AI 에이전트 보안 솔루션 비교 2026: 사이라의 오아시스 인수와 오늘 당장 할 일

※ 고지 — 이 글에는 제휴 마케팅 링크가 없습니다. 본문의 모든 링크는 제휴 태그가 붙지 않은 일반 링크이며, 링크를 눌러도 필자에게 수수료가 발생하지 않습니다.

※ 가격·수치 조회 시점 — 본문의 모든 가격과 밸류에이션은 2026년 9월 2일 기준으로 확인한 값입니다. 클라우드 마켓플레이스 가격과 비상장사 밸류에이션은 변동이 잦으니, 계약 전에는 반드시 원문 페이지에서 다시 확인하시기 바랍니다.

※ 원화 환산 — 편의상 1달러 = 1,400원으로 계산했습니다[E]. 실제 계약 시 환율·부가세(해외 사업자 결제 시 통상 10% 별도)에 따라 달라집니다.

침해 사고 보고서의 ‘공격자’ 칸이 비어 있다면, 그건 사고가 아닌 걸까.

지난 7월 28일, 데이터 보안 기업 사이라(Cyera)가 비인간 신원(NHI, Non-Human Identity) 보안 스타트업 오아시스 시큐리티(Oasis Security)를 약 10억 달러(약 1조 4,000억 원)에 인수하겠다는 의향서에 서명했습니다(TechCrunch). 명분은 한 문장입니다. 폭증하는 AI 에이전트를 지키기 위해서.

10억 달러짜리 명분치고는 얇아 보입니다. 그런데 이 거래에서 가장 흥미로운 건 가격도, 기술도 아닙니다. 6주 전에 거의 같은 물건이 5분의 1 가격에 팔렸다는 사실입니다.

이 글은 세 가지를 다룹니다. ①이 거래가 무엇을 말하는가 ②지금 살 수 있는 NHI 보안 제품에는 무엇이 있고 어떤 기준으로 고르는가 ③10억 달러도, 5만 달러도 없는 팀이 오늘 오후에 실제로 칠 수 있는 명령은 무엇인가.

사라진 공격자

오아시스가 말하는 위협 모델은 놀랄 만큼 단순합니다. AI 에이전트가 파일럿에서 프로덕션으로 넘어가는 속도가, 어떤 신원 관리 모델이 감당하도록 설계된 속도보다 빨랐다는 것. 그래서 유효한 자격증명을 손에 쥔 에이전트 하나가 외부 침입자 없이도 데이터를 노출시키고 운영을 멈춰 세울 수 있다는 겁니다(Oasis Security).

이 문장을 그림으로 바꿔 봅시다. 새벽 3시, 누군가 창문을 깨고 들어온 게 아닙니다. 6개월 전 우리가 발급해 준 출입카드를 든 인턴이 전 층을 돌아다니며 캐비닛을 열고 있습니다. 그 인턴은 퇴사한 적이 없습니다. 애초에 입사한 적도 없습니다. 인사 시스템 어디에도 이름이 없기 때문입니다. 그를 만든 개발자는 이미 팀을 옮겼고, 카드가 아직 살아 있다는 걸 아는 사람은 없습니다.

보안 업계가 20년간 다듬어온 신원 관리는 전부 사람을 전제로 만들어졌습니다. 입사가 있고 퇴사가 있고 분기별 접근 권한 재승인이 있습니다. 서비스 계정, IAM 롤, API 키, 토큰 — 이른바 비인간 신원은 늘 그 체계의 사각지대였지만, 그동안은 수가 적어서 견딜 만했습니다.

지금은 아닙니다. 포춘 500 기업 내부의 비인간 신원은 인수 발표 직전 6개월 동안 약 500% 증가했고, 대기업에서 가장 빠르게 늘어나는 신원 범주가 됐습니다(ThePaypers). 오아시스가 인용하는 가트너 전망은 더 극단적입니다. 2028년이면 글로벌 포춘 500 기업 한 곳당 평균 15만 개 이상의 AI 에이전트를 쓰게 된다는 것 — 불과 몇 해 전만 해도 그 숫자는 15개 미만이었습니다(Oasis Security).

