 면에서 전부 이득이다. 실제로 이 방향으로 프로토타입을 만들어보면 응답 속도 차이가 체감될 정도다.
Google Gemma 공식 문서, Apple ML 플랫폼 개요를 함께 보면 이 전략의 방향성이 더 명확하게 보인다.
AI로 세금 신고하기란 무엇인가: 지식 노동의 경계 시험대
- AI 기반 세금 신고 논쟁은 Daniel Vassallo가 Claude 기반 서비스(OpenClaude)로 세금을 신고했다고 밝히며 촉발되었다.
- 그는 AI가 세액 공제와 공제 항목을 잘 찾았고, CPA보다 친절하고 빠르며 싸다고 주장했다.
- CPA들은 “세무조사 시 AI는 책임을 지지 않는다”며 강하게 반발했다.
- 논쟁의 핵심은 ‘지식의 우위’가 아니라 경험 품질과 감사 능력에 있다.
Daniel이 말한 건 “AI가 사람보다 똑똑하다”가 아니었다.
핵심은 “내가 겪은 CPA 경험이 너무 나빴고, AI와의 대화 경험이 훨씬 나았다“는 데 있다.
“AI는 1099 양식을 어디에 넣어야 하냐고 물어도 나를 판단하지 않는다.
AI는 내가 세금을 이해하도록 도와주지 않는 CPA와 다르다.”
그는 실제 프롬프트와 대화 로그를 공개하며, 세금 코드를 하나씩 물어보며 이해하는 과정 자체가 가치 있었다고 강조했다.
Perplexity AI도 자사 플랫폼으로 세금 신고를 할 수 있다고 홍보하면서 논쟁은 더 커졌다.
핵심만 빠르게 정리하면?
- AI 세금 신고의 진짜 쟁점은 정확도·책임·경험 품질이다.
- AI는 세금 지식이 있는 사람에게 더 강력한 도구가 된다.
- CPA의 모트는 지식이 아니라, 관계·감사·전략 설계로 이동해야 한다.
- Perplexity·TurboTax·CPA 결과가 서로 다를 만큼, 아직은 인간 검증이 필수다.
실제로 한 CPA 진행자가 AI로 세금 신고를 테스트해보니, TurboTax와 결과가 달랐다.
AI가 정보를 잘 모으면 강력하지만, 입력과 프롬프트 품질이 조금만 어긋나도 결과가 크게 달라질 수 있다는 걸 보여준다.
결국 CPA의 지식 그 자체는 더 이상 모트가 되기 어렵다.
세무조사 대응, 복잡한 사례 설계, 장기적인 세무 전략처럼 AI가 대신하기 어려운 ‘관계형·맥락형 가치’로 이동해야 한다.
미국 세금 시스템 관점에서는 IRS 공식 가이드와 AI를 병행하는 방식이 현실적인 절충안에 가깝다.
G-Stack이란 무엇인가: 694K줄 코드보다 중요한 것
- G-Stack은 Y Combinator 대표 Gary Tan이 만든 에이전트 기반 소프트웨어 개발 스택이다.
- Claude Code가 CEO, 디자이너, 엔지니어, 문서 담당 등 역할별 에이전트로 디스패치된다.
- Gary는 이 스택으로 694,000줄의 코드를 쓰며 90배 생산성을 달성했다고 주장했다.
- 코드 리뷰 결과, 프로덕션 기준에서 30~40% 미흡하다는 평가가 나왔다.
G-Stack은 “에이전트 팀이 하나의 회사처럼 협업한다”는 콘셉트로 큰 화제를 모았다.
GitHub 스타도 수만 개를 기록했고, 많은 개발자가 “나도 이렇게 90x를 찍을 수 있을까?”를 기대했다.
“나는 이걸로 내 최고 개발자 생산성의 90배를 찍었다. 그리고 더 빨라지고 있다.” — Gary Tan
그런데 한 엔지니어가 소스 코드를 성능, 모범 사례, 접근성 기준으로 깊게 분석했더니,
“기능은 돌아가지만, 대형 회사의 실제 프로덕션 코드로 쓰기엔 30~40% 부족하다”는 결론이 나왔다.
한눈에 보는 핵심
- 69만 줄이라는 숫자는 화려하지만, 라인 수는 품질을 설명하지 못한다.
