왜 일렉트로비트는 아우토크립트를 선택했나

자동차 사이버보안은 하나의 기술이 아니다. 어떤 회사는 판매된 차량의 취약점을 탐지하고 대응하는 운영(Operation)에 강하고, 어떤 회사는 완성된 제품을 검증하는 데 강하며, 또 어떤 회사는 설계 단계부터 보안을 내재화하는 개발(Development)에 경쟁력을 갖고 있다. 아우토크립트 김덕수 대표를 만나 상장 이후의 변화부터 일렉트로비트와의 글로벌 협력까지 80여 분간 이야기를 들어보니, 인터뷰의 핵심은 하나였다. SDV 전환이 본격화되는 지금 산업이 가장 필요로 하는 것은 차량 출시 이후의 운영보다 개발 단계의 보안이며, 아우토크립트는 바로 그 영역에서 경쟁력을 축적해 왔다는 점이다. 일렉트로비트가 손을 내민 이유도, 그 협력이 한국을 넘어 글로벌 전략으로 설계된 이유도 여기에 있었다.

글 | 한상민 기자_han@autoelectronics.co.kr
IN ENGLISH







보안에도 층위가 있다

2025년 기술특례 상장을 했습니다. 상장 이후 회사 운영에서 달라진 점, 그리고 대표적인 사업 성과를 소개해 주시죠.
Deoksoo    자동차 업계는 매우 보수적인 산업입니다. 차에 어떤 기술을 탑재할 때 단순히 기술만 보는 게 아니라 이 회사가 지속 가능한지, 장기적으로 믿고 함께 갈 수 있는 회사인지를 중요하게 평가합니다. 특히 해외 기업들과 협력할 때 이런 질문을 정말 많이 받았습니다. 자동차 업계는 대부분 하드웨어 중심 기업이라 일정 규모 이상의 매출과 인력을 기본 기준으로 생각하는 경우가 많은데, 저희처럼 소프트웨어를 하는 회사는 그 기준에서 동떨어져 보일 수 있습니다. 해외 기업들과 일할 때 더 높은 신뢰와 크레딧을 확보하기 위해 상장이 필요하다고 판단했습니다.
또 하나는 자동차 사이버보안 시장 자체가 이제 막 규제 산업으로 자리 잡기 시작했다는 점입니다. Safety 규제는 25~30년에 걸쳐 축적되면서 이미 상식이 됐지만, 소프트웨어 쪽은 그렇지 않았습니다. 지능형 자동차에 사이버보안을 필수로 적용해야 한다는 논의가 본격화된 게 2020년 무렵이고, 실제 법과 규제로 제도화된 건 최근입니다. 유럽은 2024년 7월부터 관련 규제를 시행했고, 우리나라도 이제 본격적으로 대응을 시작하는 단계입니다.
상장 이후 회사의 운영 방식이 크게 달라졌다고 보긴 어렵지만, 지속적으로 정보를 공개하고 성과를 설명해야 하는 책임이 생겼습니다. 투자자들의 요구도 달라졌습니다. 저희는 기술특례 상장 기업이지만, 이제는 기술력뿐 아니라 회사가 스스로 수익을 창출할 수 있는지, 얼마나 빠르게 흑자 전환을 이룰 수 있는지에 대한 요구가 훨씬 커졌습니다.
현재 저희 보안 솔루션이 실제 양산 차량에 적용돼 운행 중인 차량은 800만 대가 넘습니다. 이게 가장 큰 사업적 성과입니다. 저희는 2022년 말부터 2023년에 걸쳐 실제 차량에 적용해 양산을 시작했고, 중국을 비롯한 글로벌 출시 차량과 국내 운행 차량에도 탑재돼 있습니다. 기술을 개발하는 것과 실제 양산차에 적용하는 것은 전혀 다른 문제이고, 저희는 이미 그 경험을 확보했다는 게 가장 큰 경쟁력이라고 생각합니다.


