KT는 경력 5년을 요구한다. 동시에 AI 모의침투 에이전트도 개발하라고 한다

KT가 2026년 10월 26일부터 11월 1일까지 레드팀(모의침투, AI Pentesting) 경력직을 모집한다. 정규직이며 근무지는 판교다. 웹·API·시스템·네트워크 침투테스트, APT 진단, MITRE ATT&CK 기반 공격 시나리오와 관련한 경력 5년 이상을 요구한다.

공고에는 기존 보안진단 경험에 더해 LLM 기반 보안분석·소스코드분석·취약점 진단, AI 활용 진단 자동화, Pentest Agent 개발이 함께 들어 있다. 모의해킹 전문가로 일한 사람이 그 작업의 일부를 수행할 소프트웨어까지 설계해야 한다는 요구다.

다만 KT가 이번에 처음 AI 모의해킹 인력을 채용했다고 주장할 수는 없다. 9월 15~27일의 기존 모의해킹 공고도 비슷한 AI Agent 개발 요건을 포함했다. 10월 공고는 직무명을 레드팀·AI Pentesting으로 보다 명확히 표시한 추가 채용 사례이지, 조직 신설이나 기존 인력 미충원의 증거는 아니다.

한 채용공고에 세 가지 보안 역할이 겹쳐 있다

첫째는 침투테스트를 직접 기획·수행하는 전문성이다. 웹과 API에서 발견한 이상 징후가 실제 위험인지 확인하고, 네트워크·시스템을 포함한 공격 경로를 분석하는 일이다. 자동 도구가 발견한 결과를 모두 유효한 침해 가능성이라고 인정할 수는 없다.

둘째는 공격자 전술·기술·절차(TTP)를 분석하고 MITRE ATT&CK을 참고해 검증 시나리오를 구성하는 능력이다. 시스템의 개별 취약점뿐 아니라 여러 조건이 함께 작동할 때 어떤 보안 통제가 실패할 수 있는지 확인하는 역할이다.

셋째는 보안 전문가가 반복해 수행한 절차 중 자동화할 수 있는 부분을 AI 시스템으로 구현하는 개발 능력이다. KT는 이 세 가지를 같은 직무 안에서 요구한다. 실제 조직에서 그 업무들이 차지하는 비중이나 출시된 제품 범위는 공고로 확인되지 않는다.

모의해킹은 원래 자동화돼 있었다. 이번에는 무엇이 다른가

취약점 스캐너, 검사 스크립트, 침투테스트 프레임워크 등 기존 보안진단 도구는 이미 많은 반복 작업을 자동으로 수행해 왔다. 그러므로 AI가 처음으로 보안진단을 자동화했다고 설명하면 틀리다.

AI 에이전트가 새롭게 시도할 수 있는 부분은 승인된 검사를 실행한 후 결과를 읽고 추가 확인이 필요한 영역을 식별하거나 여러 증거를 조합해 후속 검증을 제안하는 것이다. 반드시 모든 과정을 완전 자율로 수행한다는 뜻은 아니다.

자동화 수준이 높아질수록 테스트 대상과 권한, 허용된 도구, 종료·중단 조건, 기록, 결과 재현성을 정의할 필요가 생긴다. 일부 판단 과정을 시스템으로 옮기는 것과 시스템이 독립적인 최종 보안 판단을 내리도록 허용하는 것은 다른 문제다.

10월 22일 SK쉴더스 공고에는 더 직접적인 표현이 있다

SK쉴더스는 사이버보안AI랩스그룹의 PEN-AI 서비스 개발·진단 인력을 10월 22일부터 모집한다. 정규직이며 판교 본사 근무, 취약점 진단 경력 3년 이상을 요구한다. 웹 애플리케이션 진단, 외부 노출 자산·공격 표면 분석, 연계 공격 시나리오 검증이 기본 업무다.

여기에 'AI Agent 기반 웹 취약점 진단 및 침투테스트 자동화 기능 개발', '공격 시나리오 생성·실행·결과 분석 자동화'가 명시돼 있다. 특히 '보안 전문가의 진단 노하우를 AI 및 자동화 로직으로 구현'한다는 표현이 중요하다.

