이번 주 가장 흥미로운 커리어 신호는 제품 출시에서 나온 것이 아니었다. 마더보드에 관한 보안 공개에서 나왔다. 새로운 연구 결과를 발표한 연구자들은 대부분의 엔터프라이즈 서버 마더보드에 내장된 작고 독립적인 컴퓨터인 베이스보드 관리 컨트롤러가 원격으로 백도어에 뚫릴 수 있음을 보여주었다. BMC는 자체 운영체제와 네트워크 스택을 실행하기 때문에 관리자는 컴퓨터가 전원이 꺼진 상태에서도 재부팅하거나 이미지를 다시 설치할 수 있다. 그런데 일부 사례에서는 이런 취약점이 10년 넘게 그 자리에 방치되어 있었다. 한 연구자가 이를 표현한 방식이 기억에 남았다. 바로 “널리 퍼져 있고, 모니터링이 부족하며, 패치도 부족한 병렬 공격 표면”이라는 말이다. 이 표현은 눈앞에 뻔히 보이면서도 숨어 있는 커리어 기회를 설명하는 말이기도 하다. 이 시장에서 다음 행보를 구상하는 사람이라면 그 의미를 하나씩 뜯어볼 만하다.
실제로 드러난 것
BMC가 존재하는 이유는 정확히 말해 모두가 관심을 기울이는 시스템의 바깥에서 작동하기 위해서다. BMC는 “라이트 아웃” 계층이다. 위에 있는 운영체제가 응답하지 않거나 컴퓨터가 꺼져 있어도 접근할 수 있고 강력한 기능을 제공한다. 그래서 방치될 때 위험해진다. 가장 큰 제조업체들이 공급한 수천 대 규모의 서버군이, 출하된 이후 누구도 면밀히 살펴보지 않은 펌웨어를 실행하고 있는 것이다. 누구도 BMC 위에 세련된 앱을 만들지 않았다. 누구의 데모 데이 발표도 “IPMI를 패치합니다”가 아니었다. 말 그대로 스택에서 가장 매력 없는 계층이다. 바로 그렇기 때문에 썩어버렸다.
패턴 아래에 깔린 패턴
같은 뉴스 주기에 나온 다른 두 소식과 이 이야기를 나란히 놓으면 하나의 형태가 보인다. Meta의 새로운 터미널 코딩 에이전트 Muse Code는 자체 하위 에이전트들을 여러 개로 확장해 대규모 저장소 전반의 코드를 병렬로 작성하고 검증한다. Zuckerberg가 직접 든 예시는 여섯 가지 기능을 동시에 구축하는 것이었다. Google은 25년 만에 처음으로 검색창을 다시 만들었다. AI Overviews와 AI Mode를 하나의 대화형 진입점으로 통합해 텍스트, 이미지, PDF, 동영상을 입력받는다. 두 움직임 모두 스택의 최상단, 즉 인터페이스와 쿼리, 그리고 사용자나 에이전트가 직접 만지는 코드에 더 많은 투자와 인력, 제품상의 관심을 쏟아붓는다.
한편 Monday.com이 이번 달 구조조정과 대략 20%의 인력 감축을 발표하면서 AI를 언급했을 때, SEC 제출 서류는 변화의 대상이 되는 기능으로 “제품, 마케팅, 고투마켓”을 구체적으로 명시했다. 조직도에서 고객과 결과물, 프롬프트에 인접한 계층에 해당하는 기능들이다. 이는 우연이라기보다 앞으로 나아가는 방향에 가깝다. 자본과 자동화가 모두 스택의 최상단, 즉 사용자가 있는 곳, 데모가 있는 곳, LLM이 결과물을 직접 생성할 수 있는 곳에 집중되고 있다. 그 아래의 기반, 즉 이번 분기에 어떤 에이전트나 모델이 유행하든 계속 작동해야 하는 물리적·반물리적 인프라는 상대적으로 더 많은 관심이 아니라 오히려 더 적은 관심을 받고 있다. 그러는 동안 그 위에서 실행되는 코드와 트래픽의 양은 계속 늘어나고 있다.