15개는 엑셀 시트로 관리합니다. 15만 개는 그냥 관리하지 않습니다.

값이 붙은 건 기술이 아니라 서사다

거래 구조부터 봅시다. 대금은 대부분 현금입니다. 약 7억 달러(약 9,800억 원)가 현금, 나머지는 사이라 주식입니다(Calcalist). 오아시스는 2022년에 설립돼 액셀·크래프트 벤처스·사이버스타츠 등으로부터 약 1억 9,500만 달러(약 2,730억 원)를 조달했고, 액셀과 사이버스타츠는 사이라와 오아시스 양쪽 모두의 투자자입니다(TechCrunch).

사이라 쪽 체급도 만만치 않습니다. 120억 달러(약 16조 8,000억 원) 밸류에이션으로 6억 달러(약 8,400억 원)를 조달했고, 누적 조달은 약 23억 달러(약 3조 2,200억 원), ARR은 1억 5,000만 달러(약 2,100억 원) 이상입니다. 그리고 오아시스는 리프트(Ryft), 지니 시큐리티(Genie Security)에 이은 올해 세 번째 인수입니다(이 문단의 네 수치는 모두 TechCrunch 보도 기준입니다).

여기서 비교 대상 하나를 놓고 보면 그림이 달라집니다. 세일포인트(SailPoint)는 이 발표 약 6주 전에 NHI 전문 업체 엔트로(Entro)를 **약 2억 달러(약 2,800억 원)**에 인수했습니다. 엔트로의 누적 조달은 약 2,400만 달러(약 336억 원), 오아시스는 약 1억 9,500만 달러입니다.

출처 주석 — 엔트로 인수 금액(약 2억 달러), 양사 누적 조달액, ‘약 6주 전’이라는 시점 비교는 모두 쿠핑거콜의 분석 글 Cyera Buys Its Way Into Identity에 기재된 값을 그대로 인용한 것입니다. 세일포인트 공식 보도자료 원문은 이 글을 쓰는 시점에 확보하지 못했습니다. 7월 28일에서 6주를 역산하면 2026년 6월 중순이 되지만, 정확한 발표일은 확인하지 못했으므로 추정[E]으로 읽어 주십시오.

조달액 차이가 8배니까 밸류 5배가 완전히 비합리적이라고 말하려는 게 아닙니다. 제가 말하려는 건 이겁니다. 여섯 주 만에 같은 카테고리의 가격표가 다섯 배로 다시 쓰였고, 그 재작성을 정당화한 건 새로 나온 시장 데이터가 아니라 ‘에이전틱 AI’라는 서사였습니다. 쿠핑거콜도 같은 지적을 합니다 — 프리미엄은 독립적인 시장 검증이 아니라 내러티브를 반영한다고.

이건 비난이 아니라 관찰입니다. 그리고 이 관찰은 구매자에게 실질적인 의미가 있습니다. 서사에 붙은 프리미엄은 결국 누군가 지불합니다. 보통은 마지막에 계약서에 서명하는 쪽입니다.

이 거래가 스스로를 배신하는 세 지점

10억 달러의 논리는 명확합니다. 각 에이전트 뒤에 있는 신원, 그 에이전트가 요청하는 접근 권한, 그리고 그 접근이 도달하는 데이터 — 이 셋을 하나의 통제 지점에서 잇겠다는 것. 개념적으로는 아름답습니다. 데이터 보안(사이라)과 신원 보안(오아시스)이 만나는 자리가 정확히 거기니까요.

그런데 발표문 안에 이미 반대 방향으로 당기는 힘이 세 개 있습니다.

첫째, 인수 종료 후 오아시스는 사이라 내부의 독립 유닛으로 남습니다(Calcalist). 독립 유닛을 유지한다는 건 통합 컨트롤 플레인을 뒤로 미룬다는 뜻입니다. 거래의 가치 논거와 1년 차 통합 계획이 정반대를 가리킵니다.

