올인 팟캐스트: 램프(Ramp) 데이터, "AI 지출의 90%는 상위 1% 기업이 주도한다"는 차머스의 주장 뒷받침… 팔로알토 아로라는 컴퓨팅 부족이 기업의 독자 구축을 제한한다고 진단
PHP 취약점 사태와 AI 인프라주 매도세 속에서 니케시 아로라 팔로알토 네트웍스 CEO가 게스트로 출연한 2026년 10월 22일 녹화 에피소드
AI 지출의 편중, 순환성, 그리고 벤처 자금 의존
이번 에피소드에서 가장 유용한 새로운 데이터 포인트는 차머스 팔리하피티야(Chamath Palihapitiya)가 제시한 내용이었다. 그는 자신의 소셜 캐피털(Social Capital) 리서치 팀이 램프(Ramp)의 수석 이코노미스트 아라 카라지안(Ara Kharazian)과 대화를 나누고 간이 추정치를 검증했다고 밝혔다. 차머스의 주장에 따르면, 토큰 기준으로 측정했을 때 전체 AI 지출의 약 1%를 차지하는 기업들이 AI 지출의 90%를 담당하고 있으며, 이 지출의 약 80%는 수익을 내지 못하는 벤처 투자 지원 기업들로부터 나온다. 차머스에 따르면 카라지안은 이 추정치가 "거의 정확하다"고 답했다고 한다. 램프는 아직 해당 기초 차트를 공개하지 않았으며, 진행자들은 자신들이 먼저 살펴볼 기회를 얻었다고 말했다. 램프는 주로 스타트업을 대상으로 카드 및 뱅킹 서비스를 판매하기 때문에 해당 코호트(동질집단)에 대한 가시성은 높지만, 대기업에 대한 시각은 상대적으로 불확실하다.
차머스는 이 조사 결과를 순환성 문제로 규정했다. 벤처펀드는 연기금, 재단, 패밀리 오피스 등으로부터 자금을 조달해 스타트업에 투자한다. 스타트업들은 이 자금을 성장에 쏟아붓고, 그 대부분은 다른 기업의 AI를 소비하는 데 쓰인다. 이 지출은 매출 견인력으로 나타나며, 동일한 투자자들로부터 다음 라운드 투자를 유치하는 근거가 된다. 그는 "한쪽에서는 숨이 멎을 듯한 밸류에이션을 이야기하면서, 실제로는 1달러 중 75센트가 스타트업들이 기업가치를 높이기 위해 서로 주고받는 돈에 불과한 상황이어서는 안 된다"고 지적했다. 그는 이를 초기 AWS와 구별했다. AWS의 스타트업 고객들은 진짜였지만, 모회사인 아마존 리테일은 잉여현금흐름이 대략 손익분기점에 도달해 있었다는 것이다. 반면 지금은 적자 기업들끼리 서로 돈을 돌려막고 있는 격이며, AI가 예측 가능한 이익 창출원으로 자리 잡으려면 경제 전반으로 확산해야 한다는 주장이다. 이는 시타델(Citadel)의 창업자 켄 그리핀(Ken Griffin)이 이번 주 AI가 "거의 확실히 버블"이며 기업들이 "앤스로픽(Anthropic)과 OpenAI로부터 날아오는 청구서를 보며 생산성이 어디에 있는지 묻고 있다"고 경고한 내용과 일맥상통한다.
램프 차트의 두 번째 요소는 프런티어 랩의 경제학과 관련이 있다. 차머스는 상위 지출 기업들의 예산 중 GPU 컴퓨팅에 쓰이는 비중, 즉 오픈소스 모델을 구동하기 위해 기업들이 자체 용량을 구매하는 비중이 AWS 베드록(Bedrock) 같은 서비스를 통해 접근하는 폐쇄형 프런티어 모델 지출 대비 "상승하고 있다"고 말했다. 그의 해석에 따르면 기술 보급 속도가 시장이 원하는 것보다 느리며, 보급이 일어나는 곳에서는 구매자들이 오픈 웨이트(open-weights)를 선택하고 있다. 그는 자신이 관여하는 8090 비즈니스를 언급하며, 팔란티어(Palantir) CEO 앨릭스 카프(Alex Karp)가 CNBC에서 데이터 주권에 대해 언급한 이후 대기업들의 구매 패턴이 달라졌다고 말했다. 아울러 미국 대형 은행 중 한 곳의 최고정보책임자(CIO)가 AWS와 GCP에 대한 지출을 줄이고 독립형 데이터센터 6개를 처음부터 새로 구축했다고 전했다. 이는 단일 일화에 불과하며, 차머스는 해당 은행의 이름을 밝히기를 거부했다.
