목차

• 왜 다들 갑자기 하네스를 만들기 시작했을까
• 일리야의 답: 보안이 먼저인 운영체제

파티였다. 디스코드 커뮤니티가 열어준 자리였고, 나는 그냥 사람들 사이를 서성이고 있었다. 그런데 누가 옆구리를 쿡쿡 찌르더니 귓속말을 했다. “저 사람, Attention Is All You Need를 쓴 저자 중 한 명이에요.” 나는 “잉?” 소리를 내고는 곧장 가서 인사를 드렸다.

인사만 하고 지나가기엔 내 사정이 좀 있었다. 10년 전쯤 나는 딥러닝 스타트업을 혼자 창업했다. CNN, RNN, LSTM, 그 당시 막 나온 레지듀얼 네트워크까지 이것저것 섞어서 우리만의 아키텍처를 만들었고, 그걸로 네이버를 비롯한 몇 곳에서 투자를 받았다. 우리가 하던 사업은 음악을 생성해서 기업에 납품하는 B2B였다. 그런데 어느 날 논문 한 편이 나왔다. Attention Is All You Need. 우리끼리 그 논문을 구현해봤더니, 몇 달을 갈아 넣은 우리 모델보다 성능이 훨씬 좋았다. 그날로 우리가 애써 만든 모델은 폐기됐고, 회사는 처음부터 Transformer로 다시 지어졌다. 그러니 그 논문의 저자를 실제로 만난 순간이 나한테 어떤 의미였을지는 굳이 설명 안 해도 될 것 같다.

그런데 대화를 나누다 보니 더 재미있는 사실을 알게 됐다. 일리야 폴로수킨(Illia Polosukhin)은 지금 모델을 만들고 있지 않았다. 아이언클로(IronClaw)라는 에이전트 프레임워크를 만들고 있었고, 깃허브에 들어가 보면 커밋이 거의 다 본인 이름으로 올라가 있었다. 코딩을 그만두셨을 줄 알았는데 직접 짜고 계셨던 거다. 그리고 우연히도 나는 이미 아이언클로 사용자였다. 램이 8기가밖에 안 되는 오래된 노트북이 하나 있는데, 거기엔 오픈클로(OpenClaw)처럼 무겁고 코드 라인 수 많은 러너 대신 러스트로 짜여서 가볍고 보안까지 신경 쓴 아이언클로를 올려두고 “팔봉이”라는 이름을 붙여 쓰고 있었다 — 참고로 내 메인 노트북 별명은 “구봉이”다. 그 얘기 덕분에 그냥 팬처럼 인사만 하고 끝날 뻔한 만남이 진짜 대화로 이어졌다. 트랜스포머를 발명한 사람이 왜 지금은 모델이 아니라 하네스를 만들고 있을까. 이 질문 하나로 우리는 꽤 오래 이야기를 나눴고, 그 대화에 인사이트가 많아서 이 자리를 마련하게 됐다.

왜 다들 갑자기 하네스를 만들기 시작했을까

한두 달 전까지만 해도 오픈클로를 돌리려면 “맥미니를 사라”는 말이 돌았고, 실제로 맥미니가 품절되는 일까지 있었다. 그런데 지금의 흐름은 정반대다. 회사들은 이제 로컬 맥미니가 아니라 클라우드 위에서 클로드를 돌리라고 말한다. (여담이지만 이 설명을 할 때마다 곤란한 게, 음성 인식 에이전트들이 “클로드”와 “클라우드”를 거의 못 알아듣는다. 둘 다 C로 시작하니 헷갈릴 만도 하다.) 로컬에서 클라우드로 넘어가는 이 흐름 자체가 흥미로운 신호라고 생각한다.

더 큰 신호는 빅테크의 움직임이다. 얼마 전 앤트로픽은 Claude Managed Agent라는 제품을 내놨다. 같은 날 아침엔 오픈AI가 Agent SDK에 샌드박스 기능을 추가했다는 소식이 들어왔다. 두 회사가 하고 있는 일은 결국 같다. 자기네 클로즈드 모델 안에, 지금 오픈소스 진영에서 유행하고 있는 것과 똑같은 아키텍처 — 격리된 실행 환경, 권한 관리, 툴 게이팅 — 를 그대로 이식하고 있는 것이다. 프론티어 랩들조차 오픈클로나 아이언클로 같은 “클로 하네스”의 중요도를 뒤늦게 인정하고 있는 셈이다.

