ndev-note 님의 블로그

발표와 양산 사이의 거리

ndev-note — Sun, 27 Sep 2026 16:00:05 +0900

"주행거리 1,000km, 10분 충전, 화재 위험 없음." 전고체 배터리 기사에서 반복되는 문구입니다. 그런데 이 얘기를 들은 지도 몇 년째죠.

28일차에 휴머노이드를 정리하면서 "데모 영상과 24시간 안정 가동 사이의 거리"를 얘기했는데, 배터리는 그 거리가 훨씬 더 정직하게 드러나는 분야인 것 같습니다. 숫자로 확인되니까요.

원리는 단순하다

지금 리튬이온 배터리는 양극과 음극 사이에 액체 전해질이 있습니다. 이온이 이 액체를 통해 오가면서 충방전이 됩니다.

문제는 이 액체가 가연성이라는 점입니다. 충격이나 과열로 내부 단락이 생기면 발화로 이어질 수 있습니다. 그래서 분리막, 냉각 시스템, 보호 회로 같은 안전 장치가 붙고, 그만큼 무게와 부피를 먹습니다.

전고체는 이 전해질을 고체로 바꿉니다. 그러면 세 가지가 동시에 좋아집니다. 발화 위험이 구조적으로 낮아지고, 안전 장치를 줄인 만큼 같은 부피에 더 많은 활물질을 넣을 수 있고, 고체 전해질이 리튬 금속 음극을 쓸 수 있게 해줘서 에너지 밀도가 올라갑니다.

원리만 보면 명쾌합니다. 그런데 이게 왜 20년 가까이 안 되고 있을까요.

기술보다 공정이 어렵다

업계에서 반복적으로 나오는 표현이 있습니다. "전고체는 기술보다 공정이 더 어렵다."

계면 저항. 액체는 전극 표면 구석구석에 스며들지만 고체는 그렇지 않습니다. 고체와 고체가 맞닿는 면에서 접촉 불량이 생기고, 충방전을 반복하면서 부피가 변하면 그 틈이 벌어집니다. 그래서 성능이 급격히 나빠지는 열화 문제가 생깁니다.

대면적 전극 제조. 실험실에서 동전만 한 셀을 만드는 것과 자동차용 대형 셀을 만드는 건 다른 문제입니다. 면적이 커질수록 균일한 압착이 어려워집니다.

소재 취급. 황화물계 고체전해질은 물과 닿으면 황화수소 가스가 발생할 정도로 취급이 까다롭습니다. 제조 환경 자체를 극도로 건조하게 유지해야 합니다.

그래서 삼성SDI, SK온 같은 기업들이 파일럿 플랜트를 먼저 짓고 수율을 확보하는 데 집중하고 있습니다. 결국 승부는 원천기술이 아니라 "일정한 품질과 가격으로 대량생산할 수 있느냐"에서 갈린다는 게 업계 시각입니다.

지금 팔리는 "고체 배터리"의 정체

여기가 이 글에서 가장 짚고 싶은 부분입니다.

2026년 현재 "고체 배터리 탑재"라고 홍보되는 제품들은 대부분 **반고체(semi-solid)**입니다. 고체와 액체를 섞은 하이브리드죠. 완전한 전고체는 아직 시범 테스트 단계이고, 소규모 상용화도 2027년 이후, 주류 채택은 2030년 이후로 전망됩니다.

이 구분이 중요한 이유는 경제성 차이가 극단적이기 때문입니다. 기존 리튬이온 라인을 반고체 라인으로 바꾸는 데는 초기 라인 비용의 10~15%만 들고, 기존 공정과 90% 호환됩니다. 반면 전고체는 공장을 새로 지어야 해서 GWh당 최대 1억 달러 규모의 투자가 필요합니다. 생산 비용도 기존 대비 3~5배 수준이고요.

그래서 반고체가 먼저 도로에 올라오는 중입니다. 완전한 해답은 아니지만 지금 만들 수 있는 것이니까요.

발표를 읽는 법

이 분야 뉴스를 볼 때 구분하면 좋을 지점이 몇 개 있습니다.

A샘플과 양산은 다릅니다. A샘플은 성능을 보여주는 시제품이고, 그 다음 B/C샘플을 거쳐 양산 검증에 들어갑니다. "A샘플 생산 완료"는 시작에 가깝습니다.