둘째, 파는 상대가 다릅니다. 오아시스는 신원·IAM 팀에 팔고, 사이라는 데이터 보안·프라이버시·컴플라이언스 조직에 팝니다. 예산 주인이 다르고 구매 사이클이 다릅니다. 쿠핑거콜은 이것을 보안 인수가 기대에 못 미치는 가장 흔한 이유로 꼽습니다. 기술 통합보다 어려운 게 이 부분입니다.

셋째, 둘 다 없는 게 있습니다. 자격증명 볼트도, 인증서·PKI 수명주기 관리도 사이라와 오아시스 어느 쪽도 갖고 있지 않습니다. 쿠핑거콜이 꼽은 이 시장 리더 아홉 곳이 전부 가진 기능입니다. 도입을 검토한다면 볼팅과 PKI를 여전히 어디에 의존하게 되는지부터 확인해야 합니다.

여기에 덧붙일 것들. 사이라는 이미 사람과 비인간의 데이터 접근을 다루는 신원 모듈을 출하하고 있었습니다 — 즉 이 거래는 빈 칸을 메우는 게 아니라 직접 만든 것을 일부 대체합니다. 플랫폼을 확장하면서 한 해에 세 건을 인수하는 실행 부담도 있고, ARR 1억 5,000만 달러에도 흑자와는 거리가 멉니다. 그리고 결정적으로, 이건 아직 의향서입니다. 선행 조건이 남아 있고 종료일은 공개되지 않았습니다(TechCrunch).

그럼 반대편(세일포인트·엔트로)은 안전한 선택인가

공정하게 보려면 비교 대상의 약점도 같이 놓아야 합니다. 앞서 언급한 세일포인트·엔트로 조합도 다음과 같은 지점을 확인해야 합니다[E].

• NHI가 본류가 아닙니다. 세일포인트의 본진은 사람 신원 거버넌스(IGA)입니다. NHI는 그 위에 얹는 모듈에 가깝고, 로드맵 우선순위에서 뒤로 밀릴 가능성을 배제하기 어렵습니다.
• 엔트로도 볼트와 PKI가 없습니다. 사이라·오아시스를 비판한 그 잣대는 여기에도 똑같이 적용됩니다. 5분의 1 가격에 산 쪽이라고 해서 없는 기능이 생기지는 않습니다.
• 구축 기간과 총소유비용(TCO)이 다릅니다. IGA 계열 제품은 통상 도입 프로젝트 규모가 크고, 컨설팅·커스터마이징 비용이 라이선스 비용과 별개로 붙습니다. “저렴하게 인수됐다"는 사실은 고객 가격과 아무 관계가 없습니다.
• 소형 팀 흡수 리스크. 누적 조달 2,400만 달러 규모의 팀이 대형 조직에 흡수될 때 핵심 인력이 유지되는지는 인수 후 12개월이 지나야 알 수 있습니다.

정리하면, 두 거래 모두 “AI 에이전트 신원"이라는 새 문제를 기존 플랫폼에 붙이는 시도이고, 어느 쪽도 아직 완결된 답을 갖고 있지 않습니다.

그래서 무엇을 살 수 있나 — NHI 보안 제품 지형

“AI 에이전트 보안 솔루션"을 찾아 여기까지 오셨다면 뉴스보다 이 표가 필요하실 겁니다. NHI 영역은 하나의 제품군이 아니라 성격이 다른 네 층이 섞여 있습니다. 층을 구분하지 않고 비교하면 견적서가 서로 말이 안 통합니다.

여기서 이번 인수의 의미가 선명해집니다. 사이라+오아시스는 ①번 층에 데이터 맥락을 더한 조합이고, ②·③번은 여전히 비어 있습니다. CyberArk 계열이 ②③을 폭넓게 갖고 있는 것과 대비됩니다(참고로 CyberArk는 2024년 Venafi를 인수해 머신 아이덴티티 라인을 확보했습니다. 이후의 대형 지배구조 변동은 검증하지 못했으므로 여기서는 다루지 않습니다[E]).