데이비드 프리드버그(David Friedberg)의 반박은 (차머스가 이에 대해 완벽하게 반박하지는 못했지만) 기술에 대한 스타트업들의 쇄도가 역사적으로 긍정적인 신호라는 점이다. 그는 1만 개 이상의 기업을 검토한 뒤 연간 약 100개 기업에 투자하는 자신의 펀드에서, 스타트업들은 클라우드나 가격이 잘못 매겨진 페이스북 광고 때처럼 "가장 싸고, 좋고, 빠른 엣지"가 있는 곳으로 이동한다고 말했다. 두 시각 사이의 긴장은 여전히 해소되지 않았다. 집중 현상은 검증의 신호로 읽힐 수도 있고, 취약한 수요 기반으로 읽힐 수도 있다.
아로라: 기업들은 오픈 웨이트를 선호하지만, 독자 구축에 나설 컴퓨팅이 없다
니케시 아로라 팔로알토 네트웍스 CEO는 기업 구매자의 입장에 대해 가감 없는 견해를 밝혔다. 그는 팔로알토가 오픈 웨이트 모델을 선호한다고 말했다. 수정 및 재학습이 가능하고 모델의 추론 과정을 검증할 수 있기 때문이다. 그는 "대부분의 사람들이 이야기하지 않는" 두 번째 요인이 규제 산업에서 가장 중요하다며, "이를 검증할 수 없다면, '어떻게 된 일인지 모르겠지만 IT 부서 직원들이 그곳에 AI 모델을 심어놓고 일을 저질렀습니다'라고 상사에게 말할 수는 없는 노릇이다. 금융 서비스와 헬스케어 분야의 규제 기관에는 그런 설명이 통하지 않는다"고 지적했다. 아로라 CEO는 폐쇄형 모델이 제공할 수 없는 설명 가능성, 검증 가능성, 감사 가능성을 기업들이 점점 더 요구하게 될 것이라고 내다봤다.
그는 이러한 선호를 실제로 실행하는 데 따르는 제약에 대해서는 거침없이 말했다. "현재 하이퍼스케러 커뮤니티 외부에 글로벌 차원에서 복원력이 뛰어나고 고가용성을 갖춘 추론 제공업체를 찾기는 매우 어렵습니다." 스타트업은 한 지역에서 10메가와트를 임대해 쓰다가 가동 중단(outage)이 발생해도 용인할 수 있지만, 99.9%의 신뢰성을 제공해야 하는 기업은 그럴 수 없다. 차머스가 팔로알토가 하이퍼스케러에 베어메탈(bare metal)을 요구하거나 자체 시설을 구축할 가능성이 있는지 묻자, 아로라 CEO는 자신이 부임했을 때 팔로알토의 모든 데이터센터를 폐쇄한 이후 컴퓨팅 부족으로 인해 현재는 "조건을 지시하는 사람이 아니라 조건에 따르는 사람"이라고 답했다. "젠슨(황)과 이야기해 봐도 2028년까지는 칩을 줄 수 없다고 합니다." 그는 토지, 전력, 건물(shell) 역시 확보하기 어렵기는 마찬가지라고 덧붙였다. 독립적인 구축은 그의 표현대로 "어느 정도 허세에 불과하다"는 것이다. 그는 팔로알토가 하이퍼스케러나 '하이퍼스케러의 사촌 격인 곳'으로부터 베어메탈을 공급받거나, 여러 소스로부터 컴퓨팅을 엮어내는 하이브리드 방식을 취할 것으로 예상했다.