에너지 밀도 숫자는 조건을 봐야 합니다. 600Wh/kg 같은 수치가 셀 기준인지 팩 기준인지, 상온인지 특정 조건인지에 따라 실차 성능이 크게 달라집니다.

공정 정보가 공개됐는지 봐야 합니다. 도요타가 내세우는 1,000km와 10분 충전 같은 메시지는 매력적이지만, 대면적 전극 제조나 고체전해질 대량 합성 같은 핵심 공정 정보는 공개되지 않았다는 지적이 나옵니다. 성능 숫자와 양산 가능성은 별개라는 뜻입니다.

경쟁 구도

특허 출원은 일본이 앞섭니다. 2004~2023년 5대 특허청 기준으로 일본 9,881건, 중국 6,749건, 한국 5,770건 순입니다.

중국은 정부 지원 아래 공격적으로 움직입니다. 체리자동차가 600Wh/kg급 전고체 배터리를 공개하며 1,500km 주행을 공언했고, GAC 계열은 2026년 말 GWh 규모 양산을 선언했습니다. 실현되면 세계 최초 사례가 됩니다.

다만 산업연구원 쪽에서는 "상용화하려면 원천기술뿐 아니라 생산기술, 수율, 원가, 품질을 종합적으로 봐야 해서 중국이 가장 앞서 있다고 보기는 어렵다"는 평가도 나옵니다. 발표와 검증 사이에 간극이 있다는 거죠.

정리

전고체는 개선이 아니라 구조 변화입니다. 화재 위험이라는 문제를 완화하는 게 아니라 원인을 제거하는 접근이니까요. 그래서 실현되면 파급력이 큽니다.

다만 2026년 기준으로 "곧 나온다"는 얘기는 걸러 들을 필요가 있습니다. 2027년은 소량 양산 시작이지 살 수 있는 가격의 제품이 나오는 시점이 아닐 가능성이 높습니다. 지금 전기차 구매를 고민 중이라면 전고체를 기다리기보다 현세대 배터리를 선택하는 게 현실적이라는 게 대체적인 조언입니다.

MIT도 지킬 의무가 있습니다

ndev-note — Sun, 27 Sep 2026 10:00:32 +0900

npm install 한 번에 수백 개 패키지가 딸려 들어옵니다. 그중 라이선스를 확인해본 게 몇 개나 될까요. 저는 솔직히 거의 없습니다.

20일차에 AI가 추천한 패키지를 설치하는 보안 위험을 다뤘는데, 법적 위험도 비슷한 구조로 쌓입니다. 확인하지 않은 채 쌓이다가 배포 시점에 터지는 식이죠.

오픈소스는 "조건부 허용"이다

MIT는 가장 자유롭습니다. 수정, 재배포, 상업적 사용, 사유화까지 다 됩니다. 그런데 의무가 없는 건 아닙니다. 저작권 고지와 라이선스 전문을 사본에 포함해야 합니다.

여기서 실무적으로 자주 놓치는 지점이 있습니다. 바이너리 배포에도 적용된다는 것. 앱스토어에 올리는 앱, 도커 이미지, npm 패키지 전부 해당합니다. 소스를 공개할 필요는 없지만 고지는 넣어야 합니다. 앱에 "오픈소스 라이선스" 메뉴가 있는 게 이 때문인데, 이걸 빠뜨린 앱이 생각보다 많습니다.

MIT의 함정은 특허입니다. 특허 관련 조항이 없어서, 코드를 공개한 회사가 그 알고리즘 특허를 별도로 보유하고 있으면 나중에 특허 문제를 제기할 여지가 남습니다.

Apache 2.0은 그 지점을 보완합니다. 기여자가 특허권을 행사하지 않겠다는 조항이 들어 있어서 기업이 선호합니다.

GPL 계열은 copyleft입니다. 가져다 쓴 코드를 배포하면 내 코드도 같은 조건으로 공개해야 합니다. 여기서 핵심은 "배포"라는 조건인데, 사내에서만 쓰고 배포하지 않으면 공개 의무가 발생하지 않습니다.

소스 공개 대신 약정서를 제공하는 방법도 있습니다. 최소 3년간 소스코드를 제공하겠다는 서면을 실행물과 함께 배포하고, 요청 시 제공하는 방식입니다.

