MCP 서버 열 대 중 일곱 대가 이미 뚫려 있었다

숫자 하나부터 던지고 시작하자. 26만8000. 이건 두 달 동안 한 스타트업이 훑어본 AI 툴의 개수야. 그 툴들이 올라가 있던 MCP 서버는 2만5000대. 그리고 스캐너가 뱉어낸 취약점은 14만3000건이 넘었다. 서버 기준으로 73%, 그러니까 열 대 중 일곱 대에서 뭔가가 나왔다는 뜻이야.

이 숫자를 뽑아낸 회사가 엔크립트AI(Enkrypt AI)다. 그리고 2026년 8월 4일, 파이썬 데이터 과학 배포판으로 유명한 아나콘다(Anaconda)가 이 회사를 인수한다고 발표했어. 인수 금액은 공개하지 않았다.

여기서 잠깐 멈춰서 이 그림이 얼마나 이상한지 짚고 가자. 아나콘다는 원래 보안 회사가 아니야. conda install이라는 명령어로 파이썬 패키지를 설치하는, 데이터 사이언티스트들이 노트북에 제일 먼저 깔던 그 소프트웨어를 만드는 회사다. 자사 집계로 사용자 5200만 명, 누적 다운로드 210억 건, 포춘 500대 기업의 95%가 쓴다. 취약점 스캐너나 런타임 가드레일 같은 걸 팔던 회사가 아니라는 거지. 그런데 그 회사가 갑자기 레드티밍 스타트업을 샀다.

왜 그랬는지는 아나콘다 블로그의 한 문장이 정확히 설명한다. "에이전트가 돌아가는 모든 모델, 그것이 호출하는 모든 툴, 그것이 건드리는 모든 MCP 서버가 잠재적 공격 벡터를 만든다." 그리고 그 뒤에 더 냉정한 문장이 붙어 있어. "AI 리스크는 패치만으로 빠져나올 수 있는 게 아니다(you cannot just patch your way out of AI risk)."

타이밍도 우연이 아니다. 발표 이틀 전인 8월 2일, EU AI법의 주요 조항들이 실제로 작동하기 시작했거든. 그 얘기는 뒤에서 따로 하자. 일단 이 딜의 등장인물부터 정리하고 가는 게 순서야.

파이썬 배포판 회사와, 예일 박사 두 명

먼저 아나콘다. 10여 년 전 텍사스 오스틴에서 컨티뉴엄 애널리틱스라는 이름으로 시작해서 파이썬 과학 계산 생태계의 사실상 표준 배포 경로가 된 회사야. 넘파이, 판다스, 사이킷런 같은 패키지를 컴파일된 바이너리로 묶어서 "의존성 지옥"을 대신 처리해주는 게 원래 장사였다. 오랫동안 이 회사의 정체성은 "믿을 만한 패키지 저장소"였어.

그런데 2025년 하반기부터 회사의 성격이 확 바뀐다. 2025년 7월 30일 인사이트 파트너스(Insight Partners)가 주도하고 무바달라 캐피털이 참여한 1억5000만 달러 이상 규모의 시리즈C를 받았다. 블룸버그는 이 라운드의 기업가치를 15억 달러로 보도했다(회사가 공식 확인한 값은 아니니 대략의 자릿수로만 읽자). 그리고 2025년 10월 16일, 새 CEO로 데이비드 디샌토(David DeSanto)를 앉혔어. 직전까지 깃랩(GitLab)의 최고제품책임자(CPO)로 AI 네이티브 데브섹옵스 플랫폼을 총괄하던 사람이다. 데브섹옵스 출신을 데려왔다는 건 회사가 어디로 갈지를 그때 이미 말해준 셈이야.

그 다음부터의 속도가 진짜다. 2026년 4월 29일 아우터바운즈(Outerbounds)를 인수했다. 넷플릭스에서 나온 오픈소스 ML 오케스트레이션 프레임워크 메타플로우(Metaflow)를 만든 회사고, 리얼터닷컴·GE 헬스케어·워너 브라더스 같은 곳이 쓰던 물건이야. 이걸로 아나콘다는 "패키지 저장소"에서 "실행 오케스트레이션"까지 범위를 넓혔다.

