CrowdStrike, AI·개발 도구 겨냥 사이버 위협 경고…보스턴권 테크 인력이 봐야 할 변화

사이버보안 기업 CrowdStrike가 6월 9일 공개한 2026 Technology Threat Landscape Report에서 기술 기업이 국가 지원 해킹과 사이버 범죄의 주요 표적이 됐다고 밝혔다. 보고서의 핵심은 AI 모델, 지식재산, 개발 도구, 소프트웨어 공급망이 공격 대상이 되고 있다는 점이다. 다만 이 보고서만으로 보스턴권 테크 채용이 특정 방향으로 이미 이동했다고 단정하기는 어렵다.

CrowdStrike에 따르면 이번 보고서는 2025년 4월 1일부터 2026년 3월 31일까지의 위협 활동을 바탕으로 작성됐고, 회사가 추적하는 280개 이상의 공격자 그룹 정보를 활용했다. 회사는 기술 산업이 전 세계에서 가장 많이 겨냥된 산업이라고 설명했다. 국가 지원 표적 침입 가운데 중국 연계 공격자가 기술 부문 침입의 58% 이상을 차지했고, 북한 연계 공격자는 AI로 보강한 가짜 인물 정보와 미국 내 위장 회사를 활용해 원격 IT 일자리에 접근한 사례가 지적됐다.

금전 목적의 사이버 범죄도 기술 기업을 겨냥했다. CrowdStrike는 기술 부문 상호작용형 공격의 65%가 금전 목적 공격이었다고 밝혔다. 또 해커들이 277개 기술 조직에 대한 접근 권한을 판매 대상으로 광고했으며, 이는 전년 대비 약 30% 늘어난 수준이라고 설명했다. Reuters 보도에 따르면 CrowdStrike는 특정 피해 기업명을 공개하지 않았고, 중국 대사관 측은 해킹 활동에 반대하며 관련 비난을 받아들이지 않는다는 입장을 밝혔다.

개발자 생태계도 보고서의 주요 경고 대상이다. CrowdStrike는 주당 1억 회 다운로드되는 Axios NPM 패키지 침해 가능성과 350개 GitHub 저장소에 악성 코드가 주입된 사례를 언급했다. NPM은 자바스크립트 개발자가 외부 패키지를 받아 쓰는 대표적 저장소다. 기업 입장에서는 직접 작성한 코드뿐 아니라 외부 라이브러리, 자동화 스크립트, 개발자 계정, 배포 파이프라인까지 점검 범위에 포함된다는 의미다.

이번 기사에서 구분해야 할 지점은 명확하다. CrowdStrike 보고서는 글로벌 기술 산업의 위협 동향을 다룬 자료이지, 보스턴 지역 기업의 채용 공고나 구체적 채용 변화를 분석한 보고서는 아니다. 따라서 “보스턴 테크 채용이 보안 내재화로 이동하고 있다”고 단정하기보다, AI와 소프트웨어 중심 기업에서 보안 이해가 더 중요한 실무 배경으로 떠오르고 있다고 해석하는 편이 정확하다.

그럼에도 보스턴권 독자에게 이 이슈가 가볍지 않은 이유는 지역 산업 구조와 맞닿아 있다. 보스턴과 케임브리지는 대학 연구, 병원·바이오, 로보틱스, 핀테크, 클라우드 소프트웨어, 국방 관련 기술 기업이 함께 움직이는 지역이다. MassCyberCenter도 매사추세츠가 사이버보안 기업, 인력, 연구개발 센터, 대학뿐 아니라 헬스케어, 금융서비스, 국방, 제조, 생명과학 산업이 밀집한 생태계라고 설명한다. 이 설명은 지역의 사이버보안 기반을 보여주는 근거로는 적절하지만, AI 기업의 채용 변화 자체를 직접 증명하는 자료는 아니다.