아로라 CEO는 경제학이 향하는 방향에 대한 견해도 내놓았다. 그는 지금까지 이익 풀(profit pool)이 엔비디아와 메모리 산업에 머물러 있었지만, 제약이 칩에서 배포 가능한 용량으로 이동함에 따라 하이퍼스케러와 대규모 컴퓨팅 가용성을 갖춘 다른 기업들로 이동하고 있다고 말했다. 그는 수요가 "충족될 줄 모른다(insatiable)"고 표현하며, 오늘날 전 세계 모든 기업이 AI를 도입한다고 해도 이를 감당할 만한 컴퓨팅은 턱없이 부족할 것이라고 말했다. 이는 거품론과는 잘 맞아떨어지지 않는 대목이며, 아로라 CEO는 차머스가 언급한 수요의 질에 대해서는 따로 언급하지 않았다.
PHP 취약점과 AI 주도 취약점 발견의 가속화
진행자들은 8월에 AI 보조 연구원들에 의해 발견되어 PHP 보안 팀으로부터 10점 만점에 9.2점의 심각성 평가를 받은, 'PHP 2 Shell'이라는 별칭이 붙은 두 개의 치명적인 PHP 취약점과 관련된 사이버 보안 공포에 대해 언급했다. 언론 보도에 따르면 PHP는 전체 웹사이트의 약 70%를 구동하고 있다. 10월 22일에 맞춰 공동 패치가 배포될 예정이었으나 세부 정보가 유출되면서 배포 일정이 10월 21일로 앞당겨졌다. 진행자들은 AWS가 해킹 활동의 급증을 보고했고, 클라우드플레어(Cloudflare)는 수백만 건의 시도를 감지했으며, 유럽 각국 정부와 위키백과(Wikipedia)가 패치를 위해 시스템을 오프라인 상태로 전환했다고 전했다.
이런 사태가 10일마다 반복될 것인지 묻는 질문에 아로라 CEO는 "10일은 너무 길다고 생각한다"고 답했다. 그는 이번 사태의 심각성을 새로운 공격 기법 탓이라기보다는 누적된 기술 부채(technical debt)의 탓으로 돌렸다. 고객들이 "중요하지 않다"는 이유로 업그레이드하지 않고 방치한, 패치 불가능한 레거시 버전을 계속 운영하고 있다는 것이다. 그는 PHP 결함이 "지속적인 컴퓨팅(persistent compute)"에 의해 해결되었다고 설명했다. 수년 전에 확인되었으나 조율하기에는 너무 복잡하다고 여겨졌던 문제가 충분한 컴퓨팅 자원이 투입되자마자 풀렸다는 의미다. 패치가 공개되면 공격자들이 이를 리버스 엔지니어링하여 패치되지 않은 시스템을 겨냥한다고 그는 지적했다. 팔로알토는 자사 인프라를 스캔하고 경계 부문에 가상 패치를 발행했으며, 이는 클라우드플레어 및 기타 방화벽 공급업체들도 제공하는 완화 조치다.
아로라 CEO는 적어도 당분간은 방어자들이 공격자들을 컴퓨팅 파워로 압도할 것이라는 가설을 일축했다. 인프라 자체가 방어용 에이전트 스웜(swarm)을 출격시킬 수 있도록 조직되어 있지 않다는 것이다. 그는 5,000개의 웹사이트를 보유하고 있으면서도 그 목록조차 제대로 파악하지 못한 한 기업의 사례를 들었다. 그는 거의 모든 대기업이 자체 방어를 공격하기 위해 앤스로픽의 미소스(Mythos)나 그에 준하는 모델을 사용하고 있지만, 새로운 모델이 나올 때마다 더 많은 구멍을 찾아내기 때문에 패치만으로는 고양이와 쥐의 게임일 뿐이라고 말했다. 그의 조언은 침해를 기정사실로 가정하고, 이상 행동을 감지하여 신속하게 대응할 수 있도록 시그널을 집계하는 데 투자하라는 것이다. 그는 또한 프런티어 랩들이 방어 역량을 문단속하고 있다는 이론을 일축하며, 그들은 컴퓨팅에 의해 속도가 제한되며 "단지 이익 풀을 쫓고 있을 뿐"이고 자신조차 최신 공개 모델에 대해서는 속도 제한(rate-limited)을 받고 있다고 덧붙였다.