두 달 반 뒤인 2026년 7월 15일에는 킬로 코드(Kilo Code)를 인수했다. VS Code·젯브레인스·웹·CLI에서 돌아가는 오픈소스 코딩 에이전트로, 개발자 300만 명 이상이 쓰고 월 수조 개 토큰을 처리한다고 회사는 밝혔다. 공동창업자 명단에 깃랩 공동창업자이자 이사회 의장인 시드 시브란데이(Sid Sijbrandij)가 들어 있는 것도 눈에 띈다. 시브란데이가 인수 발표 때 남긴 말이 이 딜의 성격을 잘 요약해. "킬로와 아나콘다는 드문 조합이다. 겹치는 게 거의 없고, 각자에게 없는 걸 상대가 이미 갖고 있다."

그리고 8월 4일 엔크립트AI. 4월 29일부터 계산하면 97일 만에 세 건이다. 데이터 준비(기존 패키지 사업) → 오케스트레이션(아우터바운즈) → 에이전트 실행(킬로 코드) → 보안·거버넌스(엔크립트AI). 아나콘다는 이걸 "AI 네이티브 개발 라이프사이클 전체를 잇는 단일 플랫폼"이라고 부른다. 파편을 하나씩 사서 붙이고 있는 거야.

이제 팔린 쪽. 엔크립트AI는 2022년 보스턴에서 예일대 박사 출신 두 명이 창업했다. CEO 사힐 아가르왈(Sahil Agarwal)과 CTO 프라샨스 하르샹기(Prashanth Harshangi)로, 둘은 예일 박사 과정에서 처음 만났어. 2024년 2월 볼드캡(Boldcap)이 주도한 235만 달러 시드를 받았고, 버클리 스카이덱·쿠베라 VC·아르카 VC·베레다스 파트너스·빌더스 펀드가 참여했다. 포브스가 그때 붙인 제목이 재미있는데, "제멋대로 구는 챗봇을 잡겠다며 235만 달러를 모은 회사"였다. 2024년 초에는 그게 '욕하고 헛소리하는 챗봇' 문제였고, 2026년에는 '내 계정으로 파일을 지우는 에이전트' 문제가 됐다. 회사가 큰 게 아니라 문제가 커진 거야.

시드 235만 달러짜리 회사가 4년 만에 포춘 500의 95%를 고객으로 둔 회사에 팔렸다는 사실 자체가 이 카테고리의 속도를 보여준다. 다만 인수 금액이 공개되지 않았다는 점은 짚어두자. 이 시장의 다른 딜들과 비교하려면 숫자가 필요한데, 그게 없다.

스캔하고, 막고, 기록한다 — 세 겹 구조

엔크립트AI가 실제로 파는 물건을 뜯어보면 세 층이다.

첫 번째 층은 배포 전 레드티밍이다. 모델과 에이전트를 프로덕션에 올리기 전에 300개가 넘는 공격 카테고리로 두들겨 본다. 탈옥 프롬프트, 데이터 유출 유도, 정책 우회, 유해 콘텐츠 생성 같은 걸 자동으로 시도하고 어디서 뚫리는지 리포트를 뽑는 방식이야. 회사는 이 레드티밍 리서치를 주요 프론티어 AI 제공사들의 모델에 대해서도 돌려왔다고 밝히고 있다.

두 번째 층은 런타임 가드레일이다. 배포 전 테스트는 아무리 잘해도 실제 트래픽에서 벌어지는 일을 다 예측할 수 없으니, 돌아가는 중에 탈옥 시도와 민감정보 유출을 실시간으로 차단한다. 여기서 아나콘다가 특별히 강조하는 포인트가 하나 있어. 이 가드레일이 고객 환경 안에서 직접 돌아간다는 것. 프롬프트와 응답을 벤더 클라우드로 왕복시키지 않는다는 뜻이고, 금융·의료·공공처럼 데이터를 밖으로 못 내보내는 조직에는 이게 도입 여부를 가르는 조건이 된다.