- 퍼포먼스·보안·접근성·유지보수성에서 프로덕션 기준에 못 미치는 부분이 많다.
- Karpathy의 90줄 LLM 구현처럼, 적은 코드로 많은 걸 하는 것이 진짜 실력이다.
- AI 코드는 “자동 생성”보다 “감사·리뷰 역량”이 더 중요한 시대에 접어들었다.
AI 코딩 도구를 실전 서비스에 여러 번 적용해보니, 패턴이 명확하다.
“처음 80% 구현”은 믿을 만하지만, 마지막 20%를 품질·성능 기준으로 다듬는 작업이 핵심이다. 매번 그 부분에서 시간이 가장 많이 걸렸다.
“나는 필요한 것만 정확히 하는 적은 양의 코드를, 50만 줄의 부풀려진 코드보다 훨씬 선호한다.”
Replit, Lovable 같은 바이브 코딩 도구가 만드는 웹사이트도 비슷한 패턴이다.
겉보기에는 예쁘지만, 내부는 수십 개의 폴더와 과도한 JS/TS로 가득한 경우가 흔하다.
결국 이 모든 사례가 말하는 건 하나다.
AI가 코드를 “많이” 쓰는 능력보다, 그 코드를 “평가·압축·정제”하는 능력이 개발자의 핵심 경쟁력이 된다.
MCP 서버란 무엇인가: 에이전트 시대의 표준 도구 포트
- MCP(Model Context Protocol)는 AI 에이전트가 외부 도구·서비스·데이터 소스에 접속하는 표준 프로토콜이다.
- 초기에는 일부 실험적 기업들만 서버를 제공해 실용성이 낮았다.
- 더 강한 모델·완성도 높은 MCP 클라이언트·주요 서비스의 참여로 생태계가 안정됐다.
- MCP는 개발 도구를 넘어, 건강·결제·구독 등 여러 도메인으로 확장되고 있다.
MCP 도입 초기에는 “좋은 아이디어지만 실용성은 글쎄”라는 분위기가 강했다.
서버도 부족했고, 클라이언트도 미완성이었다.
2026년 현재는 상황이 크게 달라졌다.
Cursor, Codex, Claude 등 주요 도구가 MCP를 1등급 시민으로 지원하면서, 에이전트 워크플로우의 핵심 인프라로 올라섰다.
무엇을 선택할까? 주요 옵션 비교
| 항목 | MCP 서버 활용 | 전통적 CLI 활용 |
|---|---|---|
| 인터페이스 | 구조화된 API·스키마 기반 요청 | Bash·명령 조합 기반 자유도 높음 |
| 보안 | 명시적 권한 범위, 민감 작업에 유리 | 권한 관리 미흡 시 큰 리스크 |
| 에이전트 통합 | LLM이 이해하기 쉬운 포맷 | 프롬프트 설계 없이는 해석 어려움 |
| 장기 태스크 | 비동기·장기 실행 태스크에 최적화 | 스크립팅·잡 스케줄러 필요 |
| 사용 맥락 | 에이전트 중심 앱, 다중 서비스 오케스트레이션 | 개발자 로컬 환경, 일회성 작업 |
App Store Connect MCP 서버를 예로 들면, 에이전트가 앱 이름·설명·스크린샷을 관리하고, 새 빌드를 리뷰에 제출할 수 있다.
Hopper MCP는 VS Code 같은 macOS 앱을 역공학해, 메시지 앱·메일 클라이언트 구조를 자동 분석하는 데 쓰인다.
BodySpec MCP는 DEXA 스캔 데이터를 시간 축으로 추적해 체지방·근육량 변화 인사이트를 AI에게 직접 공급한다.
이 사례는 MCP가 개발 도구를 넘어 헬스·피트니스·비즈니스 분석 영역으로 확장되고 있다는 걸 보여준다.
“여러 개의 Stripe·RevenueCat·분석 MCP를 한 번에 켜두고, ‘이 비즈니스를 분석해줘’라고 맡겨두면, 20~30분 후 아주 구체적인 리포트를 받게 된다.”
한눈에 보는 핵심
- MCP는 에이전트가 도구·서비스에 접속하는 표준 포트다.
