●기사의 포인트
AI 스타트업 앤트로픽(Anthropic)의 개발 도구 ‘Claude Code’가 수년과 수천억 원이 들던 COBOL 시스템 이전 작업을 수개월로 단축할 수 있다고 주장했다. 이 발표 직후 IBM 주가는 하루 만에 13% 급락했고, CrowdStrike 등 보안 기업 주가도 연쇄 하락했다. 이번 사건은 후지쯔와 NTT데이터 등 일본 주요 IT 벤더들이 의존해온 ‘인월(人月) 기반 비즈니스 모델’의 붕괴 가능성을 드러내며 업계 전반의 구조 변화 가능성을 제기하고 있다.
2026년 2월 23일, 미국 IBM의 주가는 하루 만에 약 13% 급락했다. 이는 2000년 닷컴 버블 붕괴 이후 약 25년 만의 최대 낙폭이다. 해당 달 전체 기준으로는 27% 이상 하락하며 1968년 이후 최악의 월간 성적을 기록했다.
이번 급락의 발단은 AI 스타트업 Anthropic이 올린 블로그 게시물 한 편이었다. 회사는 자사의 개발 도구 Claude Code가 레거시 시스템의 핵심 수익원이었던 COBOL 시스템 이전 작업을 획기적으로 단축할 수 있다고 발표했다.
금융기관과 정부기관에서 오랫동안 사용된 COBOL은 IBM 메인프레임 사업과 밀접하게 연결된 언어다. 이러한 시스템의 이전과 유지보수는 수십 년 동안 IBM이 지켜온 핵심 사업 영역이었다. Anthropic의 발표는 사실상 그 영역에 대한 정면 도전이었다.
투자자들의 반응은 즉각적이었다. 그러나 이번 사건의 핵심은 단순한 공포 매도에 그치지 않는다. 이번 변화는 일본, 한국의 대형 IT 벤더에도 영향을 줄 수 있는 구조적 변화의 신호라는 분석이 나온다.
●목차
‘수년·수천억 원’이 ‘수개월’로…COBOL 이전의 패러다임 전환
레거시 시스템의 족쇄
COBOL은 1950년대 말 개발된 프로그래밍 언어다. 등장한 지 60년이 넘었지만 ATM 거래, 항공 예약, 은행 이체, 소매 결제 등 금융 인프라의 핵심 시스템이 여전히 이 언어로 운영되고 있다.
문제는 이 코드를 작성했던 엔지니어 대부분이 이미 은퇴하거나 세상을 떠났고, 상세한 설계 문서조차 남아 있지 않은 경우가 많다는 점이다.
업계에는 이런 농담이 돌 정도다.
“이 코드를 작성했을 때는 나와 신만이 무슨 일을 했는지 알았다. 이제는 신만 안다.”
일본에서는 경제산업성이 오래전부터 ‘2025년의 절벽’을 경고해 왔다. 핵심 시스템의 노후화와 블랙박스화가 디지털 전환(DX)의 최대 장애물이 되며, 이를 방치하면 연간 최대 12조 엔(약 109조 800억원) 규모의 경제 손실이 발생할 수 있다는 것이다. 은행·보험·유통·정부 기관의 핵심 시스템 상당수가 여전히 COBOL 위에서 운영되고 있다.
기존 업계의 ‘상식’
대표 사례가 미즈호은행의 시스템 통합 프로젝트다. 2002년 1차 통합 실패 이후 여러 차례 시스템 장애를 겪으며 완전 통합까지 17년이 걸렸다. 투입된 비용은 수천억 엔, 인력 규모는 연인원 수만 인월에 달했다.
이 사례는 특별한 일이 아니다. COBOL 시스템 이전 프로젝트에서 “수년·수백억 엔”은 업계의 일반적인 상식이었다. 이유는 단순하다. 사양서가 없는 코드를 해독하는 것에서 시작해 업무 로직을 한 줄씩 분석하고 이를 Java나 Python 등으로 옮겨 반복 테스트하는 과정이 대부분 숙련 엔지니어의 수작업에 의존하기 때문이다.
Claude Code의 파괴력
Anthropic은 이 전제를 뒤집겠다고 주장하며 이렇게 설명했다.
“과거에는 컨설턴트 팀이 워크플로우 매핑에 수년을 쏟아야 했다.
Claude Code는 COBOL 현대화에서 가장 많은 시간을 차지하는 탐색·분석 단계를 자동화할 수 있다.”
Claude Code는 수천 줄의 코드 의존 관계를 분석하고 업무 로직을 문서화하며 위험 요소를 식별한다.
