Security

AI와 하드웨어 사이에서, CODEGATE 2026이 묻는 보안 교육의 다음 단계

Donghwi Shin

Published: 08:30, 13 May 2026 (Updated: 02:16, 07 Jun 2026)

Codegate 2026 Training

우리나라 보안 교육은 왜 깊어지기 어려운가?

CODEGATE 2026은 “The Path Toward a Top 3 Global AI Power: Security”라는 방향을 내세우고 있다. AI 세계 3대 강국으로 가기 위해서는 보안이 함께 가야 한다는 문제의식이다. AI, 보안, 글로벌 경쟁력이라는 단어는 이미 많은 행사와 정책 문서에서 반복되어 왔다. 그러나 CODEGATE 2026 Training Session의 구성을 들여다보면, 이 문장은 단순한 행사 슬로건으로만 읽히지 않는다.

이번 트레이닝 세션은 2026년 7월 21일부터 23일까지 3일간 서울 코엑스에서 진행된다. 대상은 사이버 보안 전문가, 보안 연구자, 학생, 기술 관심자 등 실무 기술 향상을 원하는 사람들이다. 교육은 소규모 인원을 대상으로 영어로 진행되며, 참가자는 CODEGATE 2026 전체 프로그램에도 별도 추가 신청 없이 참여할 수 있다. CODEGATE는 이 프로그램을 “Black Hat, DEF CON 등 글로벌 인기 트레이닝 세션을 국내에서 직접 경험할 수 있는 기회”라고 설명한다.

이 문장은 중요하다. CODEGATE Training Session은 단순한 컨퍼런스 부대 프로그램이 아니다. 오히려 우리나라 보안 생태계가 글로벌 보안 교육의 밀도와 비용 구조를 어떻게 받아들일 것인지 묻는 장면에 가깝다. 좋은 발표를 듣는 것과 고난도 기술을 손으로 익히는 것은 다르다. 발표는 지식의 방향을 보여주지만, 트레이닝은 그 지식을 실제로 다루는 감각을 만든다. 보안 기술이 점점 더 깊고 복합적인 영역으로 확장되는 지금, 이 차이는 결코 작지 않다.

two men using MacBooks — Photo by Annie Spratt / Unsplash

발표 중심의 보안 교육은 충분하지 않음

우리나라 보안 업계에는 세미나와 컨퍼런스가 적지 않다. 새로운 위협을 소개하고, 공격 사례를 공유하고, 제품과 솔루션을 설명하는 자리는 꾸준히 열린다. 이러한 행사는 분명 필요하다. 문제는 그것만으로는 기술이 깊어지기 어렵다는 데 있다.

보안은 듣는다고 곧바로 익혀지는 분야가 아니다. 취약점 분석은 실제 바이너리를 열어봐야 하고, 리버스 엔지니어링은 도구가 만들어내는 결과를 의심해봐야 하며, 하드웨어 공격은 장비를 연결하고 신호를 관찰하며 실패를 반복해야 한다. AI 기반 보안 자동화 역시 마찬가지다. AI를 도입한다고 해서 보안 업무가 자동으로 개선되지는 않는다. 어떤 작업을 자동화할지, 어떤 판단은 사람에게 남길지, AI가 만들어낸 결과를 어떻게 검증할지까지 실무 안에서 반복적으로 확인해야 한다.

CODEGATE 2026 Training Session이 흥미로운 이유는 바로 여기에 있다. 이 프로그램은 “최신 기술 동향과 보안 위협에 대한 심층적 이해”를 제공하고, “취약점 분석 및 대응 전략 수립 역량”을 강화하며, 실습 중심 교육을 통해 다양한 보안 기술을 실제로 적용할 수 있는 접근 방안을 제공한다고 설명한다. 이 설명은 단순한 홍보 문구처럼 보일 수 있지만, 현재 우리나라 보안 교육의 약한 지점을 정확히 건드린다. 우리는 보안 기술을 말하는 자리는 많이 만들었지만, 그 기술을 깊게 다루고 실패하며 체득하는 교육 환경은 충분히 만들지 못했다.