취업 준비생과 유학생에게는 “AI만 할 줄 아는 사람”보다 “AI와 데이터를 안전하게 다룰 줄 아는 사람”이라는 방향을 참고할 만하다. 모델 학습 경험 자체도 중요하지만, 기업 현장에서는 데이터 접근권 관리, 클라우드 권한 설정, 로그 분석, 취약점 관리, 오픈소스 패키지 점검, 보안 자동화 같은 역량이 함께 요구될 수 있다. Python이나 SQL로 보안 로그를 분석하고, AWS·Azure의 권한 구조를 이해하며, GitHub 의존성 관리와 비밀정보 노출 방지 경험을 설명할 수 있다면 AI 기업뿐 아니라 바이오·헬스케어·금융 기업에서도 활용 범위가 넓다.

현직 개발자와 제품 담당자에게도 시사점이 있다. 과거에는 보안팀이 배포 전후로 문제를 찾는 방식이 많았다면, AI 기능이 제품 안으로 들어오면서 설계 단계에서부터 데이터 접근권, API 호출 범위, 외부 모델 사용, 의존성 패키지, 개발자 계정 보호를 함께 봐야 하는 경우가 늘고 있다. AI agent처럼 사용자를 대신해 작업을 실행하는 시스템은 편의성을 높이지만, 권한이 과하게 열려 있으면 잘못된 명령이나 탈취된 계정이 더 큰 문제로 이어질 수 있다.

이직 준비자는 회사의 AI 전략만 볼 것이 아니라 보안 성숙도도 함께 확인할 필요가 있다. 빠르게 성장하는 스타트업은 고객 확보와 제품 출시를 우선하다가 SOC 2, 취약점 대응, 고객 데이터 분리, 접근권한 관리 같은 요구를 뒤늦게 마주할 수 있다. 반대로 대기업이나 규제 산업 기업은 채용 속도가 빠르지 않을 수 있지만, 보안·컴플라이언스 경험을 가진 인력을 더 선호하는 경우가 있다. 특히 엔터프라이즈 고객에게 제품을 파는 SaaS 기업은 보안 문서, 감사 대응, 침해 대응 계획이 영업 과정의 일부가 되는 경우가 많다.

비자와 관련해서는 이번 보고서가 새로운 이민 규정을 뜻하는 것은 아니다. 다만 원격 IT 인력 검증, 신원 확인, 접근권한 관리가 강화되는 업계 분위기에서는 채용 과정에서 백그라운드 체크, 근무지·신분 확인, 보안 교육, 기기 관리 요구가 더 세밀해질 수 있다. OPT, STEM OPT, H-1B를 고려하는 독자는 회사의 스폰서십 가능 여부와 함께 해당 직무가 보안 심사, 수출통제, 정부·국방 고객 관련 제한을 포함하는지도 미리 확인하는 편이 현실적이다. 이는 일반 정보이며 개인별 판단은 학교 국제학생 오피스나 자격 있는 전문가와 확인해야 한다.

창업자와 중소 비즈니스 입장에서는 AI 도입 속도만큼 기본 보안 체계를 같이 세우는 것이 중요해졌다. 고객 응대 챗봇, 내부 문서 검색, 코드 생성 도구를 쓰더라도 어떤 데이터가 외부 모델로 나가는지, 직원 계정이 퇴사 후 정리되는지, 오픈소스 패키지를 누가 승인하는지부터 점검해야 한다. 투자자나 대기업 고객은 AI 기능 자체뿐 아니라 데이터 보호와 운영 안정성을 더 구체적으로 묻는 경우가 늘고 있다.

이번 보고서의 의미는 AI가 일자리를 줄인다는 단순한 이야기와는 다르다. AI 자산이 커질수록 이를 보호하고, 검증하고, 안전하게 제품에 붙이는 역할도 함께 중요해진다. 보스턴권 테크 인력에게는 모델 개발, 클라우드 운영, 보안, 규제 이해를 따로 보지 않고 연결해서 설명할 수 있는 역량이 실무적인 차별점이 될 수 있다. 앞으로 봐야 할 변수는 기업들이 AI 투자 예산을 어디에 배분하는지, 그리고 보안과 컴플라이언스를 비용이 아니라 제품 신뢰의 일부로 얼마나 받아들이는지다.