"에이전트가 운영 DB 지울까 봐" AWS CEO가 꼽은 기업 AI의 걸림돌

YouTube 영상 · 누르면 재생

영상은 한국 시각 10월 8일 밤 11시 30분에 올라왔습니다. 진행은 VMware CEO를 지낸 a16z의 라구 라구람이 맡았습니다. 라구람은 2006년 EC2의 첫 총괄이던 가먼에게 지금 매출부터 물었고, 가먼은 연 1,690억~1,700억 달러에 성장률 37%라고 답했습니다. 아마존이 7월 30일 발표한 2분기 실적에서 AWS 매출은 422억 달러로 1년 전보다 37% 늘어 18분기 만에 가장 빨리 컸고, 연환산 매출은 1,690억 달러였습니다.

56분 가운데 가장 긴 대목은 에이전트였습니다. 가먼은 에이전트를 AWS의 새 고객처럼 다뤘고, 사람에게 맞춰 지은 클라우드가 에이전트에게는 어디서 맞지 않는지를 하나씩 짚었습니다. 2005년 경영대학원 인턴으로 AWS가 누구에게 가장 쓸모 있을지 분석했을 때 답이 스타트업이었다는 그는, 지금 AWS 매출의 30~40%가 한때 스타트업이던 회사에서 나온다고 추정했습니다. 그리고 고객 대다수가 이제 Kiro나 Claude, Codex 같은 코딩 에이전트에게 AWS 배포를 맡긴다고 했습니다.

쓰고 버리는 데이터베이스

가먼은 요즘 고객들이 사람과 에이전트가 함께 쓰기 좋은 클라우드를 원한다고 했습니다. 에이전트는 잘 정의된 API를 따라 움직이고, 데이터베이스를 3초 만에 띄우는 것 같은 속도를 반깁니다. 그가 든 첫 사례는 데이터베이스의 수명이었습니다.

에이전트 상당수는 데이터베이스를 만들어 일을 조금 하고 나면 그 데이터베이스가 사라지기를 원합니다.— 맷 가먼, a16z 대담 (13분 23초)

운영용 Aurora 데이터베이스라면 99.999%의 내구성과 가용성이 필요하지만, 잠깐 쓰고 버릴 에이전트용으로는 지나친 설계일 수 있다는 이야기입니다. 그래도 내구성이 없는 선택지를 따로 두고 싶지는 않다고 했습니다. 만든 데이터베이스가 오래 남을지 금방 사라질지 미리 알 수 없어서, 빨리 만들고 버려도 자원이 낭비되지 않으면서 필요하면 큰 운영 데이터베이스로 자라게 하는 방법을 찾고 있다고 했습니다.

에이전트가 사람과 다른 점은 또 있습니다. 사람은 S3 요청 가운데 가장 느린 0.1%의 응답 시간(P999 지연)을 크게 신경 쓰지 않지만, 에이전트는 그 지연에 걸려 멈춥니다. 가먼은 AWS가 이 꼬리 지연을 오래 다듬어 왔고 그래서 에이전트 작업이 AWS에서 어디보다 잘 돈다고 주장했습니다. Aurora와 S3 등 여러 저장소에 흩어진 데이터를 에이전트가 한 번에 찾게 하는 AWS Context도 미리보기 중이라고 소개했습니다.

가입 절차도 고쳤습니다. AWS는 9월 16일 새 시작 방식을 발표했습니다. 구글·깃허브·애플 계정으로 가입하고, 새 고객 대부분은 신용카드 없이 시작해 100달러의 무료 크레딧을 받습니다. 20년 동안 가입하자마자 VPC(가상 사설망)와 IAM(권한 관리) 역할부터 정해야 했던 일을 기본값이 대신 처리하고, 나중에 고급 기능을 켜도 계정을 옮길 필요가 없습니다. 가먼은 이 방식이 아직 다 퍼지지는 않았다면서 30초 안에 완전한 AWS 계정으로 일을 시작할 수 있고, 에이전트는 VPC 설정 같은 일을 거치고 싶어 하지 않는다고 했습니다.

사람 권한을 빌려주지 않는 법

기존 부품을 다르게 쓰는 것으로 해결되지 않는 일도 있습니다. 가먼은 에이전트용으로 새로 만들어야 하는 부품으로 컴퓨트 샌드박스(격리된 실행 공간)와 게이트웨이, 그리고 사람의 권한과 구분되는 에이전트 권한을 들었습니다. 권한 이야기는 진행자의 이름을 빌려 설명했습니다.