Codegate 세션은 현재 보안의 압축판

이번 Training Session은 세 개의 과정으로 구성되어 있다. 첫 번째는 AI Agents for Cybersecurity다. 이 과정은 최신 딥러닝 기반 AI를 활용해 사이버 보안 업무를 효율적으로 수행하는 방법을 실습하는 세션이다. AI 기반 자동화를 통해 보안 워크플로우를 개선하고, 위협 탐지 역량을 강화하며, 취약점 연구의 효율성을 높이는 방법을 다룬다. 강사는 Fuzzing IO와 Metaframe AI의 창립자인 Richard Johnson이다.

두 번째는 Integrated Circuit Reverse Engineering & Data Extraction이다. 이 과정은 반도체 보안을 해체하는 것을 목표로 한다. 디프로세싱, 주사전자현미경, 집속이온빔 기반 회로 분석 등 물리적 분석과 하드웨어 공격 기법을 통해 보호된 데이터를 추출하고 취약점을 분석하는 레드팀 중심 실습이다. 강사는 반도체 분석과 하드웨어 보안 분야에서 21년 이상의 경험을 가진 Olivier Thomas다.

세 번째는 Applied Physical Attacks on Embedded & IoT Systems다. 이 과정은 임베디드 시스템의 UART, JTAG, SPI 인터페이스를 활용해 물리적 접근 기반 권한 상승과 펌웨어 분석을 실습한다. 전체 교육 시간의 70% 이상을 상용 장비를 활용한 실습으로 구성한다는 점도 눈에 띈다. 강사는 Tigard와 Erebus 등의 도구를 개발한 Joe FitzPatrick이다.

세션의 주제는 각각 다르지만, 이들이 가리키는 방향은 하나다. 보안은 더 이상 네트워크 경계나 웹 애플리케이션만의 문제가 아니다. AI는 분석과 자동화의 속도를 바꾸고, IC 리버스 엔지니어링은 실리콘 내부의 신뢰를 질문하며, 임베디드·IoT 물리 공격은 장비의 외부 인터페이스가 곧 공격 표면이 될 수 있음을 보여준다. 다시 말해 이번 Training Session은 현재 보안이 확장되는 세 방향, 즉 AI, 하드웨어, 임베디드 시스템을 한자리에 놓는다.

geometric shape digital wallpaper — Photo by fabio / Unsplash

AI 보안은 ‘AI를 막는 법’에서 ‘AI로 보안을 수행하는 법’으로 이동 중

AI 보안 논의는 그동안 AI 모델을 어떻게 보호할 것인가에 집중되는 경우가 많았다. 프롬프트 인젝션, 데이터 유출, 모델 오용, 악성 자동화 같은 이슈가 대표적이다. 그러나 현장에서는 다른 질문도 동시에 커지고 있다. AI를 보안 업무 안으로 들여오면 분석과 탐지와 취약점 연구의 흐름은 어떻게 바뀌는가.

AI Agents for Cybersecurity 세션은 이 질문을 직접 다룬다. 이 과정은 최신 AI 아키텍처를 분석하고, 딥러닝 모델이 리버스 엔지니어링과 취약점 연구 등 다양한 보안 영역에서 어떻게 활용될 수 있는지를 중점적으로 다룬다. 또한 실제 사이버 보안 문제 해결 과정을 통해 AI 기반 솔루션을 실무 환경에 통합하는 방법을 학습하도록 구성되어 있다.

여기서 중요한 것은 AI를 쓴다는 선언이 아니다. 보안 업무에서 AI를 쓴다는 말은 너무 쉽게 소비된다. 그러나 실제 현장에서는 더 까다로운 문제가 남는다. 어떤 로그를 AI에게 맡길 것인지, 어떤 분석 결과를 신뢰할 것인지, 자동화된 판단이 틀렸을 때 누가 책임질 것인지, AI가 만든 취약점 분석 결과를 어떻게 재현하고 검증할 것인지가 모두 문제로 남는다.