KT와 SK쉴더스가 공동 제품을 개발한다는 뜻은 아니다. 사업모델과 내부 시스템도 동일하다고 볼 수 없다. 그러나 두 회사 모두 기존 진단 경험과 AI 자동화 개발 역량을 하나의 직무에서 결합한다는 공개된 인재 수요를 확인할 수 있다.

개인의 보안 노하우를 조직의 반복 가능한 시스템으로 옮길 수 있을까

숙련된 보안전문가는 스캐너의 경고를 그대로 받아들이지 않는다. 서비스 환경, 권한설정, 네트워크 구조와 다른 증거를 조합해 현실적인 위협인지 판단한다. 단순히 결과가 많이 나온다는 이유로 진단의 품질이 높은 것은 아니다.

이러한 업무 중 재현 가능한 판단 규칙과 절차가 있다면 소프트웨어와 AI 도구에 반영할 가능성이 있다. 전문가가 검사 기준을 설계하고, 승인된 에이전트가 일부 점검과 증거정리를 실행하며, 사람이 위험성과 수정조치의 적절성을 확인하는 방식이다.

하지만 구축·운영·오류 검증 비용도 발생한다. 자동화가 정확성이나 비용을 이미 개선했다고 주장할 수는 없다. 의미 있는 사업가치가 생기려면 새로운 고객환경에서도 반복적으로 이용할 수 있고 결과를 검증할 수 있어야 한다.

AI를 보호하는 보안과 AI로 보안진단을 하는 일은 다르다

AI Security는 LLM·RAG·에이전트 등 AI 시스템 자체의 공격 표면과 위험을 평가하는 업무를 포함할 수 있다. 반면 AI Pentesting은 AI를 진단 도구로 활용해 웹·API·시스템의 보안을 검증하는 활동이다. 두 분야는 연관될 수 있지만 같은 문제가 아니다.

이번 KT 레드팀과 SK쉴더스 PEN-AI 채용의 중심에는 기존 시스템의 취약점을 AI 도구로 점검·자동화하는 업무가 있다. SK쉴더스가 별도로 모집한 AI 보안 연구원은 AI Security·Safety 관점의 LLM, RAG, MCP, Agent 보안연구도 수행한다.

채용을 평가할 때 'AI 보안'이라는 표현만으로 직무를 뭉뚱그리면 다른 인재를 찾게 될 수 있다. 무엇을 진단하는지, AI를 대상 시스템으로 보는지 도구로 쓰는지, 결과의 책임을 누가 지는지 구분해야 한다.

에이전트가 찾아낸 취약점은 누가 유효하다고 결정할까

AI 도구가 취약점 후보를 많이 제시해도 실제 위협으로 재현 가능한 항목이 적다면 전문가의 검증 부담은 오히려 늘어날 수 있다. 반대로 검사 건수가 적어도 핵심 고객시스템에 중요한 보안문제를 제대로 찾으면 더 높은 가치가 있을 수 있다.

성과를 검증하려면 발견 정확도, 중요한 진단 범위의 포괄성, 전문가 검증을 포함한 전체 투입시간, 승인된 테스트 범위 준수, 재현성과 기록을 구분하는 것이 적절하다. 진단 후 발견된 문제를 실제로 수정할 수 있는지도 별도의 성과다.

이 항목들은 KT나 SK쉴더스의 공식 KPI가 아니라 반석의 조건부 평가 기준이다. 시스템의 자동화율이 높아졌다는 사실만으로 고객의 보안 수준이나 사업 수익성이 개선됐다고 단정할 수 없다.

AI Pentesting이 보안전문가의 일자리를 없앤다고 말할 수 있을까

이번 채용은 오히려 실제 침투테스트와 취약점 진단의 경력을 요구한다. KT는 관련 5년 이상, SK쉴더스는 3년 이상이다. 두 회사의 공고만으로 보안전문가의 대규모 감원이나 AI에 의한 완전 대체를 주장할 수 없다.

다만 같은 직함을 가진 인력에게 요구되는 기술 조합은 달라질 수 있다. 기존 침투테스트의 실무자, AI 에이전트를 개발하는 엔지니어, 보안 판단과 자동화 설계를 함께 수행하는 융합형 인재는 서로 다른 강점과 검증 과제를 갖는다.