기반 계층이 다르게 작동하는 이유
하드웨어와 인프라 업무가 “AI의 영향을 받지 않는 영역”이라는 주장은 아니다. 그런 것은 없으며, 영구적인 해자를 팔려는 사람에게는 강하게 경계해야 한다. 다만 이 영역은 분명히 짚어볼 만한 세 가지 측면에서 다르게 작동한다. 첫째, 이 영역은 이질적이고 벤더별 특성이 강해서, 코딩 에이전트가 가령 Python 리팩터링을 잘하게 만드는 깔끔한 학습 데이터와 일반화에 잘 맞지 않는다. 한 제조업체의 펌웨어에서 발생한 BMC 버그가 다른 제조업체의 펌웨어에 깔끔하게 일반화되지는 않는다. 둘째, 이를 해결하려면 대개 물리적 세계에 대한 판단이 필요하다. 유지보수 시간을 조율하고, 펌웨어의 출처를 검증하고, 전체 서버군에 대역 외 방식으로 패치를 배포해도 안전한지 결정해야 한다. 자율 에이전트가 이를 보조할 수는 있지만, 조직들은 현재로서는 감독 없이 넘기기를 꺼린다. 실패했을 때의 상황이 “이미지를 다시 설치한 뒤에도 백도어가 그대로 남아 있는 서버”이기 때문이다. 셋째, 가장 단순한 이유로 이 분야에 전문성을 쌓으려는 사람이 더 적다. 펌웨어와 저수준 인프라 보안은 이번 AI 채용 불안의 물결이 오기 훨씬 전부터 수년간 인력 부족을 겪어왔다. 기능을 출시하는 일보다 느리고, 시연하기 어렵고, 유행도 덜하기 때문이다.
그렇다면 실제로 무엇을 할 것인가
모든 독자에게 금요일까지 펌웨어 엔지니어가 되라고 말하는 것은 아니다. 하지만 이미 인프라, 보안 또는 플랫폼 엔지니어링과 인접한 일을 하고 있다면, 다른 사람들이 몰려드는 계층을 좇기보다 더 깊이 들어가라는 신호로 받아들여라.
- 전문가가 아니더라도 용어부터 익혀라. BMC, IPMI, Redfish, 대역 외 관리, 공급망 펌웨어 검증 같은 말들이다. 전문가가 될 필요는 없다. 이 계층이 존재한다는 사실을 알고 이에 대해 질문하는 팀원이 되면 된다.
- 보안 분야에서 일하며 요즘 가장 뜨거운 세부 분야라는 이유로 “AI 레드팀” 쪽으로 이동하고 있다면, 지금 그곳이 가장 붐비는 분야이기도 하다는 점을 알아두라. 회사의 AI 스택 아래에 있는 패치되지 않고 모니터링되지 않는 인프라는 실제로 제대로 다뤄지지 않은 위험 표면이며, 차별화되는 이력서 한 줄이 될 수 있다.
- 이번 달 해고 관련 서류에서 실제로 명시된 기능인 제품, 마케팅 또는 고투마켓 역할에 있으면서 자신의 입지가 불안하게 느껴진다면, 인프라 및 플랫폼 신뢰성 역할은 강등이 아니라 정당한 수평 이동이다. 기술 격차는 실제로 존재하며, 이는 6주짜리 부트캠프가 아니라 조직이 축적해 온 인내의 시간으로 측정된다.
- “지루하다”는 말을 “영원히 안전하다”는 뜻으로 착각하지 마라. 이는 올해 관심과 인력이 집중되는 곳에 연결된 상대적 희소성에 대한 베팅이지, 영구적인 보장이 아니다. 다음에는 투자가 어디로 흘러가는지 계속 지켜봐라.
2026년에 10년 된 마더보드 버그가 수면 위로 떠오른 데서 얻는 교훈은 사실 BMC에 관한 것이 아니다. 아무도 흥미를 느끼지 않는 스택의 부분들이야말로 조용히 위험을 축적하는 부분이며, 그곳에 기꺼이 들어가는 사람에게는 조용히 가치 또한 축적되는 부분이라는 점이다.