표에 대한 주의 — 위 분류는 공개된 제품 소개 자료를 기준으로 한 요약이며, 벤더별 기능 경계는 계속 움직입니다[E]. 실제 계약 전에는 반드시 PoC로 직접 확인하시기 바랍니다. 필자는 위 제품 중 어느 곳과도 이해관계가 없습니다.

고르기 전에 던져야 할 다섯 질문

제품 데모는 전부 좋아 보입니다. 갈라내는 건 다음 다섯 개입니다.

1. 어느 층을 사는가. 지금 우리에게 없는 게 “목록"인가 “금고"인가. 목록이 없으면 ①, 키가 코드에 박혀 있으면 ②가 먼저입니다. 순서를 바꾸면 비싼 제품이 빈 화면을 보여줍니다.
2. 커버리지는 어디까지인가. AWS·GCP·Azure는 기본이고, GitHub Actions·Snowflake·Databricks·Salesforce·쿠버네티스·온프레미스 레거시까지 읽는지. 우리 자격증명이 실제로 사는 곳 목록을 먼저 쓰고 그 목록으로 벤더를 채점하십시오.
3. 읽기만 하는가, 끌 수 있는가. 발견 제품 상당수는 리포트까지입니다. 실제 회수·회전은 결국 볼트나 클라우드 IAM이 합니다. “탐지 후 무엇이 자동으로 실행되는가"를 계약서 수준에서 확인해야 합니다.
4. 에이전트/MCP 시대의 위임을 다루는가. 사람이 승인한 권한을 에이전트가 이어받아 다른 도구를 호출하는 구조에서, 그 위임 사슬을 기록하고 끊을 수 있는지. 이 부분은 2026년 현재 대부분의 제품이 아직 성숙하지 않았습니다[E].
5. 로그를 어디에 두는가. 국내 규제 대응상 중요합니다. 다음 절에서 이어집니다.

한국에서 이걸 산다면 — 규제·경로·가격

해외 기사에는 없지만 국내 담당자에게는 이쪽이 더 급한 문제입니다.

규제상 이미 요구되고 있는 것

NHI 관리는 “AI 시대의 새 숙제"이기 이전에, 국내 규제가 이미 요구해 온 항목입니다. 서비스 계정과 API 키도 시스템 접근 권한이기 때문입니다.

• **개인정보보호법 제29조(안전조치의무)**와 하위 고시인 「개인정보의 안전성 확보조치 기준」 — 접근 권한의 관리(권한 부여·변경·말소)와 접근통제를 요구합니다. 특히 접근 권한 부여·변경·말소 내역을 기록하고 최소 3년간 보관해야 한다는 조항은, “누가 만들었는지 모르는 서비스 계정"과 정면으로 충돌합니다.
• ISMS-P 인증기준 2.5(인증 및 권한관리)·2.6(접근통제) — 특히 특수 계정·권한 관리와 접근권한 검토 항목이 그대로 걸립니다. 심사에서 “사람 계정은 반기 검토를 하는데 서비스 계정은 목록조차 없다"는 지적은 흔한 유형입니다.
• KISA 침해사고 대응 가이드·클라우드 보안 가이드 — 유출 자격증명을 통한 침입은 국내에서도 반복되는 유형이고, 대표적인 경로가 공개 저장소에 커밋된 액세스 키입니다.

조항 번호와 인증기준 항목 번호는 개정될 수 있습니다. 심사·감사 대응 문서에 인용하실 때는 시행 중인 최신 고시·인증기준 원문을 확인하십시오.

실무적으로 이 말은, NHI 인벤토리를 만드는 일이 “AI 대비 선제 투자"가 아니라 이미 밀린 숙제라는 뜻입니다. 예산 승인을 받을 때 이 프레임이 훨씬 잘 통합니다.