예산과 관련해 아로라 CEO는 사이버 보안이 일반적으로 IT 지출의 4%에서 10%를 차지한다고 말했다. 금융 서비스와 연방 정부는 10%에 가깝고, 클라우드 비중이 높은 기업들은 하이퍼스케러가 인프라 보안을 처리하기 때문에 4%에서 5%에 가깝다. 그는 이 수치가 "올라갈 수밖에 없을 것"이라고 말했다. 그는 기업들이 환경 내에서 실행되는 모든 에이전트를 파악할 수 있는 방법도 없이 에이전트를 배포하고 있다며, 사실상 거의 존재하지 않는 수준인 AI 보안 시장을 언급했다. 그는 한 연구원이 뮤즈(Muse) 대화를 공유하는 것만으로도 사생활 정보가 노출될 수 있음을 발견한 사례를 지적하며, "우리는 필요한 AI 보안 하네스(harness)를 아직 구축하지 못했다"고 말했다.
은행 계좌에 대한 에이전트의 접근, 해소되지 않은 법적 책임 문제
PHP 공포와 함께 두 번째 이슈가 부각되었다. 은행들이 고객의 자격 증명으로 로그인하는 개인 에이전트와 실제 고객을 구별하는 데 어려움을 겪고 있다는 점이다. 아로라 CEO는 은행들이 목격하고 있는 무단 접근은 해킹 가능한 웹사이트와 연관되어 있을 확률이 높으며, 에이전트 트래픽은 이와는 별개의 문제라고 말했다. 그는 은행들이 인간 트래픽과 에이전트 트래픽을 구분하지 못하며, AI가 캡차(captcha)를 풀 수 있게 되면서 캡차는 더 이상 신뢰할 수 있는 장벽이 아니라고 지적했다. 주된 걸림돌은 법적 책임이며, 부수적으로는 설명을 요구하는 고객 지원 전화 비용이다. 그는 은행들이 에이전트의 접근을 금지할 것으로 예상했다.
에이전트가 계좌를 털어갔을 때 누가 책임을 져야 하는지에 대해 아로라 CEO와 프리드버그 모두 궁극적으로 사용자가 져야 한다고 주장했다. 아로라 CEO는 "에이전트(agent)라는 단어 속에는 '대행(agency)'이라는 뜻이 담겨 있다"며 권한을 부여한 사람이 책임을 진다고 말했다. 다만 그는 제품이 광고된 대로 작동하지 않는 '로그 에이전트(rogue agent)' 예외를 두었는데, 이는 플랫폼의 제조물 책임(product-liability) 문제에 해당할 것이다. 프리드버그는 아마존의 차단 조치가 이미 행동 변화를 이끌어냈다며, 그록(Grok)의 쇼핑 에이전트는 이제 장바구니에 담기만 할 뿐 구매 클릭을 하지는 않는다고 언급했다.
진행자들은 또한 레드팀과 기업들을 위해 가드레일이 없는 모델을 제공하는, 자신들이 인큐베이팅한 기업인 오블리테레이션 AI(Obliteration AI)에 대해서도 논의했다. 차머스는 이 카테고리가 "믿을 수 없을 정도로 무섭다"며 리스크 벡터로서 과소평가되어 있다고 말했다. 아로라 CEO는 이를 "AI의 어두운 면"이라고 부르며 제약 없는 모델을 건네는 것은 "핵폭탄을 나눠주는 것"에 비유했다. 이에 대해 제이슨 칼라카니스(Jason Calacanis)는 접근이 검증된 화이트햇(white-hat) 고객으로 제한된다고 반박했다. 이 서비스가 어떻게 통제될 것인지에 대해서는 결론이 나지 않았다.