기업은 AI 활용 경력이나 자격증 목록뿐 아니라 어떤 진단을 자동화했는지, 오류를 어떻게 검증했는지, 어떤 보안통제와 승인 절차를 설계했는지 확인할 필요가 있다. 이러한 분류는 시장의 공식 직업군이 아니라 이번 공고의 역량을 해석하기 위한 것이다.

KT 지원자는 11월 1일 마감 전에 무엇을 확인해야 할까

KT의 모집 분야는 레드팀(모의침투, AI Pentesting), 정규직, 판교 근무다. 4년제 대학 기졸업자, 남성 병역필 또는 면제, 해외출장·체류에 결격 사유가 없는 지원자를 대상으로 한다. MITRE ATT&CK 기반 검증과 AI Pentesting 경험, 웹·앱 진단 경력 5년 이상을 요구한다.

해킹대회 수상·버그바운티 실적과 관련 보안진단·AI Agent 개발 경험 등은 우대사항으로 표시된다. 지원은 KT 채용 홈페이지(recruit.kt.com)에서 온라인으로 진행한다. SK쉴더스 PEN-AI는 별도의 회사 채용으로 11월 15일까지 접수한다고 공개됐다.

KT 공고의 마감 날짜는 11월 1일로 일치하지만 일부 재게시 사이트의 마감 시각은 다르게 표기돼 있다. 지원자는 공식 접수 페이지에서 정확한 종료 시각을 확인해야 한다. 모집정원이나 실제 프로젝트별 업무 비율은 공개되지 않았다.

아직 확인할 수 없는 성과는 구분해야 한다

두 회사의 공고에서 확인되는 것은 보안 실무경험과 AI 진단 자동화 개발을 결합한 인재를 모집한다는 사실이다. KT가 이미 모든 침투테스트를 에이전트로 전환했거나, 9월 채용의 미충원 때문에 10월에 다시 공고했다는 주장은 확인되지 않는다.

SK쉴더스 PEN-AI의 실제 고객 매출, 수동 진단 대비 검증 정확도·시간 절감률, 자동화된 검사로 발견한 취약점의 유효 비율도 공고에서 제공되지 않는다. 두 기업 사이의 제휴나 공동 개발을 시사하는 근거도 없다.

이번 사례는 실현된 AI 보안 서비스 성과가 아니라 시장에서 어떤 역량을 구매하려 하는지 보여주는 채용 증거다. 직무명의 변화보다 보안전문가의 판단과 소프트웨어 구현역량이 어떻게 결합되는지에 주목해야 한다.

BANSEOG VIEW

BANSEOG VIEW | 전문가의 판단을 시스템으로 옮길수록 그 판단을 검증할 사람이 중요하다

KT와 SK쉴더스 공고는 단순히 AI를 써본 사람을 찾는다는 이야기가 아니다. 기존의 모의침투 경험, 공격 경로와 위험도 해석, AI 기반 자동화 구현을 하나의 채용요건으로 묶고 있다.

보안 진단 경험을 소프트웨어 자산으로 구현한다면 반복적인 검사 절차를 재사용할 여지가 생긴다. 그러나 진단 결과가 유효한지, 에이전트가 승인 범위를 지키는지, 어떤 작업을 사람에게 남기는지는 별도 검증과 통제가 필요하다.

채용전략에서 중요한 것은 '보안 엔지니어'라는 직함만이 아니다. 기존 실무 전문성과 AI 개발을 어떻게 결합했는지, 그 결과가 고객 시스템에서 정확하고 안전하게 작동했는지를 평가하는 것이다. 실제 효율·수익 개선은 아직 공개되지 않았다.

SOURCES

근거가 된 원자료

2026년 10월 28일 작성. KT 10월 26일~11월 1일 레드팀 경력채용(정규직·판교·5년 이상) 및 SK쉴더스 10월 22일~11월 15일 PEN-AI 모집(3년 이상)은 회사 등록 공고·공신력 있는 재게시본을 교차 확인했다. KT는 9월에도 같은 AI Pentest Agent 개발역량을 요구해 10월 최초 도입이라고 주장할 수 없다. KT 마감 시각은 재게시 사이트에서 상충하므로 공식 접수처 확인을 권장한다. 자동화·생산성·진단 정확도·감원 효과 및 모집인원은 확인되지 않았다. AI Security와 AI를 사용한 침투테스트는 다른 역할이다. 미래 역량변화 및 KPI는 반석의 조건부 분석.