참고로 GPL-3.0과 LGPL-3.0은 사용자 제품에 대해 설치 정보까지 제공해야 하는 조항이 있어서, 기업이 준수하기 어렵다는 이유로 임베디드 제품에서는 사용을 피하는 경우가 많습니다.

AGPL이 진짜 함정이다

AGPL은 GPL의 "배포" 개념을 네트워크로 확장합니다. 서버에서 실행해 서비스를 제공하는 것만으로도 배포로 간주합니다.

즉 바이너리를 아무에게도 안 뿌려도, SaaS나 API로 서비스하면 소스 공개 의무가 생깁니다. 웹 서비스를 만드는 입장에서는 이게 결정적입니다. 실제로 많은 기업의 오픈소스 정책에서 AGPL은 네트워크 서비스 개발 시 사용 금지 목록에 올라 있습니다.

실제 분쟁 사례들

추상적으로 들리지만 실제 소송이 계속 있었습니다.

2008년 시스코는 GPL 코드가 포함된 Linksys 라우터 펌웨어를 의무 이행 없이 배포해 소송을 당했습니다. 한컴은 Ghostscript를 상용 제품에 포함하면서 라이선스 비용을 내지 않아 미국 법원에서 패소했고요.

프랑스 통신사 오랑주는 오픈소스 라이브러리를 쓰면서 GPL을 준수하지 않아 약 9억 4천만원 손해배상 판결을 받았습니다. 이 사건이 주목받은 이유는 GPL 분쟁이 주로 임베디드 기기에서 나오는데, 이건 B2B 웹서비스 구축 사례였다는 점입니다. 서버 쪽도 안전지대가 아니라는 뜻이죠.

최근에는 2025~2026년 Rockchip과 FFmpeg의 라이선스 분쟁이 임베디드 업계에서 화제가 됐습니다.

국내 동영상 플레이어들의 FFmpeg 사용도 오래된 이슈입니다. FFmpeg가 GPL과 LGPL 이중 라이선스인데, GPL이 적용되는 부분까지 쓰면서 소스를 공개하지 않는다는 지적이 반복됐습니다. 일부는 FFmpeg를 본체에서 분리해 별도 코덱 설치 파일로 배포하는 방식으로 대응했고요.

확인 방법

거창한 도구 없이도 기본 점검은 가능합니다.

Node 프로젝트라면 license-checker 같은 도구로 의존성 라이선스를 한 번에 볼 수 있습니다. 중요한 건 간접 의존성까지 봐야 한다는 점입니다. 내가 직접 넣은 패키지는 MIT인데 그게 끌어오는 하위 패키지가 GPL인 경우가 실제로 있습니다.

그리고 SBOM(Software Bill of Materials)을 빌드 파이프라인에 넣어두면 나중에 문의가 왔을 때 대응이 쉬워집니다. 20일차에서 공급망 보안 관점으로 같은 얘기를 했는데, 라이선스 관점에서도 "무엇이 들어 있는지 아는 것"이 출발점입니다.

Source Available도 구분해야 합니다. 소스가 공개돼 있어도 OSI 승인 라이선스가 아니면 오픈소스가 아닙니다. 상업적 SaaS 제공에 제한을 거는 경우가 많아서, 코드가 깃허브에 있다고 자유롭게 쓸 수 있다고 판단하면 위험합니다.

정리

오픈소스 라이선스 분쟁은 대부분 악의가 아니라 확인하지 않은 데서 시작됩니다. 급하게 라이브러리를 넣고 배포까지 가버리는 흐름이 흔하니까요.

실무적으로는 두 가지만 챙겨도 대부분 막힙니다. 배포물에 라이선스 고지를 포함하는 것, 그리고 AGPL과 GPL 계열이 의존성에 들어 있는지 한 번 확인하는 것. 프로젝트 초기에 하면 몇 분이고, 나중에 발견하면 아키텍처를 바꿔야 할 수도 있습니다.

세계 최초로 법을 만들고도 달라진 게 없었던 이유

ndev-note — Sat, 26 Sep 2026 16:00:01 +0900

한국은 2021년 9월 인앱결제 강제를 금지하는 법을 만들었습니다. 전기통신사업법 제50조의9, 세계 최초였습니다.