세 번째 층이 이번 딜의 진짜 핵심인 MCP 거버넌스다. 제품은 네 조각으로 나뉜다. 도입 전에 서버를 훑는 MCP 스캐너, 툴 호출을 경계선에서 차단·수정·승인하는 시큐어 MCP 게이트웨이(오픈소스 버전은 MIT 라이선스로 자체 호스팅 가능), 신뢰할 수 있는 서버를 소유자·리스크 점수·메타데이터와 함께 관리하는 MCP 레지스트리, 그리고 환경·에이전트별 최소권한을 강제하는 프로젝트 단위 허용목록. 마지막으로 감사용 산출물을 PDF·CSV·JSON으로 뽑는 기능이 붙는다. 회사가 정리한 MCP 공격 벡터는 여섯 가지 — 인젝션, 권한 상승, 데이터 유출, 응답 스머글링(response smuggling), 섀도 도입(shadow adoption), 환경 드리프트(environment drift)다.

이 여섯 개 중에 '섀도 도입'을 눈여겨봐야 해. 나머지는 기술적 취약점이지만 섀도 도입은 조직 문제거든. 개발자 한 명이 깃허브에서 편해 보이는 MCP 서버를 찾아 자기 에이전트에 꽂는 데 걸리는 시간은 30초야. 승인 절차도, 자산 목록도, 로그도 없다. 보안팀은 그런 게 있는지조차 모른다. 아나콘다 블로그에 나오는 고객 일화가 딱 그 상황을 묘사한다. 표준화된 워크플로 덕에 팀이 "두 달도 안 돼" 일을 끝냈는데, 정작 "자기들이 한 작업이 안전하고 보안이 확보됐다고 자신 있게 말할 수 없었다"는 거야. 속도는 얻었는데 가시성을 잃었다는 것.

엔크립트가 이 문제를 얼마나 구체적으로 봤는지는 2025년 10월 9일 공개한 자체 조사에서 드러난다. MCP 서버 1000개를 4단계(설정 검토, 코드 보안 스캔, 툴 단위 평가, 네트워크 보안)로 분석했더니 32%에서 최소 하나의 치명적 결함이 나왔고, 서버당 평균 취약점은 5.2개였다. 유형별로는 인가 우회가 41%, 프롬프트 인젝션 가능성이 35%, 커맨드 인젝션이 28%, 네트워크 보안 이슈가 23%, 경로 순회가 19%, 자원 고갈이 15%였다. 실명으로 지목된 사례도 있는데, kubernetes-mcp-server에서는 취약점 26개가 나왔고 그중 13개가 치명적 커맨드 인젝션이었다. 더 섬뜩한 건 postmark-mcp-server야. 겉으로는 멀쩡히 작동하면서 처리하는 이메일을 전부 조용히 빼돌리던 백도어였다.

항목 내용 출처
발표일 2026년 8월 4일, 인수 금액 비공개 Anaconda 공식 발표
인수 주체 아나콘다 (CEO 데이비드 디샌토, 前 GitLab CPO) Anaconda
피인수 엔크립트AI (2022년 보스턴 창업, 예일 박사 사힐 아가르왈·프라샨스 하르샹기) Forbes, Anaconda
엔크립트 시드 235만 달러, 2024년 2월, Boldcap 주도 Forbes
대규모 스캔 결과 두 달간 MCP 서버 2만5000대, 툴 26만8000개 → 취약점 14만3000건+, 서버 기준 73% 영향 Anaconda 공식 발표
이전 조사(2025.10.09) 서버 1000개 중 **32%**가 치명적 결함 보유, 서버당 평균 5.2개 Enkrypt AI 블로그
레드티밍 범위 300개 이상 공격 카테고리, 배포 전 수행 Anaconda 공식 발표
런타임 가드레일 탈옥·민감정보 유출 실시간 차단, 고객 환경 내 배포 Anaconda 공식 발표
컴플라이언스 NIST AI 리스크 관리 프레임워크, EU AI법 자동화 Anaconda 공식 발표
아나콘다 규모 사용자 5200만 명+, 다운로드 210억 건, 포춘 500의 95% Anaconda
아나콘다 시리즈C 1억5000만 달러+, 2025년 7월 30일, Insight Partners 주도 (기업가치 15억 달러로 보도) Business Wire, Bloomberg 보도
직전 인수 아우터바운즈(2026.04.29, Metaflow), 킬로 코드(2026.07.15, 개발자 300만+) Anaconda

표에서 가장 조심해서 읽어야 할 줄이 대규모 스캔 결과다. 이 14만3000건은 엔크립트AI 자체 스캐너가 자체 기준으로 집계한 수치이고, 독립 검증을 거친 값이 아니야. 스캐너가 "취약점"으로 판정하는 기준이 얼마나 엄격한지, 실제로 익스플로잇 가능한 것과 이론적 결함이 어떻게 섞여 있는지는 공개되지 않았다. 인수를 발표하는 회사가 인수 대상의 스캔 결과를 홍보 소재로 쓸 때는 항상 이 필터를 걸고 봐야 해. 그렇다고 문제 자체가 없다는 뜻은 전혀 아니다. 2025년에 공개된 앤트로픽 MCP 인스펙터의 원격 코드 실행 취약점(CVE-2025-49596, CVSS 9.4)처럼 CVE 번호가 붙은 사례도 이미 나와 있으니까.