'자동차 사이버보안'이라고 뭉뚱그려 말하지만, 사실 그 안에서도 회사마다 잘하는 영역이 다르다고 들었습니다. 어떻게 나뉩니까?
Deoksoo    자동차 사이버보안은 크게 네 단계로 나눌 수 있습니다. 첫째, 안전하게 개발하는 것. 둘째, 제대로 개발됐는지 검증하는 것. 셋째, 차량이 판매된 이후 지속적으로 모니터링하는 것. 넷째, 발견된 문제를 운영 과정에서 해결하는 것. 이 네 단계가 모두 갖춰져야 자동차 사이버보안 체계가 완성됩니다. 그리고 지금 시장의 플레이어들은 이 네 단계 중 각기 다른 지점에서 강점을 갖고 있습니다.
과거 컨티넨탈에는 Argus Cyber Security가 있었고 이름을 바꾼 PlaxidityX 같은 조직이 자동차 사이버보안을 담당했습니다. Argus의 강점은 이미 판매된 차량에서 취약점을 찾아내고 모니터링하는, 즉 ‘운영’ 영역이었습니다. 그런데 지금 자동차 산업은 운영 단계가 아니라 새로운 전기차·SDV 플랫폼을 만드는 단계에 있습니다. 만드는 단계에는 만드는 단계에 필요한 솔루션이 따로 있습니다. 컨설팅이나 개발 단계 솔루션이 먼저 필요한 겁니다.
저희는 바로 이 개발·검증 영역에서 강점을 갖고 있습니다. 상장 과정에서도 가장 많이 평가받은 부분이 이것이었습니다. 얼마나 작은 리소스로 구현할 수 있는지, 얼마나 빠르게 동작하는지, 얼마나 적은 전력을 쓰면서도 동일한 보안 수준을 제공하는지를 경쟁사와 비교해 객관적으로 평가받았습니다. 자동차는 데이터센터처럼 전력을 쏟아부어 성능을 극대화하는 시스템이 아닙니다. 한 번 충전한 전기로 움직여야 하고, 그 전력은 일반 가정이 일주일 정도 쓰는 양에 이릅니다. 여기에 보안까지 얹으면서 컴퓨팅 자원을 과도하게 쓰면 정작 운전을 방해하게 됩니다. 그래서 개발 단계에서부터 하드웨어와 얼마나 효율적으로 최적화되는지, 얼마나 저전력으로 동작하는지가 핵심 경쟁력이 됩니다. 이건 완성된 뒤에 보안을 끼워 넣어서는 만들 수 없고, 처음 설계할 때부터 함께 짜야 하는 영역입니다.