그런데 5년이 지난 지금, 규제의 실질적 진전은 EU와 미국 쪽에서 나오고 있습니다. 먼저 법을 만든 쪽이 뒤처진 이 상황이 규제 설계 관점에서 흥미로워서 정리해봤습니다.

법은 지켜졌는데 목적은 달성되지 않았다

법의 내용은 "특정 결제 수단을 강제하지 말라"였습니다. 애플과 구글은 이에 맞춰 외부결제를 허용했습니다. 형식적으로는 준수입니다.

문제는 그 외부결제에도 약 26%의 수수료를 부과했다는 점입니다. 기존 인앱결제가 30%였으니, 개발사 입장에서는 결제 시스템을 따로 붙이는 수고와 결제대행 수수료를 감안하면 오히려 손해였습니다. 선택지는 생겼는데 고를 이유가 없어진 거죠. "법안 무력화"라는 비판이 나온 배경입니다.

방송통신위원회는 2023년 10월 양사가 법을 위반했다고 보고 구글 475억원, 애플 205억원의 과징금을 예고했습니다. 다만 절차가 길어지면서 시장 변화를 이끄는 힘은 약했습니다.

여기서 규제 설계의 교훈이 나옵니다. 요율이 아니라 무엇에 부과하는가가 핵심이었다는 것. 결제 수단 강제를 금지해도, 유통 수수료라는 명목으로 같은 금액을 받을 수 있으면 실질이 달라지지 않습니다.

EU는 다르게 접근했다

EU 디지털시장법(DMA)은 이 지점을 정면으로 다뤘습니다.

애플은 2024년 DMA 시행 이후 앱 안에서 외부결제로 유도하는 행위(스티어링)를 허용하되 최대 20% 수수료를 매겼습니다. 한국에서 벌어진 일과 같은 구조죠.

그런데 EU 집행위는 **"스티어링에 대한 대가는 0원이어야 한다"**는 원칙을 내세웠습니다. 앱 밖으로 사용자를 안내하는 행위 자체에는 수수료를 물릴 수 없다는 겁니다. 이것이 2025년 4월 5억 유로 과징금으로 이어졌고, 결국 2026년 8월 애플이 EU 지역 수수료 체계를 전면 개편했습니다.

개편된 구조는 결제 경로별 차등입니다. 앱스토어 안에서 애플 인앱결제를 쓰면 26%(구독 2년차부터 15%), 앱스토어 안에서 다른 결제 시스템을 쓰면 20%(우대 대상 10%). 개발자는 결제 경로만 고르면 해당 요율이 자동 적용됩니다.

미국에서는 법원이 더 직접적인 판단을 내렸습니다. 앱 외부(웹)에서 이루어진 구매에는 수수료를 부과할 수 없고, 외부 구매 링크의 위치·형식·내용을 제한할 수도 없다는 것. 판사는 애플의 27% 우회 수수료를 "심각한 계산 착오"라고 표현했습니다.

플랫폼 측 논리도 들어볼 필요가 있다

애플의 반론은 대략 이렇습니다.

수수료는 심사와 보안 인프라를 쓰는 대가라는 것. 매주 20만 건 이상 앱을 심사하는 체계를 유지하는 비용이 들고, 그 폐쇄적 관리가 iOS의 악성코드 피해를 억제해왔다는 주장입니다.

부담 범위에 대한 반박도 있습니다. 앱스토어 입점 앱의 85%는 수수료를 내지 않는다는 것. 실물 상품 판매나 광고 기반 무료 앱은 대상이 아니고, 디지털 서비스 판매 앱만 수수료를 냅니다. 수수료를 내는 개발자 대다수는 연 매출 100만 달러 이하라 15% 요율을 적용받고요.

사이드로딩에 대한 우려도 일관되게 제기합니다. 심사를 거치지 않은 앱 설치가 허용되면 악성코드와 사기 위험이 커진다는 논리입니다.

이 주장들이 전부 방어 논리인 것만은 아닙니다. 실제로 안드로이드와 iOS의 악성 앱 노출도 차이는 관측되는 사실이고, 심사 비용이 존재하는 것도 맞습니다.