각자 뭘 챙겨 가나

아나콘다가 얻는 것은 영업상의 문장 하나다. 디샌토가 발표문에서 한 말이 그걸 노골적으로 드러낸다. "엔크립트AI는 모르던 것을 알게 만든다. 팀이 이사회와 CISO, 법무의 승인을 받아 시스템을 자신 있게 확장하는 데 필요한 보안과 가드레일을 준다."

이 문장을 번역하면 이렇게 돼. 아나콘다는 지금까지 개발자와 데이터 팀에게 팔아왔다. 그런데 AI 플랫폼 계약은 개발자 예산으로 안 끊긴다. CISO와 법무가 도장을 찍어야 하고, 그러려면 "당신들이 돌리는 에이전트가 뭘 하고 있는지 우리가 보여줄 수 있다"는 답이 필요하다. 보안은 여기서 기능이 아니라 결재 라인 통과권이야. 계약 단가가 올라가고, 담당자가 바뀌고, 갱신 주기가 길어진다.

엔크립트AI가 얻는 것은 유통망이다. 시드 235만 달러 회사가 자력으로 포춘 500 영업을 뚫는 데는 몇 년이 걸린다. 그런데 아나콘다는 이미 그 500곳 중 475곳 안에 들어가 있어. 파일럿을 시작하는 데 걸리는 시간이 몇 달에서 며칠로 줄어든다는 뜻이야. 아가르왈이 남긴 말도 그 맥락이다. "신뢰는 에이전트가 출시된 뒤에 덧붙일 수 있는 게 아니다. 첫날부터 안에 심어져 있어야 하고, 믿을 만한 기반 위에서 돌아가야 한다."

기업 고객이 얻는 것은 계약서 개수의 감소다. 지금 AI 스택을 굴리는 조직은 벤더를 이렇게 쌓고 있어. 패키지 저장소 하나, 오케스트레이션 하나, 코딩 에이전트 하나, LLM 게이트웨이 하나, 프롬프트 인젝션 방어 하나, 모델 평가 하나, 감사 로그 하나. 각각 조달·보안심사·갱신을 따로 돌린다. 아나콘다는 이 일곱 줄을 한 줄로 줄여주겠다는 제안을 하는 거야. 그게 실제로 먹히면 절감되는 건 라이선스 비용이 아니라 조달팀과 보안심사팀의 시간이다.

그런데 손해 보는 쪽도 있다. 이미 다른 AI 보안 벤더를 쓰고 있는 조직 입장에서는 선택지가 하나 사라진 셈이야. 엔크립트가 독립 벤더였을 때는 스택 조합에 상관없이 붙일 수 있었지만, 아나콘다 플랫폼의 보안 계층이 된 이상 로드맵의 우선순위는 아나콘다 고객 쪽으로 기울 수밖에 없다. 아나콘다는 "현재 사용자에게 제품·요금제·지원은 그대로 유지되며 통합 세부사항은 추후 안내한다"고 밝혔는데, 이건 인수 발표의 표준 문구지 장기 보장은 아니다. 시큐어 MCP 게이트웨이의 오픈소스 버전이 MIT 라이선스라는 점이 그나마 안전장치인데, 오픈소스 코어가 계속 유지될지는 지켜봐야 해.