비슷한 사례가 하나 더 있다. 요즘 많이 쓰는 헤르메스(Hermes) 에이전트를 만든 곳은 노스 리서치(Nous Research)라는 회사인데, 원래는 모델을 만들고 파인튜닝하고 논문을 쓰던 리서치 조직이었다. 아카이브에 올라온 논문 목록을 보면 계속 모델 얘기뿐이다가, 올해 2월에 갑자기 헤르메스 에이전트를 내놓는다. 모델을 만들던 회사가 느닷없이 에이전트를 만들었는데, 그게 2달도 안 돼 스타 수와 실사용자가 폭발적으로 늘었다. 왜 모델 연구자들이 하나같이 에이전트, 그것도 에이전트가 돌아가는 실행 환경 쪽으로 몰려가고 있을까.

내가 내린 잠정적인 답은 이렇다. 클로드 코드의 매니지드 에이전트를 쓰거나, 오픈AI 에이전트 SDK로 샌드박싱을 하거나, 어느 회사의 완제품 솔루션을 쓰는 건 분명 편하다. 그런데도 결국엔 오픈소스 하네스로 가야 한다고 생각하는 이유는 주도권 때문이다. 내가 쓰는 코드가 웹서치를 할 때 앞부분 몇 줄만 잘라서 하이쿠로 요약해오는 게 마음에 안 들어도, 클로드 코드 안에서는 그 옵션을 내가 고를 수 없다. 하지만 아이언클로나 헤르메스, 혹은 그보다 더 작은 단위의 에이전트를 직접 만들어 쓴다면, 내가 원하는 대로 웹 리서치 로직을 새로 짤 수 있다. 그리고 예전과 결정적으로 달라진 점 하나는, AI 성능이 너무 빨리 좋아진 덕분에 그 오픈소스 하네스를 이제는 내가 실제로 만들 수 있다는 것이다. 과거엔 오픈소스가 있어도 다들 잘 못 썼다. 진입장벽이 높았으니까. 지금은 클로드 코드나 코덱스 자체가 그 오픈소스 하네스를 세팅해주는 도구가 됐다.

일리야의 답: 보안이 먼저인 운영체제

그날 파티에서 나눈 대화의 실마리는, 이후 일리야가 무대에 올라 아이언클로를 소개하면서 훨씬 선명해졌다. 그는 2017년 이야기부터 시작했다. 그때 이미 “코드를 안 짜고 컴퓨터와 대화만 하면 소프트웨어가 만들어지는” 바이브 코딩의 아이디어를 갖고 있었다고 한다. 다만 그 시절엔 컴퓨트도 스케일도 부족해서, 전 세계 학생들을 크라우드소싱으로 고용해 작은 코딩 태스크를 대신 시키는 식으로 버텼다. 그러다 AI가 검색이나 추천 피드 뒤에 숨어 있던 백엔드 기능에서, ChatGPT처럼 사람들이 직접 대화하는 제품으로 옮겨왔고, 최근 몇 달 사이엔 에이전트가 단순히 질문에 답하는 걸 넘어 실제로 인터넷에서 행동을 하기 시작했다. 그는 이 다음 단계가 서로 다른 에이전트들이 협업해서 더 큰 일을 해내는 멀티 에이전트라고 봤고, 그 모든 걸 압축해서 담아낼 그릇을 “AI 운영체제”라고 불렀다. 아이언클로는 그 운영체제를 만드는 프로젝트다.