반대편 논리도 명확합니다. 결제 수단을 강제하는 것은 유통 지배력을 인접 시장(결제)으로 확장하는 행위이고, 30%라는 요율이 경쟁 압력 없이 유지돼왔다는 점요. 유통과 결제를 분리해야 비로소 가격 경쟁이 생긴다는 겁니다.

개발 쪽에서 실무적으로 바뀌는 것

앱을 만드는 입장에서는 선택지가 늘어난 만큼 판단할 것도 늘었습니다.

결제 경로 설계. 인앱결제, 앱 내 외부 결제, 웹 결제 유도 중 무엇을 기본으로 둘지가 수익 구조를 바꿉니다. 미국 판결 이후 웹 결제 유도의 경제성이 크게 좋아졌습니다.

전환율과의 트레이드오프. 수수료를 아끼려고 웹으로 보내면 결제 단계가 늘어나 이탈이 생깁니다. 23일차 다크패턴 글에서 다룬 것처럼 단계 하나가 전환율에 미치는 영향은 큽니다. 수수료 절감분이 이탈로 상쇄되는지 실제로 측정해봐야 합니다.

지역별 분기. EU, 미국, 한국의 규칙이 다릅니다. 글로벌 앱이라면 지역에 따라 결제 UI와 요율이 달라지는 구조를 감당해야 합니다.

정리

한국 사례가 남긴 교훈은 "행위를 금지하는 규제는 경제적 실질을 함께 보지 않으면 우회된다"는 것이라고 봅니다. 결제 강제를 막았는데 같은 금액을 다른 명목으로 받을 수 있으면, 법은 지켜지고 시장은 그대로입니다.

EU가 "스티어링 대가는 0원"이라고 못 박은 것이 효과를 낸 이유도 여기 있습니다. 요율을 정하는 대신 특정 행위에 대가를 물릴 수 없다고 선을 그은 거죠. 6일차 AI 기본법이나 23일차 다크패턴 규제를 볼 때도 같은 질문이 유효할 것 같습니다. 이 규제는 우회 가능한가.

유심 트레이가 사라지는 이유

ndev-note — Sat, 26 Sep 2026 10:00:32 +0900

아이폰 에어는 전 세계 모델에서 물리 SIM 슬롯을 없앴습니다. 최신 아이패드도 eSIM만 지원하고요. 미국판 아이폰은 14 시리즈부터 트레이가 없습니다.

기기 제조사가 이 방향으로 가는 이유는 분명한데, 사용자 입장에서는 불편해지는 지점도 있습니다. 양쪽을 정리해봤습니다.

제조사가 없애고 싶어하는 이유

유심 트레이는 기기 설계에서 꽤 비싼 부품입니다. 카드 슬롯 자체가 공간을 먹고, 외부로 뚫린 구멍이라 방수 설계에 부담이 됩니다. 실링과 개스킷이 들어가야 하고 고장 지점도 하나 늘죠.

아이폰 에어처럼 두께를 극단적으로 줄인 기기에서는 이게 결정적인 제약이 됩니다. 실제로 하드웨어 제약 때문에 물리 SIM 모듈을 뺐다고 알려졌고, 그 결과 중국 본토에서 정발된 첫 eSIM 지원 아이폰이 됐습니다. 그동안 중국 내수용 아이폰은 예외 없이 물리 듀얼심 트레이를 달고 나왔는데도요.

유통 비용도 있습니다. 물리 유심은 제조·재고·배송이 필요하고 대리점을 거칩니다. eSIM은 QR 코드 하나로 끝나고요. 발급비만 봐도 eSIM 2,750원, 물리 유심 7,700원입니다.

프로비저닝 구조

기술적으로 흥미로운 부분입니다. eSIM은 "빈 칩에 통신사 정보를 내려받는" 방식인데, 이 과정이 단순 파일 복사가 아닙니다.

기기의 eSIM 칩에는 EID라는 고유 식별자가 있습니다. eSIM용 IMEI라고 생각하면 됩니다. 통신사가 프로필을 발급할 때 이 EID를 기반으로 암호화 패키지(BPP)를 생성합니다.

여기서 중요한 결과가 나옵니다. BPP가 특정 EID에 묶여 생성되므로, 다른 기기로 옮기려면 무조건 신규 발급을 받아야 합니다. 물리 유심처럼 빼서 꽂는 게 원리적으로 불가능한 거죠.