책임이 부품사로 내려간다 

SDV로 전환하는 지금 시점에, 왜 하필 ‘개발 단계’가 승부처가 됐습니까? OEM과 부품사의 역할은 어떻게 바뀌고 있나요?
Deoksoo    OEM 입장에서 가장 큰 고민은 개발 단계입니다. 차량이 판매된 이후의 운영은 OEM이 직접 책임질 수 있지만, 개발 과정은 대부분 부품사와 함께 이뤄지기 때문입니다. 독일 OEM들은 오래전부터 부품사들에게 "보안까지 포함해서 개발해 가져오라"고 요구해 왔습니다. 부품사 부담은 커지지만, OEM은 전체 개발 속도를 높일 수 있습니다. 폭스바겐도 CARIAD를 통해 직접 다 해보려 했지만 현실적으로 쉽지 않았습니다. 반면 중국 전기차 기업들은 처음부터 SDV 구조로 출발했기 때문에 OEM 주도 개발이 자연스러웠습니다.
국내에서도 지난 2~3년은 OEM이 상당 부분을 직접 지원하는 시기였습니다. 하지만 앞으로는 부품사들이 스스로 사이버보안을 구현해 가져와야 합니다. 그래야 책임도 명확해지고, 리콜이나 품질 문제에서도 역할이 분명해지기 때문입니다. 올해와 내년을 기점으로 이 변화는 더 빨라질 것으로 봅니다. LG전자, 현대모비스, HL만도 같은 대형 부품사들은 이미 준비를 상당히 하고 있지만, 그들 역시 자동차 사이버보안을 모두 자체 해결할 수는 없어서 전문 기업과의 협력이 계속 필요합니다.
Euro 7 시행도 이 흐름을 가속하고 있습니다. 배출가스나 타이어 분진 같은 환경 규제 관련 제어기에 대해 소프트웨어가 변조되지 않았음을 증명해야 하는 안티 템퍼링 요구가 생겼습니다. 기존에는 인포테인먼트나 텔레매틱스 같은 크리티컬한 제어기 위주로 보안을 적용했다면, 이제는 훨씬 더 많은 부품으로 요구가 확산되는 단계입니다. 부품사 입장에서는 "제어 기능만 잘 만들면 됐던" 시대에서, "이 소프트웨어가 변조되지 않았다는 것을 증명하라"는 요구까지 감당해야 하는 시대로 넘어간 겁니다.
조직도 이 변화를 따라가고 있습니다. Safety 조직은 오래전부터 있었지만 Cybersecurity는 최근에 생긴 영역입니다. 개발 단계에서 보안을 설계하는 조직, 결과를 검증하는 품질 조직, 판매 후 모니터링하는 운영 조직, 법규 인증 조직까지 OEM에서는 이미 나뉘어 있습니다. 반면 많은 부품사는 아직 별도 조직 없이 품질 조직 안에서 담당자 한 명이 처리하는 수준입니다. UN R155 이후 가장 어려워진 부분도 공급망입니다. OEM은 부품사에게 "보안을 갖춘 상태로 개발해서 가져오라"고 요구할 수밖에 없고, 심지어 보안 테스트 항목과 평가 기준까지 OEM이 정해주는 경우도 많습니다.


Zonal E/E 아키텍처로 전환하면서 개발 단계 보안의 중요성이 더 커지고 있다는 이야기도 있던데요. 실제 침투 테스트에서는 어떤 현실을 보고 계십니까? 
Deoksoo    조널 아키텍처는 'Freedom from Interference', 구역 간 간섭 차단을 전제로 설계됩니다. 실제 레드팀 활동에서 봤을 때, 조널로 전환된다고 위협 자체가 늘거나 준 게 아니라 위협의 양상이 바뀌었을 뿐입니다. 저희가 우선순위를 두는 건 공격 경로가 가장 바깥쪽에 있는 지점, 외부와 직접 연결되는 경계 구간입니다. 이 지점은 엄격하게 보안을 적용하지만, 나머지 안쪽 영역은 상대적으로 느슨하게 다뤄지는 게 현실입니다. 규제 기관 입장에서도 모든 구역에 동일한 수준의 인증을 요구하면 비용 부담이 지나치게 커지기 때문입니다. 일부 후발 경쟁사는 바깥쪽 경계 지점 정도만 대응해도 인증을 통과하는 수준에 머물러 있는데, 다음 세대 모델을 개발할 때는 안쪽 구역까지 확장해야 하는 과제가 남습니다.
예전에 모 글로벌 OEM 임원 한 분과 나눈 이야기가 인상 깊었습니다. "비싼 차는 사이버보안을 세게 하고 싼 차는 세이프티만 저렴하게 해도 되느냐"고 물었더니 "안 된다"고 답하더군요. 보안 때문에 모든 차량의 원가가 다 같이 올라갈 수밖에 없다는 겁니다.
여기에 AI가 새로운 변수를 더하고 있습니다. 저희는 매년 8월 DEF CON 자동차 해킹 대회(Car Hacking Village)에 5년째 참가하고 있습니다. 2025년에는 리비안이 차량을 협찬한 해킹 챌린지가 있었고, 같은 행사장에서 DARPA 주관 AI 사이버 챌린지(AIxCC) 결승전도 열렸습니다. 우승은 미국 팀 소속으로 참가한, 실제로는 한국인 위주로 구성된 팀이었는데, AI로 해킹하고 AI로 방어하는 걸 정면으로 겨루는 대회였습니다. 저희 레드팀도 AI 없이는 성과를 낼 수 없는 수준이 됐습니다. 자동차는 한 번 테스트하려면 배선을 다시 연결하고 물리적으로 뜯어야 하는 영역이라 IT보다 훨씬 시간이 걸리는데, 부품에서 펌웨어를 추출해 사람이 분석하면 오래 걸릴 작업을 AI를 돌리면 15분 만에 결과가 나오기도 합니다. 반대로 해커들도 같은 방식으로 취약점 탐색과 공격 시도를 에이전트로 자동화하고 있어서, 예전엔 안전하다고 여겨진 수준도 이제는 그보다 훨씬 강한 보안이 아니면 버티기 어려운 상황이 됐습니다. 이 모든 위협 변화는 다시 한번, 완성 후에 patch를 붙이는 방식이 아니라 처음 개발 단계에서부터 얼마나 촘촘하게 설계하느냐로 되돌아옵니다.