에이전트에게 라구의 권한을 그냥 넘겨주고 라구가 할 수 있는 일을 뭐든 하게 두고 싶지는 않을 겁니다. 작업 하나만 하도록 시간을 아주 짧게 정한 권한을 주고 싶을 겁니다. 도구 하나 전체의 권한조차 주지 않고, 에이전트가 할 수 있는 일을 아주 잘게 나눈 권한을 원할 수도 있습니다.— 맷 가먼, a16z 대담 (15분 20초)

샌드박스로는 AWS가 2018년 11월 공개한 초경량 가상머신 Firecracker를 들었습니다. 에이전트를 염두에 두고 만든 것은 아니지만 빨리 띄울 수 있고 보안 경계가 단단해서, 샌드박스를 파는 스타트업 다수가 Firecracker를 쓴다고 했습니다. 앤디 재시 아마존 CEO도 2분기 실적 발표에서 에이전트를 실제로 돌리려면 실행할 곳과 기억, 사용자 대신 움직일 신원, 도구와 데이터, 감시 수단을 엮어야 하고 이 일이 많은 배포를 멈춰 세웠다며 AgentCore를 소개했습니다. 그가 꼽은 새 기능에는 에이전트가 할 수 있는 일을 결정론적으로 묶는 정책(Policies)과 에이전트가 스스로 결제하게 하는 Payments가 있었습니다.

기업 에이전트는 아직 사람을 거친다

라구람이 대기업의 도입 수준을 묻자 가먼은 고객들이 이미 가치를 얻고 있다면서도, 대부분의 기업 에이전트는 비교적 단순하고 사람이 중간에 끼는 비자율 형태라고 답했습니다(40분 45초). 그가 꼽은 걸림돌은 둘이었습니다.

하나는 생각하는 방식입니다. 기업은 처음에 직원 한 명이 하던 1~5단계를 에이전트가 똑같이 하고 그 직원이 마지막에 검사하는 식으로 접근했는데, 가먼은 그 모델을 권하지 않는다고 했습니다. 에이전트는 일을 크게 병렬로 돌려 50가지를 한꺼번에 시도할 수 있으니, 컴퓨터라면 그 문제를 어떻게 풀지 백지에서 다시 설계할 때 가치가 나온다는 것입니다. 보험사처럼 앞서 나가지 않는 회사도 승인 업무를 더 낫게 만들 방법을 찾고 싶어 한다며, 스타트업에서 배운 방식을 그런 기업에 옮겨 주는 일을 AWS의 숙제로 들었습니다.

다른 하나가 믿음입니다. 에이전트가 맡은 결정을 제대로 내리는지, 데이터 권한이 맞는지, 운영 시스템을 지우거나 끔찍한 실수를 하지 않는지 기업이 확신할 수 있어야 완전 자율로 넘어갈 수 있다고 했습니다.

지금은 그 불안이 기업들을 붙잡고 있는 것 같고, 그건 어쩌면 적절합니다. 에이전트가 제멋대로 굴다가 실수로 운영 데이터베이스를 지우는 일은 정말 원하지 않습니다. 그건 꽤 나쁜 일이 됩니다.— 맷 가먼, a16z 대담 (43분 15초)

해법으로는 AWS가 새 기술을 개발하고 있고 좋은 아이디어가 있다고만 했습니다. 기업이 모르는 것은 하나 더 있었습니다. 에이전트를 시험할 평가(eval)를 만드는 법, 평가가 실제 업무를 닮도록 데이터를 라벨링하는 법, 운영 중에 성능이 흐트러지는지 재는 법입니다. 가먼은 이 분야를 고객이 가장 도움을 원하는 곳으로 꼽으며, AWS가 현장 배치 엔지니어(FDE)를 보내 45일 동안 함께 일하며 방법을 가르치고 떠나는 방식을 택했다고 했습니다.

같은 날 공개된 AgentCorruption

대담이 올라온 10월 8일(미국 시각), 보안업체 제니티의 연구 조직 제니티 랩스는 캐나다 토론토의 보안 콘퍼런스 SecTor 2026에서 AgentCorruption이라는 연구를 발표했습니다. 외부로 요청을 보낼 수 있는 흔한 도구를 단 공개용 AgentCore 에이전트에 프롬프트 하나를 보내자, 그 에이전트가 돌아가는 서버의 임시 자격 증명을 얻을 수 있었습니다. 그런데 그 자격 증명에 붙은 기본 IAM 역할의 권한은 에이전트 하나에 그치지 않고 같은 계정·리전의 AgentCore 에이전트 전부에 미쳤습니다.