따라서 이 세션의 의미는 AI 유행에 올라타는 데 있지 않다. 오히려 AI가 보안 업무의 어느 지점을 압축할 수 있고, 어느 지점에서는 여전히 인간의 판단이 필요한지를 실습으로 확인하는 데 있다. AI 시대의 보안 인재는 AI를 막는 법만 배워서는 충분하지 않다. AI를 도구로 사용할 때 생기는 속도, 편향, 검증, 책임의 문제까지 함께 다룰 수 있어야 한다.

green circuit board — Photo by Malachi Brooks / Unsplash

하드웨어 보안은 더 이상 주변부 기술이 아니다

두 번째와 세 번째 세션은 하드웨어 보안을 정면으로 다룬다. 이 지점은 이번 프로그램에서 특히 중요하다. 우리나라 보안 담론은 여전히 웹, 클라우드, 네트워크, 애플리케이션 보안에 많이 집중되어 있다. 그러나 실제 산업은 이미 다른 방향으로 움직이고 있다. 자동차, 드론, 로봇, 의료기기, 산업제어장비, IoT 기기는 모두 소프트웨어와 하드웨어가 결합된 시스템이다. 이 시스템에서 신뢰의 기준은 서버 안에만 존재하지 않는다. 칩, 펌웨어, 인터페이스, 디버그 포트, 저장장치, 센서와 같은 물리적 구성 요소가 모두 신뢰의 일부가 된다.

Integrated Circuit Reverse Engineering & Data Extraction 세션은 이 문제를 가장 깊은 층위에서 다룬다. 이 과정은 실리콘과 소프트웨어 사이의 경계를 넘나들며, 디프로세싱, SEM, FIB 기반 회로 분석을 통해 하드웨어 보안 메커니즘을 물리적으로 우회하고, 보호된 NVM 바이너리를 복구하며, 내부 구조를 재구성하는 기술을 학습하도록 설계되어 있다.

Applied Physical Attacks on Embedded & IoT Systems 세션은 이보다 조금 더 실무적인 접점에 있다. UART, JTAG, SPI와 같은 인터페이스를 식별하고 관찰하며, 이를 통해 시스템과 상호작용하고 실제 공격까지 진행하는 방식이다. 펌웨어 이미지에 대한 기초 분석과 조작 기법도 함께 다룬다.

이 두 과정은 하드웨어 보안이 일부 연구자만의 특수 영역이 아님을 보여준다. 공격자는 반드시 클라우드 계정을 탈취하거나 웹 취약점을 이용하지 않아도 된다. 장비에 물리적으로 접근하고, 디버그 인터페이스를 찾고, 펌웨어를 추출하고, 칩 내부 구조를 분석하는 방식으로도 시스템의 신뢰를 무너뜨릴 수 있다. 방산, 드론, 로봇, 스마트팩토리, 의료기기 산업이 커질수록 이러한 공격 표면은 더 넓어진다.

a pile of money with a stethoscope on top of it — Photo by Marek Studzinski / Unsplash

비용은 비싸다! 그러나 더 중요한 질문은 다른 곳에

이번 Training Session의 참가비는 결코 낮지 않다. AI Agents for Cybersecurity는 USD 3,500, 한화 5,285,700원으로 안내되어 있다. Integrated Circuit Reverse Engineering & Data Extraction은 USD 4,000, 한화 6,040,800원이다. Applied Physical Attacks on Embedded & IoT Systems는 USD 3,800, 한화 5,738,760원이다.

이 숫자는 불편한 질문을 만든다. 우리나라에서 보안 교육에 500만 원에서 600만 원 수준의 비용을 지불하는 문화가 얼마나 형성되어 있는가. 기업은 직원 한 명의 기술 훈련을 위해 이 정도 비용을 투자할 준비가 되어 있는가. 개인 연구자는 자신의 성장을 위해 이 비용을 감당할 수 있는가. 학생이나 초기 경력자는 이런 교육에 접근할 수 있는가.