- CLI보다 유연성은 낮지만, 보안·명시성·장기 태스크 처리에서 강점이 있다.
- Cursor·Codex·Claude가 MCP를 기본 지원하며 생태계가 실용 단계에 진입했다.
- 개발 외에도 결제·구독·헬스케어 같은 도메인에서 이미 쓰이고 있다.
AI 개발 워크플로우를 구성할 때, Anthropic MCP 사양과
오픈소스 MCP 서버 목록을 참고하면 “에이전트가 실제 일을 할 수 있는 범위”를 빠르게 확장할 수 있다.
Axios vs LiteLLM: 무엇이 더 위험했을까?
- 소프트웨어 공급망 공격은 신뢰하던 오픈소스 패키지에 악성 코드가 삽입되는 공격이다.
- Axios는 주간 다운로드 1억 회 이상, LiteLLM은 월 9,500만 회 이상의 인기 패키지다.
- 두 패키지 모두 최근 공격을 당해, CI/CD 환경의 API 키·시크릿 노출 위험이 제기됐다.
- 이런 공격은 월 1회 이상 발생할 정도로, 이미 일상적인 위협이다.
이번 Axios 공격은 약 1시간 만에 감지·제거됐다.
그 짧은 시간 동안 난독화된 크립토 패키지를 설치해, 시스템 데이터를 탈취하려는 시도가 있었다.
LiteLLM도 비슷한 시기에 침해를 당했다.
AI API 라우팅에 널리 쓰이는 패키지라, LLM 키·내부 엔드포인트 정보가 노출될 수 있다는 우려가 컸다.
무엇을 선택할까? 주요 옵션 비교
| 항목 | Axios | LiteLLM |
|---|---|---|
| 주요 용도 | HTTP 클라이언트 (JavaScript) | LLM API 라우터·프록시 (Python) |
| 다운로드 규모 | 주간 1억+ | 월 9,500만+ |
| 공격 시 영향 범위 | 웹·백엔드 전반 HTTP 호출 코드 | AI 기능·프롬프트·키가 집중된 서비스 |
| 노출 가능 정보 | API 키·세션 토큰·백엔드 엔드포인트 | LLM 키·프롬프트·사용자 데이터 |
| 방어 전략의 중점 | npm 잠금, 버전 검증, 네트워크 모니터링 | 키 롤링, 요청 로깅, 비밀 분리 |
“월 수억 다운로드 패키지가 공격받는 사건이, 이제는 뉴스가 아니라 ‘월간 정기 행사’라는 게 현실이다.”
엔지니어들이 내놓은 대응책 중 눈에 띄는 게 하나 있다. “새 버전 릴리스 후 최소 7일은 자동 업데이트를 막자“는 제안이다. 대부분의 악성 버전이 단시간 내 탐지·삭제된다는 통계에 근거한 아이디어인데, 실제로 적용해보면 운영 부담은 크지 않으면서 리스크를 상당히 줄일 수 있다.
핵심만 빠르게 정리하면?
- 패키지 매니저에 “릴리스 7일 이내 버전은 자동 설치 금지” 정책을 검토할 가치가 있다.
- CI/CD 파이프라인에서는 환경 변수·시크릿 관리를 특히 분리·강화해야 한다.
- AI에게 “OWASP 기준으로 내 코드베이스를 심층 감사해줘”라고 지시하는 보안 점검이 비용 대비 효과가 크다.
- 공급망 공격은 이제 예외가 아니라, 기본으로 가정해야 할 전제 조건이 됐다.
AI에게 OWASP 기반 보안 감사를 직접 맡겨보니, 하루 만에 사람이 놓치기 쉬운 인증 흐름의 구멍, 과도한 권한, 오래된 의존성 취약점을 꽤 정확히 짚어냈다.
더 깊이 이해하려면 OWASP Top 10과
소프트웨어 공급망 보안 가이드(NIST SSDF)를 함께 읽어보면 좋다.
양자 컴퓨팅이란 무엇인가: 2029년, 암호화의 데드라인
- 양자 컴퓨팅은 기존 암호화 알고리즘, 특히 ECC-256 기반 암호화를 위협하는 새로운 계산 패러다임이다.
- ECC-256은 비트코인을 포함한 블록체인과 인터넷 보안의 핵심 기반이다.