그래서, 일렉트로비트 

그래서 일렉트로비트와 손을 잡은 겁니까? 정확히 어떤 배경에서 이 협력이 성사됐고, 왜 '글로벌' 전략이라고 보십니까?
Deoksoo    일렉트로비트는 개발 플랫폼 분야에서 매우 강한 역량을 갖고 있고, 저희는 자동차 사이버보안의 설계와 검증 영역에서 강점을 갖고 있습니다. 서로의 역량이 자연스럽게 연결되는 이유입니다. 저희가 단지 한국 시장에서 일렉트로비트와 협력하는 게 아니라, 글로벌 차원에서 확실한 포지션을 갖고 나아가는게 사실입니다. 
독일 기업들이 2010년대 후반부터 구축해 온 영역을 저희도 빠르게 따라가고 있고, 이스라엘 기업들이 채우지 못한 부분도 있습니다. 앞으로는 중국과 인도에서도 새로운 플레이어들이 계속 등장할 텐데, 결국 경쟁력은 누가 더 많은 양산 경험과 선행 개발 경험을 축적했는지에서 결정될 것이라고 봅니다.
일렉트로비트와의 협력은 처음부터 글로벌 협력을 전제로 합니다. 인도와 일본을 비롯한 여러 지역에서 일렉트로비트의 활동이 활발하고, 저희도 그 글로벌 네트워크 안에서 함께 협력하고 있습니다. 비슷한 맥락에서, LG전자와 협업하고 있는 이스라엘 기업 Cybellum도 참고할 만한 사례입니다. Cybellum은 저희처럼 보안 기능 자체를 만드는 회사라기보다, 개발·검증·운영 단계별로 필요한 걸 시계열로 묶어 관리해 주는 라이프사이클 프로세스 소프트웨어를 만드는 회사입니다. 이런 파트너십들이 공통적으로 말해주는 건, 자동차 사이버보안은 한 회사가 혼자 다 할 수 있는 분야가 아니고 각자의 강점을 라이프사이클 단계별로 연결해야 완성된다는 것입니다.


