NetSPI·Synack 합병, 완전 자율 해킹보다 ‘AI+전문가’를 택했다

공격 보안 기업 NetSPI와 Synack은 2026년 9월 2일 확정 합병계약을 발표했다. 양사의 공식 발표 에 따르면 거래는 통상적인 종결 조건과 규제 승인을 거쳐 2026년 10월 마무리될 예정이므로, 현재 상태는 합병 완료가 아니라 계약 체결이다.

두 회사는 종결 전까지 별도로 운영되며 기존 고객의 팀, 테스트 주기와 플랫폼도 그대로 유지된다. KKR이 지원하는 NetSPI와 Synack의 결합이라는 거래 자체는 Axios의 9월 2일 보도 에서도 양사 최고경영자의 확인을 통해 교차 확인됐다.

확정 계약이지만 아직 하나의 회사는 아니다

이번 발표로 확정된 것은 합병계약과 예상 종결 시점이다. 규제 승인과 통상적인 선행 조건이 남아 있어 두 회사의 법인, 서비스 조직과 플랫폼이 이미 통합됐다고 볼 수 없다.

Synack의 고객 안내 는 종결 전 기존 계약, 서비스, 플랫폼, 테스트 범위와 주기, 담당 연락처에 변화가 없다고 명시한다. 고객은 현재 계약한 회사의 팀과 계속 협업해야 하며, 상대 회사의 기능이나 인력을 곧바로 이용할 수 있다고 전제해서는 안 된다.

종결 이후의 통합 일정은 아직 구체화되지 않았다. 통합 회사의 명칭과 지배구조, 가격 정책, 서비스 수준협약, 계정 통합, 기존 취약점 기록의 이전 방식은 공개되지 않았다. 발표된 10월 일정도 목표 시점이지 규제 절차가 끝났다는 의미는 아니다.

제품 전략은 AI 탐색 뒤 전문가가 판정하는 구조다

합병의 제품 논리는 완전 자율형 침투테스트와 구별된다. 두 회사가 제시한 구조에서 에이전트형 AI는 공격 표면을 지속적으로 살피고 잠재적 취약점의 발견과 분석을 빠르게 한다. 보안 전문가는 후보가 실제 환경에서 악용 가능한지 재현하고, 업무 로직과 권한 관계까지 고려해 위험의 의미를 판단한다.

NetSPI는 전문가가 수행하는 서비스형 침투테스트와 심층 보안 평가를 운영해 왔다. Synack은 Sara AI Pentesting, 검증된 연구자 커뮤니티인 Synack Red Team, 테스트 활동과 발견 사항을 관리하는 플랫폼을 결합해 왔다. 합병은 서로 다른 전달 모델을 없애기보다 더 넓은 공격 표면에 함께 적용하려는 계획이다.

예고된 업무 흐름을 정리하면 AI가 탐색 범위를 넓혀 후보를 만들고, 전문가가 재현성과 실제 악용 가능성을 검토한 뒤, 검증된 결과가 수정 추적 단계로 넘어가는 순서다. 여기서 자동화는 발견량과 속도를 담당하지만 무엇이 중요한 위험인지에 관한 최종 판단까지 독점하지 않는다.

다만 이 흐름은 양사가 밝힌 전략을 정리한 것이며 완성된 통합 제품의 사양은 아니다. 두 플랫폼의 화면과 데이터 구조가 어떻게 연결되는지, 기능별 출시 순서가 무엇인지, 고객이 하나의 계정에서 모든 서비스를 이용할 수 있는지는 아직 발표되지 않았다.

‘AI+전문가’ 선택은 자동화를 줄이겠다는 뜻이 아니다

선택의 핵심은 AI를 적게 쓰는 것이 아니라 전문가의 판단 범위를 AI로 넓히는 데 있다. 양사는 자동화가 발견·분석·검증을 가속할 수 있지만 복잡한 공격 경로, 조직별 업무 규칙, 권한 체계와 공격자의 의도를 해석하는 일에는 사람의 맥락 판단이 필요하다고 설명한다.

따라서 제목의 ‘완전 자율 해킹보다 AI+전문가를 택했다’는 표현은 사람 없는 보안 테스트를 거부하고 수작업 방식으로 돌아간다는 뜻이 아니다. AI가 반복적 탐색과 후보 분류를 맡고, 희소한 전문가 시간을 깊은 검증과 우선순위 판단에 집중시키겠다는 사업적 선택을 가리킨다.

이 전략의 경쟁 기준도 단순한 자동 탐지 건수만으로 정하기 어렵다. 후보를 많이 만드는 능력과 실제 침해로 이어질 취약점을 가려내는 능력은 서로 다른 결과이기 때문이다. 합병 회사가 약속한 더 넓은 범위와 빠른 답변을 실현하려면 자동화에서 전문가 검토로 증거와 맥락이 정확히 전달돼야 한다.

아직 공개된 비교 시험이나 통합 제품의 성능 지표는 없다. 그러므로 합병이 검증 품질이나 처리 속도를 실제로 높였다고 단정할 단계도 아니다. 현재 확인되는 것은 양사가 완전 자율성을 최종 목표로 삼지 않고, AI와 전문가 판단을 함께 확장하는 방향에 자원을 결합하기로 했다는 사실이다.

고객 영향은 종결 이후 통합 로드맵에서 드러난다

기존 고객에게 당장 달라지는 것은 없지만, 종결 이후에는 제공 범위가 넓어질 가능성이 있다. 양사는 더 많은 공격 보안 전문가, 지속적 테스트, 넓은 공격 표면의 검증과 유연한 서비스 방식을 결합 회사의 방향으로 제시했다. 이는 미래 계획이며 현재 계약에 자동으로 추가된 기능은 아니다.

한국 기업의 보안·구매 담당자도 현재 계약서와 기존 담당자의 안내를 기준으로 움직여야 한다. 데이터 처리 조건, 테스트 범위, 플랫폼 접근 권한과 보고서 전달 방식은 별도의 변경 통지가 나오기 전까지 현행 조건이 기준이다.

다음 확인 지점은 거래가 조건을 충족해 2026년 10월 실제로 종결되는지 여부다. 그 뒤 통합 회사의 경영 체계, 제품 결합 순서, 기존 계약과 데이터의 처리 방법이 공개돼야 고객 영향도 구체적으로 판단할 수 있다.

현재까지 분명한 결론은 두 회사가 규모 확대만 발표한 것이 아니라 공격 보안의 역할 분담을 선택했다는 점이다. AI는 탐색과 분석의 범위를 키우고 전문가는 악용 가능성과 업무 맥락을 판정한다. 이 전략의 성패는 종결 이후 기존 고객의 업무 연속성을 지키면서 그 결합이 실제 검증 범위와 속도로 이어지는지에 달려 있다.