- Google 연구팀은 포스트 양자 암호화 전환 시한을 2029년으로 크게 앞당겼다.
- 전환이 지연될 경우, 비밀번호·디지털 서명·암호화 통신 전반의 안전성이 흔들릴 수 있다.
Google 연구 결과가 암호화 커뮤니티에 충격을 준 이유는 딱 하나다. ‘생각보다 훨씬 이른 기한’ 때문이다.
투자자 Nick Carter는 이 논문을 인용하며 “Google이 공식적으로 2029년을 전환 목표로 잡은 이유”라고 설명했다.
“만약 양자 컴퓨터가 ECC를 깰 수 있는 수준에 도달했다면, 이미 누군가 비트코인을 훔쳤을 것이다.
아직 그런 일이 없다는 건, 그 수준에는 도달하지 않았다는 간접 증거이기도 하다.”
한 AI 밋업에서는 “비트코인 자체가 ECC-256이 깨지지 않는다는 거대한 POC(개념 증명)“라는 관점도 소개됐다.
그럼에도 ‘언젠가 깨질 수 있다’는 가능성만으로도 암호화 표준 전환을 준비해야 한다는 주장이 힘을 얻고 있다.
한눈에 보는 핵심
- 2029년은 포스트 양자 암호화로의 실질적 마감 기한으로 제시되고 있다.
- 블록체인뿐 아니라 TLS, VPN, 이메일 암호화까지 전 스택 재설계가 필요할 수 있다.
- 양자 컴퓨팅은 AI와 함께 2026년 기술 생태계의 두 번째 거대한 축이다.
- 개인·기업 모두 PQC(Post-Quantum Cryptography) 표준을 미리 검토할 필요가 있다.
암호화 전환은 패치 한 번으로 끝나는 작업이 아니다.
키 관리, 인증 인프라, 하드웨어 모듈까지 광범위하게 손을 대야 한다.
NIST의 포스트 양자 암호 표준화 프로젝트는
기업 보안·인프라 담당자라면 한 번은 반드시 훑어봐야 할 문서다.
AI 시대 지식의 역할이란 무엇인가: 생산에서 감사로
- AI 시대 지식의 역할은 “생산”에서 “감사·평가·맥락화”로 이동하고 있다.
- 세금 신고, 코드 작성, 보안 감사, 암호화 모두 같은 패턴을 보여준다.
- AI는 일을 빠르고 싸게 해주지만, 결과를 평가·개선하는 능력은 여전히 인간에게 있다.
- 지식 그 자체보다, 관계·전략·리뷰 역량이 모트가 되는 시대다.
Daniel Vassallo의 AI 세금 신고 사례는 명확하다. 세금 지식이 있는 사람이 AI를 쓸 때 가장 큰 레버리지가 나온다.
AI와의 대화를 통해 공제 항목을 이해하고, 결과를 검증·수정하는 건 결국 인간 전문가다.
반대로 G-Stack 사례는 AI가 69만 줄의 코드를 쏟아낼 수 있지만,
품질을 평가할 눈이 없다면 그 숫자는 아무 의미가 없다는 걸 극명하게 드러낸다.
“만약 당신의 모트가 ‘지식 그 자체’라면, 좋은 위치에 있지 않다.
모트는 관계, 그리고 이 거래에서 당신이 제공하는 고유한 가치여야 한다.”
핵심만 빠르게 정리하면?
- AI는 지식 노동의 루틴 생산 영역을 빠르게 대체·자동화하고 있다.
- 남는 가치는 결과물을 검증하고, 리스크를 읽고, 맥락을 부여하는 능력이다.
- Karpathy의 90줄 LLM처럼, 간결함·명료함·효율성은 여전히 최고의 가치다.
- Cursor·MCP·Gemma 4는 “에이전트가 실행한다, 인간은 감사한다”는 구조를 현실로 만들고 있다.
코드·마케팅 카피·간단한 계약서까지 여러 도메인에 AI를 적용해본 경험상,
“AI가 결과를 만들고, 사람이 해석·수정·결정하는 2단 구조“가 가장 안정적이고 생산성도 높았다.
자주 묻는 질문 (FAQ)
Q: 세금 신고를 AI로 해도 정말 괜찮을까요?
