애플리케이션 보안 기업 Snyk는 5월 7일 Anthropic의 Claude 모델을 자사 AI 보안 플랫폼에 통합했다고 밝혔다. 기업 개발팀이 이미 쓰고 있는 보안 파이프라인 안에서 Claude가 취약점 처리와 수정 작업을 맡도록 하는 방식이다.
겉으로는 또 하나의 AI 통합 발표처럼 보인다. 하지만 이번 발표의 무게는 숫자에 있다. Snyk는 전 세계 4,500개 기업 고객을 보유하고 있으며, 기업 운영 환경 코드의 65%에서 70%가 AI로 생성되고 있다고 설명했다. 그 AI 생성 코드 가운데 거의 절반에는 취약점이 포함된다. 또 기업이 AI 모델 하나를 배포할 때마다 약 세 배에 달하는 추가 소프트웨어 구성요소가 따라붙고, 그중 82%는 서드파티 패키지에서 온다.
병목은 탐지가 아니다
Anthropic Deputy CISO Jason Clinton은 발표에서 AI 보안에서 탐지는 병목이 아니라고 말했다.
AppSec 현장을 겪어보지 않았다면 이 말은 조금 낯설 수 있다. 지난 10년 동안 보안 도구 경쟁은 대부분 탐지에 집중됐다. SAST, DAST, SCA, IaC 스캔, 컨테이너 스캔, 의존성 점검 도구는 문제가 있는 코드 줄, CVE가 붙은 오픈소스 패키지, 잘못된 이미지를 찾아낸다. 그러나 개발자가 그 경고를 이해하고, 우선순위를 정하고, 다음 취약점 더미에 묻히기 전에 고치는 일은 별개의 문제였다.
AI가 코드를 쓰기 시작하면 이 병목은 더 커진다. 경고의 양은 개발자가 하루에 수백 줄을 쓰는 속도에 묶이지 않는다. Copilot, Claude, Cursor와 여러 코드 생성 에이전트는 몇 초 만에 수천 줄을 저장소에 밀어 넣고, 그 과정에서 패키지, 컨테이너 이미지, 에이전트 도구 호출까지 함께 끌어들인다. 탐지기가 빨라도 이후 수정 흐름이 감당하지 못하면 효과는 제한적이다.
Snyk Chief Innovation Officer Manoj Nair도 AI가 개발자의 코딩 속도를 높이고 있지만 전통적인 보안은 이를 따라가지 못한다고 설명했다.
Snyk의 Claude 통합은 더 많은 탐지를 위한 기능이 아니라 수정에 초점이 있다. 스캐너가 만든 발견 사항을 Claude가 개발자가 검토하고 병합할 수 있는 수정 PR로 바꾸고, IDE와 Git 워크플로에 바로 붙이는 것이 목표다.
두 가지 제품 층위
발표에는 두 층위가 있다. 첫째는 기존 AI Security Platform 안에서 Claude를 쓰는 것이다. 코드, 의존성, 컨테이너, AI 생성 산출물, 에이전트 프롬프트와 도구 정의까지 가로질러 취약점 발견, 우선순위 지정, 자동 수정을 수행한다.
둘째는 새 제품 Snyk Evo다. 이 제품은 에이전트와 AI 도구를 대상으로 red teaming을 수행하며, 프롬프트 인젝션, 데이터 유출, 실행 시점의 도구 호출 정책 경계를 시뮬레이션한다.
MCP가 기업 환경에 퍼질수록 두 번째 층위는 더 중요해진다. 수천 개 에이전트가 수천 개 도구를 호출하는 구조에서는 도구 정의 하나하나가 공격면이 된다. Anthropic은 앞서 MCP와 관련한 11개 CVE 연구를 공개한 바 있다. 그 메시지는 분명하다. 프로토콜 계층과 애플리케이션 계층 모두에 기업용 런타임 보호가 필요하다. Snyk Evo는 이 틈을 겨냥한다.
왜 Claude인가
Snyk는 왜 다른 모델이 아니라 Claude인지 직접 설명하지 않았다. 다만 맥락은 읽힌다.
첫째, Claude는 코드 이해 능력에서 좋은 평판을 얻어왔다. Anthropic의 Claude Mythos는 SWE-bench Pro에서 높은 점수를 기록했고, 이는 Snyk가 원하는 작업, 즉 코드가 무엇을 하려는지 이해하고 실제로 병합 가능한 수정안을 내는 능력과 맞닿아 있다.
둘째, Anthropic은 AppSec 분야 자체에도 깊게 들어가고 있다. Project Glasswing에는 AWS, Apple, Cisco, Google, JPMorgan, Microsoft 등이 참여해 공개 전 Mythos Preview로 critical 취약점을 찾았다. 오랫동안 발견되지 않았던 OpenBSD 취약점도 이 프로젝트에서 나온 사례로 언급된다. Snyk 입장에서는 Claude의 AppSec 실전 경험을 고객 파이프라인으로 가져오는 셈이다.
셋째, 비용 논리도 조금 더 맞아떨어진다. AppSec 업체는 모델 비용이 구독 매출을 넘어서는 상황을 피해야 한다. Claude API의 Opus 사용 한도와 Pro, Max, Team의 rate limit 확대는 Snyk처럼 깊은 통합을 하는 업체에 유리한 변화다.
숨은 신호
이 제품의 본질은 한 AI인 Claude가 GitHub Copilot, Cursor, 사내 codegen agent 등 다른 AI가 만든 코드를 고치는 구조다.
AI는 코드 생산 비용을 낮추지만 보안 부채는 더 빠르게 쌓일 수 있다. 기업은 더 많은 사람을 고용해 그 구멍을 메우거나, 또 다른 AI를 투입해 수정 흐름을 자동화해야 한다.
Snyk는 4,500개 고객 기반을 걸고 후자의 경로에 베팅하고 있다. 통합은 이미 제공되기 시작했으며 2026년 동안 규모가 확대될 예정이다. 이 거래 자체의 크기보다 더 봐야 할 지표는 따로 있다. 앞으로 반년 뒤 기업 내부 코드 중 얼마나 많은 비중이 AI가 쓰고, AI가 검토하고, AI가 고치는 세 단계 파이프라인을 지나가게 될지다.
참고 자료: Snyk Embeds Anthropic's Claude to Advance AI-Powered Security for Software Development (GlobeNewswire / Yahoo Finance); CocoLoop, Snyk embeds Anthropic's Claude to scale AI-native application security (TipRanks)