보안 관점에서는 합리적인 설계입니다. 프로필이 기기에 결속되니 복제가 어렵습니다. 4일차 패스키에서 개인키가 기기 안에 남는 구조를 다뤘는데, 발상이 같습니다. 다만 24일차 디지털 유산 글에서 짚었듯, 기기 결속은 편의성과 항상 트레이드오프입니다.

한국의 개통 절차가 유별나다

국내 eSIM에는 특이한 점이 있습니다. 개통 시 IMEI 2개와 EID를 요구하는 절차 때문에 해외 eSIM 서비스를 쓰기 어려운 경우가 생깁니다. 나무위키 같은 곳에서도 "한국의 독특한 eSIM 개통 절차"로 언급되는 대목이고요.

그리고 국내 통신사 정책상 eSIM은 단말기(IMEI)에 종속돼 있어서 다른 단말기로 옮겨 쓸 수 없습니다. 기술적 제약(EID 결속)과 정책적 제약이 겹쳐 있는 셈입니다.

여기서 실무적으로 걸리는 게 하나 있습니다. 물리 유심은 유심기변만으로 금융거래나 PASS 본인인증이 가능한데, eSIM은 기기 교체 시마다 재발급 절차를 거쳐야 합니다. 본인인증이 통신사 회선에 강하게 결합된 국내 환경에서는 이게 체감되는 불편입니다.

실제로 유용한 지점

그래도 eSIM의 효용이 확실한 영역이 있습니다.

해외 로밍. 국내 번호를 유심으로 유지하면서 현지 데이터 eSIM을 추가하는 게 가장 큰 용처입니다. 국내 전화와 문자는 그대로 받으면서 데이터는 현지 요금으로 쓰는 구조죠. iOS 26에는 여행용 eSIM 전용 설정 흐름까지 들어갔습니다.

회선 조합. 통화 품질이 좋은 통신사 회선 + 데이터가 저렴한 알뜰폰 조합이 가능합니다. 업무용과 개인용 번호를 한 기기에서 쓰는 것도요.

즉시 개통. 대리점 방문이나 배송 대기 없이 온라인에서 끝납니다. 알뜰폰 셀프 개통과 조합하면 초기 비용을 줄일 수 있습니다.

주의할 점

기기 변경 시 재발급이 필요합니다. 새 폰으로 옮기려면 통신사에서 다시 발급받아야 합니다. 폰을 자주 바꾸는 편이면 물리 유심이 편할 수 있습니다.

초기화 시 프로필이 사라질 수 있습니다. 공장초기화 전에 통신사 절차를 확인해야 합니다.

앱 지원이 완전하지 않습니다. 카카오톡은 번호 하나만 등록됩니다. 듀얼심을 온전히 지원하지 않는 앱이 꽤 있습니다.

동시 통화는 안 됩니다. 한 회선으로 통화 중이면 다른 회선 전화는 부재중 처리됩니다. 수신 대기 자체는 양쪽 다 되지만요.

갤럭시 일부 모델은 트레이드오프가 있습니다. eSIM 활성화 시 SIM 2 슬롯이 비활성화되는 기종이 있어서, eSIM을 쓰면 물리 듀얼심을 포기해야 합니다.

정리

eSIM은 사용자 편의보다 기기 설계와 유통 효율에서 출발한 변화로 보는 게 정확합니다. 두께를 줄이고 방수를 챙기고 유통 단계를 없애는 쪽 이득이 먼저였고, 사용자 편의는 뒤따라온 부수 효과에 가깝습니다.

그래서 물리 유심이 완전히 사라지는 건 시간문제겠지만, 그 과정에서 "기기 간 이동"이라는 편의 하나를 잃게 됩니다. 국내 환경에서는 본인인증 구조와 얽혀 체감이 더 크고요. 지금이 두 방식을 함께 쓸 수 있는 과도기라 오히려 선택지가 가장 넓은 시점인 것 같습니다.

스마트홈에도 USB-C가 필요했다 - 매터 표준 정리

ndev-note — Fri, 25 Sep 2026 16:00:20 +0900

1일차에 MCP를 정리하면서 M×N 문제 얘기를 했습니다. AI 앱이 M개, 도구가 N개면 연동이 M×N개 필요해진다는 거요. 그런데 이 구조는 AI가 처음 겪는 문제가 아니었습니다. 스마트홈이 10년 먼저 같은 벽에 부딪혔거든요.