연구진은 이 길로 권한이 없는 내부 에이전트를 찾아 불러냈고, 모든 에이전트의 대화와 장기 기억을 읽었고, 컨테이너 이미지와 소스 코드, AWS Secrets Manager에 저장된 API 키와 OAuth 토큰까지 꺼냈습니다. 에이전트 기억에 악성 지시를 심어 이후 대화를 외부로 보내게 만들 수도 있었습니다. 제니티는 고객 상담용 공개 에이전트로 들어가 같은 리전의 내부 재무 에이전트를 부리는 경우를 예로 들었습니다.

제니티는 2025년 12월 25일 AWS에 이 문제를 알렸고, AWS는 그 뒤 AgentCore 배포의 기본값을 IMDSv2로 바꾸고 기본 실행 역할의 권한을 줄였습니다. 다른 에이전트를 부르거나 대화를 읽거나 Secrets Manager에 접근하는 권한이 빠졌습니다. 신고에서 공개까지는 9개월 넘게 걸렸습니다.

클라우드 보안은 분리와 최소 권한 접근이 전부입니다. 그런데 AI 에이전트가 쓸모 있으려면 창의적으로 움직일 여지가 필요합니다. 둘을 섞으면 태생적인 충돌이 생깁니다.— 마이클 바거리, 제니티 공동창업자·CTO (10월 8일 발표문)

가먼이 대담에서 새로 만들어야 할 부품으로 꼽은 것이 사람과 구분되는 에이전트 권한이었습니다. 제니티가 찾은 구멍은 AWS 자신의 에이전트 서비스에서 바로 그 기본 권한에 있었습니다.

2,200억 달러를 쓰고도 모자란 용량

GPU 이야기에서 가먼은 아마존의 올해 설비투자가 2,200억 달러라고 했습니다.

우리가 써 본 어떤 지출보다 크고, 어쩌면 어떤 회사가 한 해에 쓴 돈보다도 큽니다. 수요가 워낙 커서 당분간 속도를 늦출 생각은 없습니다.— 맷 가먼, a16z 대담 (17분 38초)

돈을 쓰는 속도는 실적에도 찍혔습니다. 2분기 기준 최근 12개월 잉여현금흐름은 76억 달러 유출로 돌아섰고, 아마존은 설비 구매가 1년 새 661억 달러 늘어난 탓이며 대부분 AI 투자라고 밝혔습니다. 같은 분기 순이익 626억 달러에는 주로 앤트로픽 투자에서 난 세전 영업외 이익 534억 달러가 들어 있습니다.

돈이 있어도 마음대로 늘릴 수 없는 이유로 가먼은 전력과 데이터센터, 자본, 메모리, 칩, 건설 인력을 차례로 들었습니다. 대학 시절 읽은 엘리야후 골드랫의 경영 소설 「더 골」을 꺼내며 이렇게 말했습니다.

제약이 하나뿐인 적은 없습니다. 늘 가장 최근의 제약이 있을 뿐이라 전부를 생각해야 하고, 하나에 부딪히면 곧 다른 하나가 나옵니다.— 맷 가먼, a16z 대담 (28분 12초)

15년 전에는 전력회사에 수십 메가와트를 더 달라고 하면 됐지만, 지금은 태양광과 원자력 사업에 직접 돈을 대 전력을 가져온다고 했습니다. 인도네시아엔 전력이 넘치는데 독일엔 모자라는 식으로 위치도 따져야 하고, 서버 수요는 예전엔 몇 분기 앞만 봤지만 지금은 2026·2027·2028년을 내다보며 공급사와 짠다고 했습니다. 2028년에 메모리를 얼마나 쓸지 미리 잡아 두는 일은 고객이 혼자 할 수 없다는 말도 했습니다. 마이크론은 9월 30일 실적 발표에서 2027·2028 회계연도 메모리 수급이 올해보다 더 빠듯해진다고 내다봤습니다.

GPU 배분 질문에는 프런티어 연구소에 GPU와 AI 가속기를 전부 팔고 끝낼 수도 있지만 그러지 않는다고 답했습니다(19분 12초). 앤트로픽과 오픈AI, 메타 같은 큰 고객이 많은 양을 가져가도 스타트업용 용량은 따로 떼어 둔다는 것입니다. 그는 최근 본 숫자로 요청의 약 60%에 어떤 형태로든 응한다고 했고, 조금 늦게 주거나 다른 리전에서 주거나 요청과 조금 다른 구성으로 주는 경우도 여기에 들어간다고 했습니다. AWS는 GTC 2026에서 2026년부터 엔비디아 GPU를 100만 개 넘게 늘리겠다고 했다가, 수요가 그 예상을 넘었다며 8월 26일 2027~2028년에 200만 개를 더 배치한다고 발표했습니다. 가먼은 GPU가 늘면서 필요할 때 바로 늘렸다 줄이는 클라우드의 탄력성이 상당 부분 사라졌다고 아쉬워했습니다.