시장 심리: 인프라주 매도세
진행자들은 목요일 AI 인프라 주식들이 하락했다고 언급했다. 코어위브(CoreWeave)는 약 10% 하락했고, 메타(Meta)는 실적 발표 후 자본적지출(capex) 우려로 6% 하락했으며, AMD와 스페이스X(SpaceX)는 각각 약 5% 하락했다. 그들은 이러한 움직임이 변동성은 크지만 전반적으로 우상향하는 추세의 일부라고 설명했다. 제이슨은 인프라 구축을 위한 자금 조달이 가능할 것이라는 젠슨 황의 견해를 지적했다. 이번 에피소드는 램프의 지출 데이터 외에는 capex 회수 문제에 관해 새로운 증거를 제시하지 않았다.
프랑스: 2002년 이후 최고치를 기록한 국채 금리와 거시 정치적 논쟁
에피소드의 나머지 부분에서는 프랑스 시위 사태가 다뤄졌다. 진행자들은 50만 명이 넘는 시위대가 모였고, 3,000곳 이상의 기업이 피해를 입었으며, 1,000명이 넘는 경찰관이 부상을 입었다고 전했으며 이탈리아, 스페인 등지에서도 모방 시위가 발생했다고 언급했다. 시장 측면에서 프랑스의 10년물 국채 금리는 이번 주 5%를 넘어 2002년 이후 최고치를 기록한 반면, 미국 10년물 국채 금리는 5% 바로 아래로 밀려났다. 월스트리트저널(WSJ)은 이를 EU 부채에서 미 국채로의 자금 유입 탓으로 분석했다. 올인의 파트너인 폴리마켓(Polymarket)에 따르면 10월 31일까지 무디스나 S&P가 프랑스의 신용등급을 강등할 확률은 91%, 연말까지 비상사태가 선포될 확률은 18%로 집계됐다. 차머스는 프랑스가 이미 500억 유로 규모의 긴축을 제안했으며 더 높은 수준으로 나아가야 할 것이라고 지적했다.
토론의 대부분은 분석이라기보다는 정치적 의견에 가까웠다. 차머스는 시위대를 "국내 테러리스트"라고 부르며 개혁을 강제하기 위해 "채권 Vigilante(채권 시장 감시자)"들이 프랑스 국채 금리를 8% 수준으로 밀어올려야 한다고 주장했다. 프리드버그는 GDP 대비 공공 지출이 공산주의 시절 최고 수준에 육박한다는 것은 국가가 제공하는 서비스가 결과의 질을 저하시킨다는 것을 보여준다고 주장했으며, 미국 역시 동일한 재정적 산수에 직면해 있다고 말했다. 그는 프랑스의 적자 비율 5.4% 대비 미국의 GDP 대비 재정적자가 6.2%, 성장률은 프랑스의 0.5% 대비 미국이 2.3%라고 인용했다. 그가 제시한 처방에는 연방 학자금 대출 단계적 폐지, 확정급여형(DB) 퇴직연금을 확정기여형(DC) 계좌로 전환, 주택 및 의료 개혁 등이 포함되었다. 제이슨은 프랑스가 이미 저비용 교육과 의료를 제공하고 있으므로 불만이 단순한 미비 서비스 그 이상이라고 반박했다. 인용된 통계 중 상당수는 즉석에서 나온 것이었으며, 진행자들은 이민 문제와 미국인들이 유럽식 서비스를 선호할 것인지 여부를 두고 의견이 엇갈렸다.
진행자들은 또한 일론 머스크(Elon Musk)가 모든 미국 아이들에게 주당 150~170달러 기준 약 100억 달러 가치로 평가되는 스페이스X의 주식을 나눠주겠다고 공약한 사안에 대해 논의했으며, 연방 최저임금 인상에 대한 정치적 명분과 11월 3일 대선을 앞둔 트럼프 대통령의 메시지를 놓고 설전을 벌였다. 제이슨은 매년 1달러씩 단계적으로 올려 15달러로 만들자고 제안한 반면, 프리드버그와 차머스는 캘리포ния의 패스트푸드 임금 인상과 1만 8,000개의 일자리 감소 주장을 인용하며 임금 규제는 일자리를 파괴한다고 맞섰다. 그들은 이견을 좁히지 못한 채 마무리했다.