데이터 국외 이전이라는 관문

Cyera는 데이터 보안 제품이고, 스캔 대상이 개인정보가 담긴 스토리지입니다. 국내 도입 시 개인정보 국외 이전 요건(동의 또는 법정 예외, 이전 사실 공개, 위탁·재위탁 명시)이 걸립니다. 리전 선택(국내 리전 또는 최소한 메타데이터만 이전하는 구조인지), 메타데이터와 원문 데이터의 분리 여부, 하위 처리자 목록 — 이 세 가지를 PoC 전에 받아 두는 편이 좋습니다. 여기서 막혀 도입이 무산되는 사례가 국내에서는 드물지 않습니다[E].

국내 도입 경로

솔직하게 적겠습니다. 2026년 9월 2일 기준으로 Cyera와 Oasis Security의 한국 공식 총판 발표를 확인하지 못했습니다. 따라서 현실적인 경로는 다음 정도입니다[E].

• AWS 마켓플레이스 구매 — 뒤에서 다룰 공개 가격으로 바로 계약 가능하며, 기존 AWS EDP(약정 할인) 소진에 잡히는 경우가 많아 조달 절차가 간단해집니다. 다만 청구는 달러이고 한국어 기술지원은 별도 확인이 필요합니다.
• 글로벌 세일즈 직접 문의 — 아시아태평양 조직을 통한 계약. 원화 계약·세금계산서 발행 여부를 초기에 물어보십시오.
• 국내 MSP·보안 총판 경유 — HashiCorp·CyberArk 같은 오래된 제품군은 국내 파트너망을 통해 원화 계약과 한국어 지원이 가능한 사례가 있습니다. 신생 NHI 벤더는 아직 그렇지 않은 경우가 많습니다.

국내 도입 레퍼런스에 관해서도 정직하게 적겠습니다. Cyera·Oasis의 공개된 한국 고객 사례를 찾지 못했습니다. 벤더에게 “APAC 또는 한국 레퍼런스 콜이 가능한가"를 물어보고, 없다면 그 사실 자체를 위험 요소로 계산에 넣으십시오.

가격표를 보면 누가 초대받았는지 보인다

아래 가격은 모두 2026년 9월 2일에 확인한 값입니다. 클라우드 마켓플레이스 가격은 예고 없이 바뀌니 링크에서 재확인하십시오.

출처: AWS 마켓플레이스 Oasis / Cyera. 사이라 자체 가격 페이지는 견적 문의뿐, 공개 정가가 없습니다. (다시 한번, 이 링크들에는 제휴 태그가 없습니다.)

시작점이 5만 달러, 원화로 7,000만 원이라는 건 명확한 메시지입니다. 국내 중견·중소기업 대부분은 이 시장에 초대받지 않았습니다. 연간 보안 예산 전체가 이 한 줄보다 작은 회사가 훨씬 많습니다.

그런데 여기가 진짜 아이러니입니다. AI 에이전트를 가장 겁 없이, 가장 빠르게, 가장 검토 없이 붙이는 조직이 바로 그 초대받지 못한 쪽입니다. 개발자 세 명짜리 팀이 주말에 에이전트를 만들어 프로덕션 DB에 읽기 권한을 줍니다. 그 API 키는 회전 정책도, 만료일도, 소유자 기록도 없이 발급됩니다 — 그러니 누군가 의도적으로 지우지 않는 한 3년 뒤에도 그대로 살아 있을 가능성이 높습니다[E]. 10억 달러짜리 인수는 그 팀을 위한 게 아닙니다.

예산 0원으로 오늘 오후에 칠 수 있는 명령

이 뉴스에서 건질 실질적인 교훈은 “NHI 보안 제품을 사라"가 아닙니다. 제품 없이도 지금 할 수 있는 게 있고, 사실 그게 먼저입니다. 아래는 전부 추가 비용 없이 실행할 수 있습니다(유료 항목은 따로 표시했습니다).

1단계 — 명단을 만든다 (AWS)

가장 먼저 자격증명 리포트를 뽑습니다. 계정 내 모든 사용자의 액세스 키 유무, 마지막 사용일, 회전 시점이 CSV 한 장에 나옵니다.