경쟁사의 사각지대는 사흘 만에 메워졌다 — 우리 '기기에서 실행'은 아직 빈칸이다

사흘 사이에 생긴 줄

(외부 공식자료) Palo Alto Networks 는 11월 2일 블로그에서 Cortex XDR 을 Claude Cowork 의 로컬 가상머신 안쪽에 경량 센서로 집어넣는다고 밝혔다. 이유도 같은 글에 적어뒀다 — 그 VM 격리가 "EDR 에이전트가 에이전트의 활동을 감시하는 것을 막는다". 다음 날 11월 3일 CrowdStrike 는 Fal.Con Europe 에서 Falcon Guardian 을 Cowork 안에 네이티브로 넣는다고 발표했다. Anthropic 최고상업책임자 인용까지 붙였고, 윈도우와 맥 양쪽이라고 못박았다. 11월 2일 SentinelOne 과 Evoke Security 도 같은 내용을 각각 냈다.

사흘, 벤더 넷. 캠페인이 아니라 응답이다. CrowdStrike 는 보도자료에 "엔터프라이즈 고객 수요에 따라" 라고 썼다.

우리 정본의 한 줄이 질의서 항목이 되었다

(제품 정본) 우리 제품 제약에는 "서버는 계정·공유 자료·협업 상태를, 기기는 로컬 업무 실행을 맡는다" 가 적혀 있다. 지금까지 이 문장은 아키텍처 설명이었다. 이번 주부터는 보안 담당자가 읽는 문장이다.

질문은 하나로 좁혀진다. 그 기기에서 에이전트가 무엇을 했는지, 우리가 만든 화면 밖에서 확인할 방법이 있나.

경쟁사는 이제 "있다, 당신이 이미 쓰는 Falcon 이나 Cortex 로 보인다" 고 답한다. 우리 답은 (구현 확인) 아직 없다 — 통합도, 감사 가능한 내보내기 형식도.

더 불편한 쪽은 축적이다. 재사용되는 절차가 쌓일수록 사람이 매번 들여다보지 않는 실행이 늘어난다. 정본은 야간 무인 실행을 핵심 약속으로 삼지 않기로 했지만, 축적의 가치 자체가 '덜 보면서 더 돌리는' 방향을 가리킨다. 그 방향으로 한 발 갈 때마다 저 질문은 한 칸 커진다.

반대 의견: 우리 고객은 SOC 가 없다

맞다. 1차 도입자 가설은 소규모 팀이고, Falcon 을 깔아둔 팀이 아니다. 당장 거래가 깨질 항목은 아니다.

그런데 두 가지가 남는다. 첫째, 카테고리 언어를 지금 엔터프라이즈 보안 매체가 쓰고 있다. '데스크톱 AI 에이전트 = EDR 사각지대' 가 기본 틀로 굳으면, SOC 없는 팀의 IT 담당자도 그 문장을 빌려서 우리에게 묻는다. 둘째, 국내 B2B 에서 작은 팀의 상당수는 큰 회사의 협력사다. (미검증 가설) 보안성 검토 체크리스트는 팀 규모를 보지 않는다.

(제안) Falcon 통합을 우리가 살 수는 없다. 하지만 네 벤더가 파는 것의 본질은 '에이전트가 접근한 시스템·바꾼 파일·실행한 명령'의 기록이다. 우리가 축적물로 만들려는 것과 재료가 같다. 없는 건 받는 사람이 팀장이 아니라 보안 담당자일 때의 서식뿐이다.

이번 주에 할 일

보안 한 장 문서를 실측으로 쓴다. 추정 금지. 에이전트를 한 번 돌리고 실제로 뜬 프로세스, 건드린 경로, 나간 네트워크 목적지를 그대로 적는다. 구현 확인된 것만 채우고 빈칸은 빈칸으로 둔다.
실행 기록에 감사용 서식을 붙인다. 승인한 사람 / 실행 시각 / 바뀐 파일, 세 칸이면 시작된다. 데모 마지막 화면을 이걸로 바꾼다.
파일럿 제안서에 "EDR 통합 없음"을 우리가 먼저 쓴다. 로컬 실행을 프라이버시로 포장하지 않는다. 대신 기록으로 대체한다고 쓰고, 그 기록을 그 자리에서 보여준다.

사흘 사이에 생긴 줄

우리 정본의 한 줄이 질의서 항목이 되었다

반대 의견: 우리 고객은 SOC 가 없다

이번 주에 할 일

출처