그러나 여기서 논의를 단순히 “비싸다”로 끝내면 안 된다. 고급 보안 교육의 비용은 단순한 강의료가 아니다. 특히 하드웨어 보안 교육은 장비, 실습 환경, 교재, 도구, 안전한 실험 조건, 강사의 경험이 모두 필요하다. IC 리버스 엔지니어링이나 임베디드 물리 공격처럼 장비와 환경이 필요한 교육은 온라인 강의나 일반 세미나로 쉽게 대체할 수 없다. 참가자는 3일 동안 강사의 수십 년 경험과 수많은 실패의 축적을 압축해서 경험한다. 이 관점에서 보면 비용은 단순히 강의를 듣는 대가가 아니라, 시행착오의 시간을 사는 비용에 가깝다.

그럼에도 불구하고 우리나라 보안 생태계가 반드시 돌아봐야 할 지점이 있다. 우리나라에도 이런 수준의 세션을 운영할 수 있는 좋은 연구자와 실무자가 있다. 취약점 분석, 리버스 엔지니어링, 하드웨어 보안, 포렌식, 클라우드 보안, 공격 시뮬레이션 분야에서 충분히 깊은 경험을 가진 인력들이 존재한다. 그러나 이들이 글로벌 트레이닝 수준의 비용을 받고, 충분한 시간과 장비와 운영 지원을 바탕으로 교육을 제공할 수 있는 구조는 아직 약하다.

이는 개인 역량의 문제가 아니다. 시장이 깊은 기술에 충분한 비용을 지불하지 않는 문제에 가깝다. 우리나라 보안 산업은 종종 기술의 깊이를 요구하면서도, 그 깊이를 만들기 위해 필요한 시간과 비용에는 인색했다. 고급 연구가 필요하다고 말하지만, 연구자가 장비를 사고 실험 환경을 구축하고 실패를 반복할 수 있는 예산은 충분히 제공하지 않았다. 실무형 인재가 필요하다고 말하지만, 정작 실무형 교육에는 세미나 수준의 비용만 기대하는 경우가 많았다.

이 구조에서는 깊이 있는 연구가 지속되기 어렵다. 연구자는 교육을 열어도 충분한 비용을 받기 어렵고, 기업은 고급 교육을 비용이 아니라 투자로 바라보지 않으며, 산업은 다시 “실무형 인재가 부족하다”고 말한다. 이 순환이 반복되면, 국내에도 좋은 사람이 있음에도 글로벌 수준의 트레이닝은 해외 브랜드를 통해서만 가능하다는 인식이 굳어진다.

CODEGATE 2026 Training Session은 그래서 양면적인 의미를 갖는다. 한편으로는 Black Hat, DEF CON급 트레이닝을 국내에서 경험할 수 있는 좋은 기회다. 다른 한편으로는 왜 우리나라의 고급 보안 연구자들이 같은 수준의 가격과 권위를 인정받으며 교육을 운영하기 어려운지 묻게 만든다. 문제는 결국 비용으로 귀결된다. 하지만 그 비용은 단순한 참가비가 아니다. 보안 기술의 깊이를 사회가 얼마나 가치 있게 평가하는지에 대한 지표다.

Thick, weathered rope wrapped around a pole. — Photo by boris misevic / Unsplash

우리나라 보안 생태계에 필요한 것은 더 많은 세미나가 아닌 더 높은 학습 밀도

우리나라 보안 생태계는 오랫동안 “인재 부족”을 이야기해왔다. 그러나 인재 부족이라는 말은 너무 쉽게 쓰인다. 정말 부족한 것이 사람인지, 아니면 사람이 깊어질 수 있는 환경인지 구분해야 한다. 좋은 연구자가 있어도 연구를 지속할 비용이 없고, 좋은 실무자가 있어도 교육으로 경험을 전수할 시장이 없으며, 좋은 학생이 있어도 고급 실습에 접근할 기회가 없다면 문제는 개인의 부족이 아니다. 구조의 부족이다.