사람이 수개월 걸리던 작업을 자동화해 이전 기간을 ‘년 단위’에서 ‘분기 단위’로 줄일 수 있다는 주장이다.
Anthropic의 블로그는 이렇게 썼다.
“레거시 코드는 이해하는 비용이 너무 높아 현대화가 지연됐다. AI는 그 공식을 뒤집을 수 있다.”
IT 저널리스트 코다이라 다카히로는 다음과 같이 평가했다.
“COBOL 이전 비용의 대부분은 코드를 작성하는 비용이 아니라 코드를 이해하는 비용이다. Claude Code는 바로 그 이해 과정을 자동화하겠다는 것이다. 기술적 실현 가능성은 더 많은 사례로 검증돼야 하지만, 성공한다면 업계 구조 자체가 바뀔 수 있다. 우선 파일럿 프로젝트로 실적을 검증해야 한다.”
대형 IT 벤더를 덮치는 ‘인월(人月) 모델’의 종말
캐시카우의 붕괴
일본의 대형 IT 벤더들에게 핵심 시스템의 유지·이전 사업은 오랫동안 안정적 수익원이었다. 후지쯔, 히타치, NTT데이터, 노무라종합연구소(NRI) 등은 금융기관 및 관공서와의 긴밀한 관계를 바탕으로 수십 년 단위의 유지계약을 쌓아왔다.
이 구조는 ‘인월 단가’라는 비즈니스 모델에 기반한다. 투입 인원과 기간에 따라 대가가 결정되므로 프로젝트가 길어질수록, 투입 인력이 많을수록 공급업체의 매출도 커진다.
하지만 AI 자동화는 ‘시간을 들이는 것이 곧 수익’인 이 모델을 정면으로 위협한다.
다층 하청 구조의 붕괴
문제는 더 깊다. 대형 벤더 아래에는 2차·3차에 걸친 다층 하청 구조가 존재한다. 대형 프로젝트에는 이 피라미드 전반에서 많은 엔지니어가 동원된다. ‘사람을 모아 투입하는 능력’이 대형 벤더의 핵심 경쟁력으로 여겨지기도 했다.
그러나 Claude Code와 같은 자동화 도구가 탐색·분석·변환 단계를 처리하면, 이 다중 하청 구조의 존재 근거 자체가 약화된다. 시스템 이전에 필요한 공수가 크게 줄면 투입 가능한 인원과 그에 따른 매출 규모도 함께 축소될 수밖에 없다.
AI 도입의 딜레마
대형 벤더들은 이제 역사적 딜레마에 봉착했다.
스스로 AI를 도입해 효율화를 추진하면 프로젝트 기간이 단축되고 필요 인원이 줄어 매출이 줄어든다. 반대로 AI 도입을 미루면, 더 저렴하고 빠르게 같은 결과를 내는 신생 AI 네이티브 기업이나 사용자 기업의 자체 내재화에 고객을 빼앗길 위험이 있다.
도입해도 고통, 미루어도 고통인 딜레마다.
IBM 주가가 급락한 날 액센츄어와 코그니전트 주가도 함께 하락했다.
투자자들은 레거시 현대화 사업을 담당하는 SI 기업 전체가 동일한 위험에 노출돼 있다고 판단한 것이다.
코다이라 다카히로는 이렇게 지적했다.
“일본 대형 벤더의 문제는 미국보다 더 심각하다. 인월 모델 의존도가 높고 변화 속도가 느리기 때문이다. AI를 도입해 변화를 주도할 수 있다면 새로운 부가가치를 낼 수 있지만, 이를 위해선 기존 비즈니스 모델을 해체하려는 결단이 필요하다. 그런 결단을 내릴 리더가 있을까?”
보안 업계까지 흔든 Claude 쇼크
Claude Code Security의 파급력
COBOL 충격 사흘 전인 2026년 2월 20일, Anthropic은 또 다른 발표로 업계를 놀라게 했다. 바로 ‘Claude Code Security’다.
이 기능은 코드베이스를 분석해 보안 취약점을 자동으로 탐지하고 패치 방안까지 제시한다. 기존 규칙 기반 스캐너와 달리 대형언어모델(LLM)이 코드의 문맥을 이해해 보안 허점을 찾는다. 비즈니스 로직의 오류나 복잡한 접근 제어 결함 등 규칙 기반 도구가 놓치기 쉬운 취약점도 발견할 수 있다고 주장하며, 내부 테스트에서는 실제 운영 환경의 오픈소스 코드에서 500건 이상의 취약점을 찾아냈다고 전했다.