거품 질문에는 고객 분산을 먼저 들었습니다. 일부 신생 클라우드는 고객 한두 곳이 매출의 30~60%를 차지하지만, AWS에서 가장 큰 고객도 한 자릿수 퍼센트라는 것입니다. 쓰임새도 코어 컴퓨팅과 스토리지, 추론처럼 이미 운영 중인 일이 대부분이고, 고객에게 지금 성능과 비용으로 돈이 남느냐고 물으면 거의 모두 남는다고 답한다고 했습니다. 닷컴 거품 때 많은 회사가 사라졌어도 인터넷은 남았다는 비유가 뒤따랐습니다.

트레이니엄은 내년 말까지 매진

칩 이야기는 아마존이 2015년 인수한 안나푸르나 랩스에서 시작합니다. 가먼의 설명으로는 서버의 가상화 작업을 별도 카드로 덜어 내는 Nitro를 만들다가, 그 카드에 달린 ARM 코어로 서버를 만들어 본 것이 Graviton의 시작이었습니다. 아마존 2분기 실적 자료에 따르면 Graviton은 EC2 상위 고객 1,000곳 가운데 98%가 쓰고, 비교 대상보다 가격 대비 성능이 최대 30~40% 좋습니다.

AI 칩 Trainium은 5~6년 전 만들기 시작해 지금 3세대 Trainium3가 나와 있고, Trainium4는 개발 중입니다. 가먼은 트레이니엄 용량이 내년 말 무렵까지 다 팔렸다면서도 스타트업이 쓸 용량을 일부 떼어 두려 한다고 했습니다. 이름과 달리 지금은 추론에 많이 쓰인다며 아마존이 이름 짓기에는 정말 서툴다고 털어놓기도 했습니다.

알고 보니 트레이니엄이 지금 시장에서 어쩌면 가장 좋은 추론 칩입니다. 절대 성능으로 봐도, 비용 대비 성능으로 봐도 그렇습니다.— 맷 가먼, a16z 대담 (38분 53초)

Bedrock 추론 대부분이 Trainium에서 돈다는 말은 아마존 공식 자료와도 맞습니다. 앤트로픽은 현재와 다음 세대 Trainium을 최대 5GW 쓰기로 했고 Claude는 이미 Trainium2 칩 100만 개 넘게 돌아가는 곳에서 서비스되며, 오픈AI는 2027년부터 2GW 규모의 Trainium 용량을 쓰기로 했습니다. 아마존 칩 사업의 연환산 매출은 250억 달러를 넘었고 1년 새 세 자릿수 퍼센트로 늘었습니다.

기업 데이터 이야기에서는 Bedrock을 앞세웠습니다. Bedrock에서는 데이터가 고객의 VPC를 떠나지 않고 모델 회사가 프롬프트를 보지 못한다며, 오픈AI 작업이 Bedrock으로 옮겨 오고 앤트로픽도 빠르게 늘고 있다고 했습니다. AWS는 10월 5일 주간 정리에서 오픈AI 모델에 맞춘 에이전트를 AWS 안에서 돌리는 Bedrock Managed Agents를 그 전주 공개 미리보기로 냈다고 밝혔습니다.

2일 뒤 나델라의 비상 브레이크

대담이 나오고 2일 뒤인 10월 10일(미국 시각) 아침, 사티아 나델라 마이크로소프트 CEO는 X에 「Models as Insider Risks in the Super Intelligence Era」라는 긴 글을 올렸습니다. 한국 시각으로는 10일 밤 11시 43분입니다.

CNBC가 옮긴 문장에서 나델라는 결정론적이지 않은 모델을 강한 결정론적 시스템 설계와 사람의 통제, 믿을 만한 운영 절차로 감싸고, 기존 표준이 모자란 곳에는 업계 표준을 세우자고 했습니다. 프런티어 폐쇄형 모델과 오픈웨이트 모델을 내부자 위험처럼 다루자는 제안입니다. 테크크런치에 따르면 글에는 모델과 그 일을 지휘하는 하네스를 떼어 놓고, 통제와 안전장치를 모델 바깥에 두고, 모델의 의미 있는 행동마다 위조할 수 없고 사람이 읽을 수 있는 증거를 남기자는 내용도 담겼습니다.