그리고 오픈소스 커뮤니티에는 미묘한 감정이 남는다. 아나콘다는 2024년 3월 이용약관을 바꿔 직원·계약자 200명 이상 조직(영리 기업뿐 아니라 정부기관과 비영리 포함)이 자사 리포지토리를 쓰려면 유료 라이선스를 사야 한다고 정리했다가 큰 반발을 샀거든. 회사 스스로도 나중에 블로그에서 "변경 사항이 명확히 전달되지 않아 혼란과 우려를 낳았고 다수의 무료 사용자, 특히 학술·연구 사용자를 의도치 않게 배제했다"고 인정했다. 로런스 리버모어 국립연구소처럼 아예 아나콘다 지원을 단계적으로 중단한 기관도 나왔다. "무료로 쓰던 게 어느 날 유료가 된 전력이 있는 회사"가 이번엔 보안 계층을 들고 왔다는 사실 — 이게 커뮤니티가 이 딜을 바라보는 온도차의 배경이야.

이미 네 번 반복된 영화

이 시장은 지난 15개월 동안 같은 장면을 계속 찍었다. 순서대로 보면 패턴이 보여.

팔로알토 네트웍스와 프로텍트AI. 2025년 4월 28일 인수 의사를 발표하고 7월 22일 완료했다. 프로텍트AI의 모델 스캐닝·포스처 관리·AI 레드티밍·런타임 보호 기술을 흡수해 Prisma AIRS라는 제품군으로 묶었어. 이건 "보안 회사가 AI 보안 스타트업을 사서 기존 보안 포트폴리오에 얹는" 가장 정통적인 경로다. 성공 사례로 분류할 만한데, 이유는 인수 후에도 팔로알토가 같은 논리로 계속 샀기 때문이야. 2026년 1월 29일 크로노스피어(옵저버빌리티), 2월 11일 사이버아크(아이덴티티) 인수를 잇달아 완료했다. 텔레메트리·아이덴티티·AI 보안을 한 지갑에서 팔겠다는 방향이 일관돼 있다.

체크포인트와 라케라. 2025년 9월 16일 발표. 취리히·샌프란시스코 기반의 에이전틱 AI 보안 회사였고, 딜 규모는 공식 비공개지만 이스라엘 매체들이 약 3억 달러로 보도했다. 센티넬원과 프롬프트 시큐리티. 2025년 8월 5일 약 2억5000만 달러 규모로 발표했는데, 9월 5일 완료 시점의 실제 대가는 현금·주식 합쳐 약 1억8000만 달러로 정리됐다. 발표 금액과 종결 금액이 다르다는 게 이 카테고리의 밸류에이션이 얼마나 유동적인지 보여주는 사례야. 주가 연동 대가가 섞이면 흔히 벌어지는 일이지만, 어쨌든 "AI 보안 스타트업 = 무조건 프리미엄"이라는 통념에는 금이 간 셈이다.

스닉과 인배리언트 랩스. 2025년 6월 24일. 이게 이번 아나콘다 딜과 가장 닮았다. 인배리언트 랩스는 ETH 취리히 스핀오프로 창업한 지 1년도 안 된 회사였고, MCP 취약점을 겨냥한 MCP-Scan과 정책 엔진 가드레일을 만들었다. 툴 포이즈닝과 'MCP 러그풀' 같은 공격을 탐지하는 물건이야. 스닉은 이걸 자사 AI 트러스트 플랫폼에 붙였다. 즉, 개발자 도구 회사가 MCP 보안 리서치 팀을 사서 자기 플랫폼의 보안 계층으로 쓰는 구조 — 아나콘다가 지금 하는 것과 정확히 같은 수다.

여기서 실패 쪽 교훈도 짚자. 이 카테고리에서 인수가 잘 안 풀리는 전형적인 이유는 기술이 나빠서가 아니라 제품이 플랫폼에 흡수되면서 독립 제품으로서의 개선 속도가 죽기 때문이다. 보안 스캐너의 가치는 탐지 규칙이 얼마나 빨리 갱신되느냐에 달려 있는데, 인수 후 리소스가 통합 작업에 쏠리면 규칙 업데이트가 느려진다. 그 사이 공격 기법은 계속 진화한다. 옵저버빌리티나 APM 시장에서 인수된 제품이 2~3년 뒤 경쟁력을 잃는 패턴이 반복됐던 이유가 그거야. 아나콘다가 인수 발표문에서 "통합 세부사항은 추후"라고만 쓴 건 정상적인 절차지만, 6개월 뒤 스캐너의 탐지 규칙이 얼마나 자주 갱신되는지가 이 딜의 실질적인 성적표가 될 거다.

