수년 동안 우리는 옵저버빌리티를 가동 시간, 성능 및 SRE 대시보드와 동일시하는 인위적인 경계를 그어 왔고, 보안은 위협, 경고, SIEM 및 “나쁜 것들”과 관련지어 왔습니다.
그 분리는 항상 편리했지만, 결코 실제로 존재한 적은 없었습니다.
서비스가 느리다는 것을 알려주는 로그는 서비스가 침해되었다는 것도 알려주는 바로 그 로그입니다. 우리는 그 로그를 서로 다른 팀, 다른 도구, 다른 예산으로 라우팅해 놓고, 어느 쪽도 전체 상황을 파악하지 못했다는 사실에 놀란 척했습니다.
데이터는 항상 동일했습니다
로그의 거의 아무 줄이나 하나만 골라도 문제를 바로 확인할 수 있습니다. 예를 들어, 다음과 같습니다.
2026-04-10T12:03:21Z service=auth-service endpoint=/auth/refresh status=200
src_ip=10.12.4.23 request_count=1850 user_agent=python-requests/2.31
똑같은 로그입니다. 완전히 다른 두 가지 반응을 이끌어냅니다.
옵저버빌리티 관점에서는 이것을 보고 시스템 문제라고 봅니다. 왜 한 서비스가 리프레시 엔드포인트를 1,800번 이상 호출하고 있는 걸까요? 누군가 잘못된 재시도 루프를 배포했나요? 세션 처리에 문제가 있는 건가요? 최근에 코드를 푸시한 사람은 누구인가요?
보안 팀은 정확히 같은 로그 줄을 보고 완전히 다른 방향으로 갑니다. 왜 단일 소스에서 그렇게 많은 인증 트래픽이 발생하는 걸까요? 스크립트 기반 사용자 에이전트를 사용하는 이유는 무엇인가요? 이것은 토큰 재사용, 자격 증명 스터핑, 또는 접근 권한을 유지하려는 손상된 서비스일까요?
동일한 신호입니다. 다른 해석입니다.
문제는 데이터가 아닙니다. 문제는 우리가 그것을 이해하는 책임을 분리해 버린 방식입니다. 우리는 두 개의 평행 우주를 만들었습니다. 하나는 시스템 디버깅에 최적화된 우주이고, 다른 하나는 공격자 추적에 최적화된 우주입니다. 둘 다 동일한 텔레메트리를 보고 있으며, 어느 한쪽도 다른 한쪽 없이는 완전하지 않습니다.
AI가 환상을 깨뜨리고 있다
AI는 조직도에 관심이 없습니다. 어느 팀이 로그를 “소유”하는지도 관심이 없습니다. 대신 모든 것에 걸친 패턴을 살펴봅니다.
- 메트릭
- 로그
- 트레이스
- 보안 신호
그리고 이러한 데이터들을 상호 연관시킵니다. 이것이 현대 시스템을 이해하는 유일한 방법이기 때문입니다.
이 지점에서 많은 도구들이 불편함을 느끼게 됩니다. AI가 옵저버빌리티 데이터와 보안 데이터를 모두 가로질러 작동하도록 허용하는 순간, 다음과 같은 냉혹한 진실이 드러나기 때문입니다. 대부분의 플랫폼은 애초에 그러한 데이터를 통합하도록 설계되지 않았습니다.
서로 다른 스키마, 파이프라인, 스토리지 시스템 및 쿼리 언어가 존재하기 때문에 통찰력을 얻는 대신 지연, 변환 오류 및 불완전한 컨텍스트를 얻게 됩니다.
격차는 좁혀지고 있지만, 아키텍처가 이를 뒷받침할 경우에만 가능합니다.
AI는 기본 시스템이 통합되어 있다면 옵저버빌리티와 보안을 연결할 수 있습니다.
하지만 로그, 메트릭 및 보안 데이터가 서로 다른 데이터 레이크, 공급업체 및 정규화 계층에 있다면, AI는 이를 “연결”하는 것이 아니라 추측할 뿐입니다. 혹은 제가 좋아하는 표현으로 말하자면, “거짓말쟁이, 거짓말쟁이, 불타는 메인프레임”이라고 부릅니다.
보안에서 추측에 의존하면 아무도 신뢰하지 않는 오탐과 실제로 중요한 신호를 놓치는 결과를 초래하게 됩니다.
여기서 승리하는 플랫폼은 가장 화려한 AI를 가진 플랫폼이 아닙니다. 데이터가 이미 정규화되어 있고, 쿼리가 빠르게 실행되며, 컨텍스트가 다양한 사용 사례 전반에서 공유되는 플랫폼이 승리합니다.
그래야 AI가 전체적인 상황을 바탕으로 추론할 수 있습니다.
진짜 변화
지금 벌어지는 일은 ‘보안을 위한 AI’나 ‘옵저버빌리티를 위한 AI’가 아닙니다. 둘 사이의 경계가 무너지고 있는 것입니다. 그리고 이는 스택을 바라보는 관점을 바꾸도록 만듭니다:
- 로그는 더 이상 “단순한 로그”가 아닙니다.
- 텔레메트리는 더 이상 “단순한 성능 데이터”가 아닙니다.
- 보안 시그널은 더 이상 “단순한 알림”이 아닙니다.
이 모든 것은 증거입니다. 의미 있는 질문은 단 하나입니다. 플랫폼이 그 증거를 충분히 빠르게 분석해, 의미 있는 답으로 전환할 수 있습니까?
