a16z는 2026년 10월 28일 'The New Security Agenda'를 공개했다. 직원 1,000명 이상 기업의 최고정보보안책임자(CISO) 100명을 조사한 결과다. 87%는 2027년 사이버보안 지출이 늘 것으로 봤고, 절반 가까이는 보안팀이 커질 것으로 예상했으며, 축소를 예상한 비율은 4%에 불과했다. 예산도 인력도 늘어나는 방향이다. 하지만 이 조사에서 진짜로 봐야 할 것은 예산 증가와 실제 도입 사이의 간극이다.
의제의 교체: 2027년 상위 7개 항목이 모두 AI 관련
응답자들이 회상한 2026년 우선순위에서는 노출·취약점 관리와 SIEM이 상위에 있었다. 2027년에는 가장 많이 선택된 7개 항목이 모두 AI와 관련됐다. 내부 AI 에이전트 보안, SOC 자동화, 공격적 보안의 상승 폭이 가장 컸고, 코드 보안, 복구, AI 거버넌스가 뒤를 이었다. 응답자의 절반 가까이는 AI 코드 보안을 2027년 상위 5대 우선순위에 넣었는데, 2026년의 약 25%에서 늘어난 수치다.
시범은 많고 실제 운영은 적다
AI SOC 도구를 실제 운영에 투입한 기업은 18%에 불과하고, AI 공격적 보안이나 AI 노출·취약점 복구를 실제 운영에 적용한 기업은 13%다. 구매 계획은 더 빠르게 움직인다. 45%는 12개월 안에 내부 AI 에이전트 보안을 새로 사거나 업그레이드할 계획이고, 공격적 보안이 42%, AI 사용과 거버넌스가 38%였다. 응답자의 83%는 보안 태세 테스트를 더 자주 하는 것이 중요하다고 봤지만, 현재 공격적 테스트의 대부분을 운영 자산 대상으로 지속 실행한다는 응답은 18%였고, 52%는 1년 안에 그렇게 될 것으로 봤다. 빨리 찾는 것과 빨리 고치는 것은 다르다. 70%는 취약점이 실제로 수정됐는지 재테스트로 확인하기를 원했고, 67%는 검증된 악용 가능성을 기준으로 복구 우선순위를 정하기를 원했으며, 57%는 수정안이나 복구 티켓의 자동 생성을 원했다.
기존 공급사부터, 부족한 부분만 스타트업
응답자의 44%는 기존 보안 플랫폼의 새 기능부터 살펴보고, AI 네이티브 업체부터 찾는 비율은 21%에 그쳤다. 47%는 기존 공급사가 해결하지 못하는 역량 부족을 메울 때만 스타트업을 선택한다고 답했다. 다른 한쪽의 현실은 공격 표면 그 자체다. 기업의 92%는 이미 직원용 생성형 AI 도구를 실제 운영에서 쓰고 있고, 83%는 코딩 어시스턴트나 에이전트를 쓰며, 55%는 MCP 서버나 에이전트 연동을 실제 운영에 투입했다. 47%는 직원이 민감 데이터를 AI 도구에 넣는 것을 가장 걱정했고, 46%는 에이전트의 권한 초과나 침해를 걱정했으며, 63%는 보안 심사로 최소 일부 AI 도입이 늦어졌다고 답했다.
이 조사를 읽을 때는 한 가지 유보가 필요하다. a16z는 투자사이고 글에 이름이 나온 여러 회사는 그 투자처이며, 숫자는 응답자 100명의 자기 보고와 2026년에 대한 회상에 근거한 것으로 업계 전체의 전수조사가 아니다. 그 가치는 방향에 있다. 보안 예산을 둘러싼 쟁점은 AI 보안 도구를 살 것인가에서 누가 실제로 고쳐졌음을 증명할 수 있는가로 옮겨갔다. 구매자에게 내년 선정의 물음은 기능 목록이 아니라, 공급사가 자사 환경에서 발견, 수정, 재테스트의 순환을 돌릴 수 있는가이다.