그리고 성공 사례에서 공통적으로 나오는 조건이 하나 있다. 인수한 쪽이 이미 그 데이터를 볼 수 있는 위치에 있어야 한다는 것. 팔로알토는 네트워크 트래픽을 보고 있었고, 스닉은 코드 리포지토리를 보고 있었다. 아나콘다는? 패키지 설치 경로와, 이제는 킬로 코드를 통해 에이전트 실행 경로까지 보고 있다. 이 조합은 나쁘지 않다. 취약한 MCP 서버를 스캔하는 것과 그 서버가 실제로 어느 에이전트에 꽂혀 있는지 아는 건 다른 능력인데, 아나콘다는 후자에 접근할 수 있는 몇 안 되는 위치에 있어.

팔로알토도, 체크포인트도, 앤트로픽도 가만있지 않는다

첫 번째 반격축은 전통 보안 대기업이다. 팔로알토·체크포인트·센티넬원·스닉은 이미 AI 보안 자산을 샀고, 이들의 논리는 단순하다. "AI 보안은 별도 카테고리가 아니라 보안의 한 기능이다. 보안팀은 이미 우리 콘솔을 쓴다." 이게 강력한 이유는 구매 주체가 CISO 조직이기 때문이야. 아나콘다는 개발자 조직에서 올라가는데, 이 두 경로가 조직 안에서 부딪히면 대개 예산 규모가 큰 쪽이 이긴다. 아나콘다의 반론은 "우리는 코드가 만들어지는 시점부터 보고 있으니 사후 탐지가 아니라 사전 차단을 한다"는 건데, 이 논쟁의 결말은 아직 안 났다.

두 번째는 하이퍼스케일러와 모델 제공사다. AWS·구글·마이크로소프트는 자체 가드레일과 모델 평가 도구를 이미 번들로 얹고 있고, MCP 자체를 만든 앤트로픽은 프로토콜과 공식 레지스트리를 통제하는 위치에 있다. 여기서 흥미로운 긴장이 하나 있어. 보안 연구자들이 MCP SDK의 명령 실행 동작을 취약점으로 신고했을 때 앤트로픽은 이를 의도된 설계로 보고 프로토콜 차원의 수정 대신 개발자의 입력 검증 책임으로 정리한 것으로 알려져 있다. 프로토콜 설계자가 "그건 구현하는 쪽 책임"이라고 선을 그으면, 그 사이의 빈 공간이 바로 엔크립트 같은 회사의 시장이 된다. 반대로 앤트로픽이 레지스트리 차원의 서명·검증·평판 시스템을 강화하면 서드파티 스캐너의 가치는 줄어든다. 이 축의 향방이 이 카테고리 전체의 크기를 결정해.

세 번째는 오픈소스와 무료 대안이다. 인배리언트 랩스의 MCP-Scan은 스닉 인수 후에도 알려져 있고, 엔크립트 자신도 게이트웨이의 오픈소스 버전을 MIT로 풀었다. MCP 스캐닝의 기본 기능 — 툴 설명문 검사, 권한 범위 확인, 알려진 취약 패턴 매칭 — 은 상당 부분 오픈소스로 구현 가능하다. 그러면 상용 제품이 팔리는 지점은 스캔 자체가 아니라 그 결과를 감사 증빙으로 만들어주는 부분이 된다. 엔크립트가 감사용 PDF·CSV·JSON 산출과 컴플라이언스 매핑을 전면에 내세우는 이유도 그거야.

네 번째는 규제 자체다. 8월 2일부터 EU AI법의 투명성 의무(제50조), 범용 AI에 대한 집행 권한, 그리고 벌칙 체계 전체가 적용되기 시작했어. 다만 여기서 반드시 정확히 짚어야 할 게 있다. 2026년 6월 16일 유럽의회가 찬성 423, 반대 57, 기권 174로 이른바 '디지털 옴니버스' 개정안을 최종 승인하면서, 고위험 AI 의무는 12~16개월 미뤄졌다. 부속서 III의 독립형 고위험 시스템(채용·신용평가·법집행·교육 등)은 2027년 12월 2일로, 부속서 I의 규제 제품 내장형(의료기기·기계·차량 등)은 2028년 8월 2일로 밀렸다. 그러니까 "8월 2일부터 고위험 규제가 시작됐다"는 식의 설명은 틀렸다. 시작된 건 투명성 의무와 벌칙·집행 체계야.