모델이 이미 뚫렸다고 가정하고 처음부터 가둬야 합니다. 비상 브레이크처럼 생각하면 됩니다. 권한 있는 사람은 언제든 작업 중인 모델을 멈추거나 끌 수 있어야 합니다.— 사티아 나델라, X 글 (10월 10일, 더버지 인용)

나델라는 9월 25일 Sources 대담에서 오래 도는 에이전트는 모두 내부자 위험으로 볼 수 있다고 했고, 이번 글은 그 말을 모델 전체로 넓혔습니다. CNBC가 옮긴 다른 문장은 가장 믿을 만한 초지능 시스템은 우리가 가장 믿는 모델을 쓴 시스템이 될 수 없고, 모델을 가장 덜 믿어도 되게 해 주는 시스템이 된다는 내용입니다. 박스 CEO 에런 레비는 에이전트가 조직에서 사람보다 훨씬 많은 일을 하게 되면 그 일을 보호하고 통제하고 감사하는 일이 무엇보다 중요해진다고 썼고, 테드 류 하원의원은 모런 의원과 함께 낸 초당적 AI Kill Switch Act를 다시 꺼냈습니다.

두 클라우드 CEO는 같은 문제를 보면서 해법을 다르게 놓았습니다. 가먼은 신뢰를 AWS가 권한과 샌드박스, 가드레일, 평가로 만들어 낼 기능으로 말했고, 나델라는 모델을 처음부터 의심하는 업계 표준을 요구했습니다. 가먼도 Mythos 같은 강한 모델이 고객 환경을 공격할 위험은 실제라고 인정했습니다. 그가 내놓은 답은 같은 모델로 취약점을 찾아 우선순위를 매기고 샌드박스에서 검증하는 AWS Continuum이었습니다.

어느 시점이 되면 고객에게는 기계 속도의 보안이 필요해집니다. 경보가 울리면 누군가 들어가서 살펴보는 사람 속도로는 안 됩니다.— 맷 가먼, a16z 대담 (51분 38초)

라구람이 허깅페이스 공격을 꺼내며 CEO들이 무엇을 묻느냐고 하자, 가먼은 에이전트를 내보냈을 때 원하는 일만 할 것이라고 어떻게 믿느냐는 질문이 가장 많다고 답했습니다. 아마존 안에서는 업무 에이전트 서비스 Amazon Quick을 전 직원에게 풀었고, 인사팀은 여러 사람이 몇 주 걸리던 팀 계획과 인력 관리를 한 사람이 몇 시간에 끝내게 하는 에이전트를 직접 만든다고 했습니다. 제품 조직에서는 10명이던 팀이 3~4명이 되는 실험을 하고 있다고 했습니다.

한국 기업에 닿는 것

AWS의 한국 계획은 울산에서 가장 구체적입니다. SK텔레콤은 7월 5일 뉴스룸에서 울산에 AWS와 2027년 하반기 가동을 목표로 하이퍼스케일급 AI 데이터센터를 짓고 있다고 밝혔고, SK는 7월 24일(미국 시각) 실리콘밸리에서 AWS와 따로 만나 장기적으로 기가와트급 AI 컴퓨팅 용량을 확보하는 방안을 논의했습니다. 재시가 2분기에 이름을 든 Amazon Quick 고객 명단에는 현대(Hyundai)도 있었습니다.

AWS 위에서 에이전트를 돌리는 국내 기업이 제니티 사례에서 볼 것은 기본값입니다. 문제가 된 것은 개발자가 따로 정하지 않으면 붙는 기본 실행 역할이었고, AWS는 기본값을 바꿨다고 했지만 이미 만든 에이전트의 역할 권한이 어떻게 정리됐는지는 발표문에 나오지 않습니다. 저는 이 대담에서 GPU 숫자보다 쓰고 버리는 데이터베이스 이야기가 더 오래 남았습니다. 클라우드의 기본값을 사람 대신 에이전트에 맞춰 다시 정하는 일은 이제 막 시작됐고, 같은 주에 그 기본값의 구멍이 먼저 드러났습니다.

AWS의 다음 큰 발표 무대는 11월 30일부터 12월 4일까지 라스베이거스에서 열리는 re:Invent입니다.

읽어 주셔서 고맙습니다.

초이 드림