매터(Matter)가 그 답으로 나온 표준입니다.

왜 필요했나

스마트 전구를 사면 그 회사 앱을 깔고, 스마트 플러그를 사면 또 다른 앱을 깔았습니다. 폰에 앱이 다섯 개씩 쌓이고, 브랜드가 다르면 연동이 안 됐습니다. "밤 11시에 불 끄고 플러그 차단" 같은 자동화가 브랜드 경계에서 끊기는 거죠.

기술적 원인도 있었습니다. 기존에 많이 쓰인 지그비(Zigbee)는 자체 주소 체계를 썼는데, 종단 식별자가 1~240개 수준이었고 외부망 연결을 고려하지 않고 설계됐습니다. 그래서 다른 서비스와 엮기가 어려웠습니다.

2019년 애플, 삼성, 구글, 아마존이 Project CHIP이라는 이름으로 공동 작업을 시작했고, 2022년 매터 1.0이 나왔습니다. 경쟁사끼리 규격을 합친 드문 사례입니다. 이름은 라틴어로 어머니를 뜻하는 māter에서 왔습니다.

설계의 핵심 두 가지

IP 기반. 매터는 IPv6 위에 올라갑니다. 기기 검색, 네트워크 할당, 제어, 보안이 전부 IP 네트워크 위에서 돌아갑니다. 독자 주소 체계를 버리고 인터넷과 같은 방식을 쓴 게 확장성의 출발점입니다.

멀티 어드민. 개인적으로 이게 매터의 진짜 특징이라고 봅니다. 기기 하나가 여러 생태계에 동시에 등록될 수 있습니다. 같은 전구를 애플 홈과 삼성 스마트싱스에 함께 연결해두고 양쪽에서 제어하는 게 가능하죠.

이건 단순한 호환성과 다릅니다. 기존 방식은 "A 허브를 쓰면 A 앱만"이었는데, 멀티 어드민은 기기 소유권을 플랫폼에서 사용자로 옮깁니다. 가족 중 한 명은 아이폰, 다른 한 명은 갤럭시를 쓰는 집에서 체감이 큽니다.

로컬 제어도 중요합니다. 클라우드를 경유하지 않고 집 안 네트워크에서 처리되니, 인터넷이 끊겨도 스위치가 동작하고 반응 지연도 줄어듭니다. 26일차 클라우드 장애 글에서 다룬 문제를 구조적으로 피하는 설계입니다.

구성 요소

여기서 혼란이 자주 생깁니다. 매터 기기를 사도 컨트롤러가 없으면 동작하지 않습니다. AI 스피커, 일부 TV, 셋톱박스가 이 역할을 합니다.

보더 라우터는 Thread 기기를 쓸 때 필요합니다. Thread는 저전력 무선 표준인데, 배터리로 오래 가야 하는 센서나 전구에 유리합니다. 다만 Thread 기기는 와이파이에 직접 붙지 않아서, 두 네트워크를 이어주는 보더 라우터가 있어야 합니다.

그래서 실무적으로는 이런 판단이 생깁니다. 기기가 몇 개뿐이면 Wi-Fi 매터 기기가 간단하고, 센서와 전구를 여러 개 깔 계획이면 Thread 쪽이 전력과 안정성 면에서 낫습니다.

보안 구조가 흥미롭다

매터에는 DAC(Device Attestation Certificate) 기반 인증이 들어 있습니다. 기기마다 제조사가 발급한 인증서가 심겨 있어서, 허브가 연결 시점에 이 기기가 정품 인증을 받았는지 검증합니다.

여기에 **DCL(Distributed Compliance Ledger)**이 붙습니다. 인증된 제품 정보가 분산 장부에 등록되고, 허브가 연결할 때마다 이걸 조회해 정식 인증 기기인지 확인합니다.

즉 신원 증명 방식이 IoT에 들어온 겁니다. 4일차 패스키, 22일차 모바일 신분증, 31일차 C2PA에서 반복적으로 본 구조와 같습니다. "공개키로 증명하고 검증자가 대조한다"는 패턴이 인증·신분증·콘텐츠·기기로 계속 확장되는 중입니다.