이 구분이 중요한 이유가 있다. 컴플라이언스 자동화를 파는 회사 입장에서 고위험 의무 연기는 단기 수요를 깎는 악재다. 다급하게 사야 할 이유가 1년 반 뒤로 밀렸으니까. 반대로 집행 권한과 벌칙이 살아났다는 건 "지금 당장 문제 삼을 수 있는 근거"가 생겼다는 뜻이기도 해. 두 힘이 반대로 작용하고 있고, 어느 쪽이 셀지는 실제 집행 사례가 나와봐야 안다. 아나콘다가 발표문에서 EU AI법을 언급한 건 세일즈 관점에서 당연한 선택이지만, 그 규제 시계가 최근에 크게 흔들렸다는 점은 같이 알고 있어야 해.

다섯 번째는 MCP 생태계의 자정 압력이다. 공개 MCP 서버 수는 2025년 12월 기준 1만 개 이상으로 집계됐고, 2026년 5월 24일 공식 레지스트리 API를 독립적으로 조회한 집계에서는 최신 서버 레코드 9652건, 서버·버전 레코드 2만8959건이 확인됐다(둘 다 커뮤니티 집계라 공식 수치는 아니다). 생태계가 이 속도로 커지면 결국 npm이나 PyPI가 걸어간 길 — 서명, 프로버넌스, 신뢰 등급, 자동 감사 — 을 따라갈 가능성이 높다. 그 인프라가 프로토콜 레이어에 표준으로 들어오면 별도 스캐너의 역할은 좁아진다. 다만 npm이 그 지점까지 가는 데 10년 넘게 걸렸다는 것도 사실이야.

그래서 뭐가 달라지는데

개발자·플랫폼 엔지니어한테는 당장 할 일이 세 가지 생겼다. 첫째, 지금 조직 안에서 돌아가는 MCP 서버 목록을 실제로 만들어봐라. 대부분의 팀은 이 목록이 없다. 각자 노트북의 mcp.json이나 에이전트 설정 파일에 뭐가 들어가 있는지 취합하는 것만으로도 놀랄 가능성이 높다. 둘째, 그중 외부에서 가져온 서버가 몇 개인지, 그 코드를 실제로 읽어본 사람이 있는지 확인해라. postmark-mcp-server 사례가 보여준 건 "정상적으로 작동하는 것"과 "안전한 것"이 전혀 다른 얘기라는 거야. 셋째, 툴 호출 로그가 남고 있는지 봐라. 사고가 나면 "에이전트가 뭘 호출했는지" 재구성할 수 있어야 하는데, 이게 안 되는 조직이 아직 대다수다.

기업 의사결정자에게 이 딜이 주는 신호는 "AI 보안이 독립 카테고리로 살아남기 어려워지고 있다"는 것이다. 지난 15개월 동안 프로텍트AI·라케라·프롬프트 시큐리티·인배리언트 랩스·엔크립트AI가 전부 더 큰 플랫폼에 흡수됐어. 지금 포인트 솔루션을 계약하려 한다면 2년 뒤 그 회사가 독립적으로 남아 있을 확률을 낮게 잡는 게 맞다. 계약서에 인수 시 데이터 이관과 계약 승계 조항이 있는지 확인해라. 그리고 반대로, 플랫폼 벤더가 "우리가 다 해준다"고 할 때는 각 계층의 성숙도가 제각각이라는 점을 감안해야 한다. 아나콘다의 패키지 사업은 10년 넘었지만 보안 계층은 이번 주에 산 거니까.

투자자 관점에서는 두 가지가 읽힌다. 하나는 이 카테고리의 출구가 대부분 M&A라는 것. 시드 235만 달러에서 4년 만에 전략적 인수로 끝났고, 이건 이 시장에서 이례적인 결말이 아니라 표준 경로에 가깝다. 다른 하나는 밸류에이션이 생각보다 안 오르고 있다는 점이야. 라케라 약 3억 달러(보도 기준), 프롬프트 시큐리티 발표 2억5000만 달러 → 종결 약 1억8000만 달러. AI 보안이 뜨거운 테마인 것에 비하면 절대 금액이 크지 않다. 이유는 짐작 가능한데, 이 제품들의 기술적 해자가 얇고 대기업이 6~12개월이면 자체 구현할 수 있기 때문이야. 그래서 인수는 기술보다 팀과 시간을 사는 성격이 강하다. 아나콘다가 금액을 공개하지 않은 것도 이 맥락에서 읽는 게 자연스럽다.

