같은 주에 두 이야기가 나왔지만 대부분의 사람은 이를 별개로 읽을 것이다. 하나는 정리해고에 관한 이야기다. 다른 하나는 보안 연구자가 서버 메인보드를 살펴본 이야기다. 두 이야기를 함께 읽으면 현재 AI 기술 대화에서 거의 다뤄지지 않는 커리어 이동이 보인다. 스택을 위로가 아니라 아래로 내려가는 것이다.

앱 계층은 — 의도적으로 — 붐비고 있다

Meta가 에이전트형 코딩에 진입한 것, Muse Code는 그 배후의 모델보다는 자동화하는 워크플로 때문에 주목할 만하다. 저커버그는 이를 “격리된 워크트리에서 병렬로 작업하는 별도의 하위 에이전트들로 확장”한다고 설명하며, 한 테스트 실행에서 충돌 없이 게임의 기능 6개를 동시에 만들었다고 주장했다. 이제 이는 기본 조건이다. Anthropic, OpenAI와 여러 스타트업이 이미 같은 작업을 각기 다른 형태로 수행하고 있다. 대규모 저장소에서 애플리케이션 계층 코드를 계획하고 작성하고 검증하는 일은 여러 업체가 무료로 제공하거나 저렴하게 묶어 판매하려고 경쟁하는 범용 기능이 되어가고 있다.

한편 Monday.com은 제품 및 시장 진출 “전환”과 연계된 구조조정을 이유로 인력의 약 20%, 약 600명을 감원했다. 이는 올해 감원의 요인으로 AI를 언급한 20개가 넘는 기업 목록에 합류한 것이다. 그중 얼마나 많은 부분이 AI에 의한 대체이고, 얼마나 많은 부분이 SEC 제출 서류에 넣기 편리한 문구로서의 AI인지는 누구도 정확히 말할 수 없다. 그러나 두 이야기에서 향하는 방향은 같다. git 저장소에 존재하고, PR에서 검토되며, 일반적인 CI 파이프라인에서 실행되는 코드는 에이전트형 도구가 처음부터 끝까지 처리하도록 만들어지고 있는 바로 그 코드다.

에이전트가 건드리지 않는 것

이제 다른 이야기를 보자. 이번 주 연구자들은 주요 제조업체의 인터넷 연결 서버 수천 대가 베이스보드 관리 컨트롤러(BMC)의 버그를 통해 원격으로 백도어 공격을 받을 수 있다는 연구 결과를 발표했다. BMC는 사실상 모든 기업용 메인보드에 들어 있는 작은 임베디드 컴퓨터로, 장비의 전원이 꺼져 있어도 관리자가 시스템을 재부팅하고 패치하거나 이미지를 다시 설치할 수 있게 한다. 이 컨트롤러가 의존하는 IPMI 프로토콜의 일부 근본적인 결함은 적어도 2013년부터 알려져 있었다. 연구자들은 BMC 인프라를 “널리 퍼져 있지만 모니터링과 패치가 부족한 병렬 공격 표면”이라고 불렀다. 아무도 위험의 존재를 몰랐기 때문이 아니라, 이를 고칠 인력과 자원이 배정된 경우가 거의 없었기 때문이다.

바로 이것이 단서다. 이는 애플리케이션 코드가 아니다. 자체 OS와 네트워크 스택을 실행하며, 에이전트형 코딩 도우미가 최적화된 도구와 워크플로에는 대체로 보이지 않는 펌웨어다. 대규모 저장소를 대상으로 PR을 계획하는 에이전트는 여기서 계획의 대상이 없다. 저장소도, 테스트 스위트도 없고, 빠르게 수정 사항을 내놓을 벤더의 동기도 없는 경우가 많으며, 패치 과정도 `git push`가 아니라 하드웨어 제조업체를 거친다. 중요한 기술인 임베디드 C, 프로토콜 수준의 디버깅, 펌웨어 리버스 엔지니어링, 하드웨어 인접 보안 연구는 현재 세대의 코딩 에이전트가 아직 도달하도록 만들어지지 않은 스택의 한 부분에 속한다. 대부분의 엔지니어링 조직이 만성적으로 충분히 투자하지 않은 영역이기도 하다. 10년 된 결함이 아직 알려진 채 남아 있다는 사실이 이를 입증한다.

분명하게 말해 두는 단서

모든 개발자가 펌웨어 엔지니어로 재교육받아야 한다는 주장이 아니다. 이는 틈새 시장이고, 수요도 주류 소프트웨어 직무에 필적하지 않을 것이다. 주장은 더 좁다. 현재 역할이 에이전트형 도구가 가장 빠르게 수렴하고 있는 스택의 영역, 즉 단일 저장소 안에서 수행되고 테스트가 충분히 갖춰진 일상적인 애플리케이션 코드에 정확히 놓여 있다면, 인접한 더 낮은 수준의 계층이 존재한다는 점을 알아둘 만하다. 그곳에는 아직 자동화의 최전선이 도달하지 않았고, 컴퓨터과학 박사 학위 없이도 기술을 배울 수 있으며, 수요 신호도 유난히 구체적이다. 10년 된 패치되지 않은 공격 표면이 대규모로 공개 시연된 것이 바로 그 신호다.

이번 달 실제로 어디서 시작할 것인가

  • 요약만 보지 말고 1차 연구를 읽어라. Ars Technica의 기사에는 프로토콜(IPMI)과 하드웨어 종류(주요 서버 공급업체의 BMC)가 명시되어 있다. 이는 공급업체 권고문과 CVE 이력을 찾기 위한 검색어의 출발점이다.
  • 오픈 BMC 스택을 직접 다뤄 보라. OpenBMC와 유사한 오픈소스 펌웨어 프로젝트를 이용하면 데이터센터 없이도 실제 BMC 코드를 읽고 수정할 수 있다. 주말 한 번이면 이것이 웹이나 앱 개발과 얼마나 다른지 확인하기에 충분하다.
  • 재교육을 시작하기 전이라도 지금 이력서의 표현을 다시 구성하라. “대역 외 관리”, “무인 운영 관리”, “OS 아래의 공격 표면”은 이 분야에서 채용하는 팀이 당신을 찾게 해 줄 표현이다. 실제 경험이 자신이 해 온 일과 진정으로 인접해 있다면 추가하는 데 비용도 들지 않는다.
  • 이를 전환이 아니라 다각화로 생각하라. 애플리케이션 코드를 계속 배포하라. 여전히 일자리 시장의 대부분은 그쪽에 있다. 다만 학습 예산의 일부를 의도적으로, 에이전트가 아직 워크트리로 확장해 대신 수정해 줄 수 없는 곳에 사용하라.