CODEGATE Training Session이 보여주는 것은 글로벌 보안 교육의 한 가지 기준이다. 3일 동안 소규모 인원을 대상으로, 영어로, 고급 주제를, 실습 중심으로 다룬다. 주제도 단순하지 않다. AI 에이전트, IC 리버스 엔지니어링, 임베디드 물리 공격이다. 이는 짧은 시간 안에 이해하기 어려운 기술들이다. 그래서 더더욱 실습과 장비와 강사의 경험이 중요하다.

우리나라에도 이런 교육이 필요하다. 다만 해외 세션을 가져오는 것만으로는 충분하지 않다. 그것은 시작일 수 있지만, 목표가 되어서는 안 된다. 장기적으로는 국내 연구자와 실무자가 자신만의 커리큘럼을 만들고, 충분한 비용을 인정받으며, 실습 환경을 갖추고, 실패의 경험까지 교육으로 전환할 수 있어야 한다. 그래야 우리나라 보안 생태계는 발표를 소비하는 단계에서 기술을 축적하는 단계로 넘어갈 수 있다.

보안 교육의 수준은 슬라이드의 완성도로 결정되지 않는다. 참가자가 무엇을 직접 해봤는지, 무엇을 실패해봤는지, 무엇을 다시 설명할 수 있는지로 결정된다. 이 기준에서 보면 CODEGATE 2026 Training Session은 우리나라 보안 교육에 필요한 질문을 던진다. 우리는 글로벌 수준의 트레이닝을 들을 준비만 되어 있는가, 아니면 그런 트레이닝을 국내에서 만들고 유지할 준비도 되어 있는가.

결론: CODEGATE 2026이 묻는 것은 발표자가 아닌 주제와 깊이

CODEGATE 2026 Training Session은 CODEGATE라는 큰 행사 안에 놓인 교육 프로그램이다. 그러나 그 의미는 작지 않다. AI Agents for Cybersecurity, Integrated Circuit Reverse Engineering & Data Extraction, Applied Physical Attacks on Embedded & IoT Systems라는 세 개의 주제는 지금 보안이 어디로 확장되고 있는지를 압축해서 보여준다. 보안은 더 이상 네트워크 장비와 웹 서버만의 문제가 아니다. AI 모델과 자동화 워크플로우, 실리콘과 펌웨어, 물리 인터페이스와 장비가 모두 공격과 방어의 경계가 되고 있다.

이번 세션은 좋은 기회다. 우리나라에서 글로벌 수준의 보안 트레이닝을 경험할 수 있고, 평소 접근하기 어려운 고급 주제를 실습 중심으로 다룰 수 있다. 그러나 동시에 이 기회는 불편한 질문도 남긴다. 우리나라에도 이런 교육을 만들 수 있는 사람들이 있는데, 왜 우리는 그들에게 충분한 비용과 환경을 제공하지 못했는가. 왜 깊이 있는 연구는 필요하다고 말하면서, 그 연구가 지속될 수 있는 시장과 제도와 비용 구조는 만들지 못했는가.

결국 CODEGATE 2026 Training Session이 묻는 것은 누가 발표하는가가 아니다. 누가 손으로 익히는가, 누가 실패를 반복할 수 있는가, 누가 그 실패를 교육으로 바꿀 수 있는가다. 그리고 더 나아가 우리나라 보안 생태계가 그런 깊이를 비용으로 인정할 준비가 되어 있는가다.

보안 기술은 값싸게 깊어지지 않는다. 연구에는 시간이 필요하고, 실습에는 장비가 필요하며, 좋은 교육에는 실패를 먼저 겪어본 사람이 필요하다. CODEGATE 2026 Training Session은 이 사실을 다시 보여준다. 우리나라가 AI 세계 3대 강국을 말하려면, 보안도 함께 깊어져야 한다. 그리고 보안이 깊어지려면, 깊은 기술에 정당한 비용을 지불하는 문화부터 만들어야 한다.