보안·컴플라이언스 담당자에게는 조금 다른 얘기다. 이번 주 해커뉴스에서 화제가 된 연구 하나가 있는데, 4만 건의 시뮬레이션에서 AI 에이전트의 명령을 승인하는 사람이 위험한 명령 3건 중 1건을 놓쳤다는 내용이야(228포인트, 179개 댓글). 댓글에서 가장 많이 인용된 문장이 "휴먼 인 더 루프는 한 번도 안전 보장이었던 적이 없다, 책임 회피 장치였다"였다. 이게 엔크립트 같은 제품의 존재 이유를 설명해. 사람이 모든 툴 호출을 검토한다는 전제는 이미 무너졌고, 승인 버튼을 누르는 속도로 리스크를 걸러낼 수 없다면 자동화된 정책 계층이 필요하다는 거지. 다만 그 자동화 계층이 얼마나 정확한지도 결국 검증 대상이라는 게 이 문제의 재귀적인 성격이야.

일반 사용자한테는? 직접 보이는 변화가 없다. 다만 간접적인 연결고리는 있어. 너희가 쓰는 서비스가 내부적으로 AI 에이전트에게 실제 작업을 시키고 있다면 — 계정 정보를 조회하거나, 주문을 수정하거나, 문서를 보내거나 — 그 에이전트가 어떤 툴에 연결돼 있는지를 그 회사가 관리하고 있는지가 결국 너희 데이터의 안전과 연결된다. postmark-mcp-server 백도어가 조용히 빼돌린 게 그 서버를 쓴 회사의 데이터가 아니라 그 회사 고객의 이메일이었다는 걸 기억하면 이 연결이 명확해진다.

마지막으로 이 스토리를 한 문장으로 압축하면 이렇다. 2024년의 AI 보안은 "챗봇이 욕을 하면 어쩌지"였고, 2026년의 AI 보안은 "에이전트가 검증 안 된 서버의 툴을 호출해서 뭘 지웠는지 모르겠다"가 됐다. 문제의 성격이 콘텐츠에서 실행 권한으로 옮겨갔고, 그래서 이 시장을 사는 주체도 콘텐츠 필터 회사에서 개발 플랫폼 회사로 옮겨간 거야.

🥄 남은 궁금증 세 가지

— 그래서 나랑 무슨 상관이야? 직접적인 영향은 없어. 다만 회사에서 코딩 에이전트나 MCP 서버를 쓰고 있다면, 지금 조직에 그 목록이 있는지부터 물어보는 게 좋아. 엔크립트 조사에서 서버 세 대 중 한 대꼴로 치명적 결함이 나왔는데, 대부분의 팀은 자기가 뭘 꽂았는지도 모르고 있거든.

— 이게 왜 하필 지금이야? 2025년까지 MCP는 개발자들이 개인 노트북에서 실험하던 물건이었어. 2026년에 이게 사내 프로덕션으로 내려오면서 성격이 바뀐 거야. 공개 MCP 서버가 1만 개를 넘어섰고, 발표 이틀 전인 8월 2일부터 EU AI법의 투명성 의무와 벌칙 체계가 실제로 적용되기 시작했다. 다만 고위험 의무는 디지털 옴니버스 개정으로 2027~2028년으로 미뤄졌으니, 규제가 이번 인수를 강제했다고 보긴 어려워.

— 아나콘다가 팔로알토나 체크포인트보다 앞선 거야? 아니야, 게임이 아예 달라. 팔로알토는 이미 프로텍트AI를 흡수해 Prisma AIRS로 묶었고 크로노스피어·사이버아크까지 붙였다. 규모로는 비교가 안 돼. 아나콘다의 유일한 차별점은 진입 경로야. 보안팀이 아니라 개발 환경 쪽에서 올라간다는 것. 코드가 만들어지고 패키지가 설치되는 지점을 이미 쥐고 있다는 건 실제 우위가 될 수 있는데, 그게 실제 매출로 얼마나 전환될지는 인수 금액조차 공개되지 않은 지금 단정하긴 일러.

참고 자료

숫자와 기준은 발표 시점 기준이라 바뀔 수 있어. 투자 판단은 각자의 몫!