핵심은 보안을 커널 레벨에서부터 설계했다는 점이다. 지금 대부분의 에이전트 인프라는 OAuth 토큰이나 비밀번호를 raw text 그대로 LLM에 흘려보내고 파일로 관리한다. 아이언클로는 자격증명을 암호화해서 별도 저장소에 두고, 요청이 들어올 때마다 커널이 이 요청이 어디로 가는지, 어떤 자격증명이 필요한지를 매번 평가한다. 서드파티 툴은 전부 웹어셈블리(WebAssembly) 위에서 격리해서 돌린다 — 모든 브라우저가 쓰는 그 기술이자, 8년간 보안적으로 다듬어온 NEAR 프로토콜의 블록체인 실행 환경과 같은 뿌리다. 누군가 만든 툴을 사이드로드해도 그게 내 컴퓨터를 장악하거나 자격증명을 훔칠 수 없는 이유가 여기 있다. 프롬프트 인젝션을 완벽히 막을 방법은 사실 없다는 걸 인정하면서도, 설령 LLM이 뭔가 나쁜 일을 하려고 해도 이 인증 게이트가 실제 행동을 막아준다는 다층 방어 개념이었다.

또 하나 인상 깊었던 건 가상화된 파일시스템이다. 클로드 코드나 코덱스, 오픈클로는 진짜 파일시스템을 직접 건드린다. 그래서 잘못하면 파일을 지우거나 시스템 파일을 덮어쓸 수 있다. 아이언클로에서는 에이전트 입장에서는 파일시스템처럼 보이지만 실제로는 경로에 따라 데이터베이스, 도커 컨테이너, S3로 라우팅되는 가상 계층을 하나 더 끼워 넣었다. 로컬 모드를 켜면 익숙한 클로드 코드처럼 쓸 수도 있고, 프로젝트별로 도커 컨테이너 안에서만 돌게 격리할 수도 있다. 이 구조 덕분에 여러 사람이 같은 인스턴스를 공유하는 멀티테넌시가 가능해진다 — 회사가 팀 전체에 같은 툴과 메모리를 공유시키거나, 수백만 유저를 가진 서비스가 유저 한 명 한 명에게 오픈클로를 따로 줄 필요 없이 하나의 인스턴스로 각자의 공간만 나눠주는 식이다.

에이전트 마켓플레이스 이야기도 흥미로웠다. 어떤 일을 파이버(Fiverr)에 맡겼더니 이틀 걸리고 나중에 150달러를 더 요구했는데, 같은 일을 에이전트 마켓플레이스에 맡겼더니 한 시간 만에 끝났고 비용은 5분의 1이었다는 비교였다. 게다가 신뢰 실행 환경(TEE) 안에서 돌리면 에이전트가 실제로 어떤 사고 과정을 거쳤는지 암호학적으로 서명된 트레이스로 남길 수 있어서, 결과물만이 아니라 “이 에이전트가 정말 데이터를 가져와서 일했는지, 아니면 대충 지어냈는지”까지 나중에 검증할 수 있다고 했다.

이야기를 다 듣고 나니 그날 파티에서 품었던 질문이 다시 떠올랐다. 왜 세상에서 가장 뛰어난 딥러닝 논문을 쓴 사람이 지금은 러스트와 웹어셈블리 이야기를 하고 있을까. 아마 답은 이거였다. 모델의 지능은 이미 임계점을 넘었고, 이제 진짜 병목은 “얼마나 똑똑하냐”가 아니라 “그 지능을 얼마나 안전하고 통제 가능하게 실행시키느냐”로 옮겨갔다는 것. 트랜스포머를 발명한 사람이 다음으로 고른 문제가 어텐션 메커니즘이 아니라 커널과 샌드박스였다는 사실 자체가, 이 판이 어디로 흘러가는지에 대한 가장 확실한 힌트였다.

집에 돌아오는 비행기 안에서 나는 계속 그 질문을 곱씹었다. 그리고 여전히 “구봉이”와 “팔봉이”를 생각하면 웃음이 난다. 세상에서 가장 유명한 논문의 저자와, 램 8기가짜리 내 오래된 노트북이 같은 프로젝트로 연결되어 있었다는 사실이. 어쩌면 그게 이 판의 진짜 재미인 것 같다. 프론티어 연구자가 만든 사상과 내 낡은 노트북이, 오픈소스라는 다리 하나로 연결될 수 있다는 것.

이 글은 IronClaw 밋업에서 들은 발표와 대화를 바탕으로 쓴 기록입니다.