A: 법적 책임·감사 대응·복잡한 사례 등을 생각하면 AI 단독 사용은 위험하다.
현실적인 접근은 AI를 TurboTax나 CPA의 보조 수단으로 쓰고, 최종 검토·서명은 인간 전문가가 담당하는 구조다.
Q: G-Stack 같은 에이전트 스택을 실무에 바로 써도 될까요?
A: 프로토타입·내부 도구에는 유용하지만, 고객-facing 프로덕션에는 추가 검증이 필수다.
코드 리뷰·성능 테스트·보안 검수를 거쳐, 에이전트가 생성한 코드를 사람이 재구성·정제하는 단계를 반드시 두어야 안전하다.
Q: MCP와 기존 API/CLI 통합 중 무엇을 우선 도입해야 하나요?
A: 에이전트 중심 앱을 설계한다면 MCP 우선, 개발자 스크립팅 중심이라면 CLI·API 우선이 현실적이다.
MCP는 도구 호출을 구조화해 LLM이 이해하기 쉽게 해 주는 대신, 유연성은 전통적인 CLI보다 낮다.
Q: Axios·LiteLLM 같은 라이브러리 보안은 어떻게 관리해야 하나요?
A: 패키지 자동 업데이트에 지연 기간(예: 7일)을 두고, 잠금 파일을 엄격히 관리하는 게 기본이다.
CI/CD에서 시크릿을 분리 관리하고, 정기적으로 AI 기반 OWASP 보안 감사를 돌리는 것이 비용 대비 효과가 좋다.
Q: 양자 컴퓨팅 대비는 언제부터 준비해야 하나요?
A: Google이 2029년을 포스트 양자 전환 목표로 제시한 만큼, 대형 서비스·금융·인프라 기업은 지금부터 준비해야 한다.
중소 규모 서비스라도 새로운 인증·암호화 기능을 설계할 때는 PQC 호환 가능성을 염두에 두는 것이 안전하다.
지금 당장 무엇부터 할까?
- 현재 사용하는 주요 패키지(Axios, LiteLLM 등)의 보안 공지와 버전 히스토리를 점검한다.
- AI 코딩 도구(Cursor, Claude Code 등)로 작성된 코드에 대해, OWASP 기준 AI 보안 감사를 한 번 돌려본다.
- 팀의 업무에서 “AI가 생산, 사람이 감사” 구조로 바꿀 수 있는 태스크(코드·문서·리포트)를 1~2개 선정한다.
- MCP 서버 목록을 확인하고, Stripe·RevenueCat 등 자주 쓰는 서비스의 MCP를 하나 이상 실험적으로 붙여본다.
- 세금·법률·보안 등 규제 민감 영역에서는 AI를 질문·정리·초안 생성용으로 쓰고, 최종 결정은 전문가에게 맡기는 가이드를 팀에 공유한다.
- 보안·인프라 담당자라면 NIST PQC 문서를 훑어보고, 자사 시스템 중 장기적으로 키를 보관해야 하는 부분부터 전환 계획을 메모 수준으로라도 작성해본다.
핵심 정리와 다음 단계
Cursor 3, Gemma 4, AI 세금 신고 논쟁, G-Stack 코드 품질 이슈, MCP 생태계, 공급망 공격, 양자 컴퓨팅까지—패턴은 결국 하나로 수렴된다.
AI는 생산을 맡고, 인간은 감사와 맥락을 맡는 구조로 지식 노동이 재편되고 있다.
- 지식 그 자체는 더 이상 모트가 아니다.
- 모트는 관계, 책임, 감사 능력, 그리고 “이 결과가 정말로 옳은가?”를 따지는 비판적 사고다.
- 에이전트·온디바이스·MCP 인프라를 통해, AI는 점점 더 많은 실행을 담당하게 될 것이다.
앞으로의 AI 전략은 “얼마나 많은 것을 자동화했는가?”보다,
“얼마나 잘 검증하고 얼마나 안전하게 운영하는가?”로 성패가 갈릴 것이다.
이 글에서 본 사례들을 자신의 도메인에 대입해, 지식의 역할을 생산에서 감사로 옮기는 첫 실험을 오늘 한 가지라도 시작해보는 게 가장 좋은 출발점이다.
Found this article helpful?
Get more tech insights delivered to you.

댓글 남기기