디지털 키, V2X, 전기차 충전 인프라까지 포트폴리오를 넓히고 계신데, 이것도 같은 '개발 역량'의 연장선입니까?     
Deoksoo    그렇습니다. 현재 시장에서 저희 경쟁사는 ETAS, Vector 등 자동차 소프트웨어 플랫폼 기업들입니다. 자동차 사이버보안이 더 이상 독립된 기능이 아니라 SDV 개발 플랫폼 안으로 통합되고 있기 때문입니다. Vector는 소프트웨어 전반을 다루면서 사이버보안 일부를 담당하는 정도이고, ETAS는 AUTOSAR 사업 안에 사이버보안 컴포넌트를 두고 직접 수행합니다. 국내에서는 페스카로(Fescaro)란 회사도 있습니다. 이들과 비교했을 때 저희는 단순히 보안 솔루션만 제공하는 회사가 아니라는 게 차별점입니다. 스마트폰 기반 디지털 키도 보안 기술이고, 인도에서 의무화가 추진되는 V2X 역시 신뢰할 수 있는 보안 체계가 전제되어야 합니다.
전기차 충전 인프라도 마찬가지입니다. 앞으로 차량은 단순히 충전만 하는 게 아니라 ESS의 일부가 되고 전력을 주고받는 존재가 됩니다. 그 과정에서 차량과 충전기가 서로를 신뢰하고 인증할 수 있어야 합니다. 현재 국내에서도 국가 차원의 충전 인프라 상호 인증 체계 구축 프로젝트가 진행 중이며, 저희가 그 핵심 기술을 담당하고 있습니다. 과거에는 현대차 중심으로 추진되던 구조였지만, BMW를 비롯한 다양한 글로벌 제조사가 참여하려면 특정 OEM이 아닌 국가 차원의 인증 체계가 필요합니다. 이런 영역까지 함께 수행하는 기업은 많지 않습니다. 이것도 개발 단계부터 신뢰 체계를 설계하는 저희 역량이 자동차를 넘어 커넥티드 생태계 전반으로 확장되는 것이라고 보시면 됩니다.


10년 후 아우토크립트는 어떤 회사가 되어 있길 원하십니까?
Deoksoo    사람들이 "이 차량에는 아우토크립트 기술이 들어가 있다"고 들으면 자연스럽게 안전한 차량이라는 신뢰를 떠올리는 회사가 되고 싶습니다. 많은 사람들이 사이버보안을 해킹 방어 정도로만 생각하지만, 저희는 그것을 소프트웨어 안전(Safety)의 일부라고 봅니다. 브레이크와 에어백, 안전벨트가 물리적 안전이라면, 사이버보안은 소프트웨어 안전을 책임지는 기술입니다. 저희는 Security만 하는 회사가 아니라 Safety까지 함께 책임지는 회사가 되고 싶습니다.
최근 가장 관심 있게 지켜보는 건 중국입니다. 전기차 기업이 300개까지 늘었다가 100개 수준으로 줄었고, 앞으로 15개 정도의 대형 기업으로 재편될 거란 이야기도 나옵니다. 단순 정리가 아니라 합병을 통해 글로벌 경쟁력을 갖추려는 전략입니다. 우리나라는 자기인증(Self Certification) 제도를 운영하고 있는데, 원래는 유럽처럼 형식승인 방식이었다가 FTA 이후 미국 방식으로 바뀌었습니다. 덕분에 현대차의 미국 진출엔 도움이 됐지만, 동시에 중국 기업들도 상대적으로 쉽게 국내 시장에 들어올 수 있는 구조가 됐습니다. 그래서 저는 정책 담당자들을 만날 때마다 이야기합니다. 대한민국도 자율주행의 주권, 사이버보안의 주권을 고민해야 한다고요. 미국은 이미 중국산 소프트웨어가 탑재된 차량은 자국에서 판매할 수 없다고 선언했습니다. 우리가 같은 방식으로 가긴 어렵지만, 적어도 사이버보안 규제와 기술 경쟁력을 통해 국내 산업을 보호하고 육성할 필요는 있다고 생각합니다.


마무리하며

인터뷰를 마치기 전, 지금까지 들은 이야기를 한 문장으로 정리해 확인을 구했다. “SDV 시대의 시작점에서는 운영보다 개발 단계 보안이 중요해졌고, 아우토크립트는 그 영역의 경쟁력을 바탕으로 일렉트로비트와 글로벌 협력을 추진하고 있다고 이해하면 되겠습니까?”
김덕수 대표는 짧고 분명하게 답했다.
"네, 맞습니다."



7월, AID 2026에서 일렉트로비트의 Arvind Murthy CCO가 아우토크립트의 김의석 글로벌 CTO와 함께 연단에 올라 양사의 미래에 대해 이야기를 했다.

AEM(오토모티브일렉트로닉스매거진)

---