시장 반응은 즉각적이었다. CrowdStrike는 약 10% 하락, Cloudflare는 약 8% 하락, Zscaler는 5.5% 하락, Okta도 9% 이상 떨어졌다. 사이버보안 ETF는 하루 만에 약 5% 하락하며 2023년 11월 이후 최저치를 기록했다. 시가총액 약 200억 달러(약 30조 원)가 한 세션에서 날아간 셈이다.
사람이 지켜온 ‘성역’
보안 진단은 오랜 기간 고도의 전문 지식을 지닌 엔지니어들이 고액 보수를 받고 수행해온 영역이다. 코드 보안 감사와 취약점 진단은 대형 벤더나 보안 전문 기업들이 담당하는 고부가가치 서비스였다.
그런 서비스가 ‘AI로 대체될 수 있다’는 우려가 투자자들의 매도세를 촉발했다. 한 시장 관계자는 이번 주가 급락을 ‘미니 플래시 크래시’라고 표현했다.
그러나 보다 냉정한 분석도 필요하다. Claude Code Security는 빌드 시점의 정적 코드 분석에 특화돼 있으며, 엔드포인트 탐지·대응(EDR)이나 런타임 위협 대응과는 역할이 다르다. CrowdStrike의 CEO 조지 커츠는 “AI는 보안의 필요를 없애는 것이 아니라 강화한다”고 반박했다. Wedbush의 애널리스트도 주가 하락이 AI에 대한 과도한 공포에 따른 과잉 반응이라고 평가했다.
“Claude Code Security는 분명 정적 코드 분석 분야에서 기존 도구를 대체할 수 있는 파괴력을 갖고 있습니다. 그러나 실제 공격 대응, 인시던트 대응, 런타임 방어는 전혀 다른 영역입니다. 투자자들의 반응은 과도했지만, 코드 보안 진단을 수익의 축으로 해온 중견 벤더에는 확실히 영향이 갈 것입니다. 문제는 어떤 수익이 대체되고 어떤 수익은 남는지 정확히 판단하지 못하는 기업이 많다는 점입니다.”(신미 케츠·사이버보안 컨설턴트)
진짜 수혜자는 사용자 기업
이번 AI 충격의 최대 수혜자는 IT 공급업체가 아니라 사용자 기업일 가능성이 높다.
수십 년간 막대한 비용을 지불해온 핵심 시스템의 개편을 더 짧은 기간·저비용으로 실현할 수 있다면 일본과 한국 기업들의 DX 추진에는 강력한 호재가 될 수 있다. 그간 ‘비용 대비 효과가 맞지 않는다’며 미뤄온 레거시 전환 프로젝트들이 재평가될 가능성이 커진다.
컨스텔레이션 리서치의 애널리스트 치라그 메타는 “이번을 계기로 미뤄둔 현대화 계획을 재검토해 ROI가 성립하는 과제를 선별해야 한다. 전략을 하룻밤 사이에 바꾸기보다는 소규모 파일럿으로 성과를 검증하는 것이 중요하다”고 조언했다.
IT 산업 구조 재편
반면 IT 업계에는 냉혹한 현실이 닥친다. 단순한 ‘코드 번역자’나 ‘인월을 채우는 조정자’로서의 대형 벤더는 존재 의의를 묻는 상황에 직면할 것이다.
중요한 점은 기술적 ‘번역’만 AI로 대체되는 것이 아니라는 사실이다. Anthropic이 지적했듯 ‘탐색·분석 단계’가 가장 많은 비용을 소모하는 공정이었고, 그 단계가 자동화되면 대규모 인력 투입의 근거가 사라진다.
생존하려면 더 상류의 ‘비즈니스 디자인’으로 무게 중심을 옮겨야 한다. 업무 요건 정리, 조직 변화 설계, 데이터 이전 전략, 규제·컴플라이언스 대응 등은 AI가 대체하기 어려운 영역으로서 인간의 판단과 경험이 요구된다. 그러나 그쪽으로 전환하려면 컨설팅 역량과 문화적 변화가 필요하며, 오랫동안 ‘기술의 하청’으로 살아온 조직에게는 쉬운 일이 아니다.
한때 과시적 ‘IT 거리’라는 조롱을 받기도 했던 국내 대형 벤더들의 다층 하청 구조는 지금 역사적 갈림길에 서 있다. IBM 주가의 급락은 단순한 해외 뉴스가 아니다. 그 충격파는 일본·한국 IT 산업의 근간을 흔들고 있다.
(글 = BUSINESS JOURNAL 편집부, 협력 = 코다이라 다카히로 / IT 저널리스트)
댓글0