2026년부터 EU 사이버복원력법(CRA)이 본격 적용되면서 디지털 기능이 있는 제품의 보안 요구가 강화됐습니다. 이 환경에서 매터 인증은 호환성 확보 수단이면서 규제 대응 수단이기도 하게 됐습니다.

여전히 남은 문제

매터가 있다고 모든 게 매끄럽지는 않습니다.

기능 지원의 최소 공통분모 문제. 매터는 기기 유형별로 표준 기능을 정의합니다. 그래서 제조사 고유 기능은 빠지는 경우가 많습니다. 로봇청소기가 연결은 되는데 구역 설정은 제조사 앱에서만 되는 식이죠. 매터 1.2에서 냉장고, 에어컨, 세탁기, 식기세척기, 공기청정기, 로봇청소기 같은 복잡한 가전 사양이 표준화됐지만, 세부 기능까지 다 담기는 어렵습니다.

표준화의 속도. 새 기기 유형이 나올 때마다 규격 논의가 필요합니다. 제조사는 기다리기보다 독자 기능을 먼저 내놓게 되고요.

기존 기기. 이미 사둔 비매터 기기는 브리지를 거쳐야 하거나 그냥 못 씁니다.

그래서 살 때 볼 것

이런 한계를 감안하면, 매터 로고만 보고 사는 것으로는 부족합니다. 실제로 확인할 지점은 이 정도입니다.

Wi-Fi 방식인지 Thread 방식인지, 집에 컨트롤러 역할을 할 기기가 있는지, 쓰려는 기능이 매터 표준 범위에 들어가는지. 그리고 펌웨어 지원이 지속되는 브랜드인지도 봐야 합니다. 32일차 확장 프로그램 글에서 방치된 소프트웨어가 취약해진다는 얘기를 했는데, 집 안 네트워크에 상시 붙어 있는 기기는 그 위험이 더 큽니다.

정리

매터는 스마트홈판 USB-C입니다. 규격을 통일해서 M×N을 M+N으로 줄이는 방식요.

기술적으로 새로운 발명은 없습니다. IP를 쓰고, 공개키로 기기를 검증하고, 로컬에서 처리한다는 건 모두 알려진 방법입니다. 그런데도 오래 안 됐던 이유는 기술이 아니라 합의였습니다. 경쟁사들이 서로의 생태계를 열 이유가 없었으니까요. 1일차 MCP에서 리눅스 재단 기증 얘기를 했는데, 결국 표준화는 기술 문제라기보다 정치 문제인 것 같습니다.

설치할 땐 착했던 확장 프로그램

ndev-note — Fri, 25 Sep 2026 10:00:16 +0900

브라우저에 깔린 확장 프로그램이 몇 개나 되시나요. 저는 세어봤더니 열한 개였고, 그중 넷은 언제 왜 깔았는지 기억이 안 났습니다.

20일차에 AI가 추천한 패키지를 설치하는 위험을 다뤘는데, 확장 프로그램은 그보다 더 직접적입니다. 우리가 매일 로그인하는 모든 사이트 위에서 돌아가니까요.

구조적으로 위험한 설계

권한이 지나치게 넓습니다. 많은 확장이 "모든 웹사이트의 데이터 읽기 및 변경" 권한을 요구합니다. 이 권한이 있으면 방문 사이트, 입력 내용, 로그인 상태에 전부 접근할 수 있습니다. 비밀번호를 입력하는 순간의 DOM도 포함해서요.

문제는 이게 과한 요구가 아니라는 점입니다. 광고 차단기나 번역 도구는 실제로 모든 페이지를 읽어야 동작합니다. 그래서 사용자가 권한 화면에서 판단할 근거가 없습니다. 정상 기능에 필요한 권한과 악용 가능한 권한이 같으니까요.

업데이트가 자동입니다. 이게 가장 고약한 지점입니다. 설치 시점에 깨끗했던 확장이 나중에 악성 코드를 넣어 업데이트해도 사용자 동의 없이 적용됩니다. 원 개발자뿐 아니라 권한을 가진 누구든 업데이트를 올릴 수 있고요.

소유권이 이전됩니다. 사용자 수가 많은 확장을 사들여서 추적이나 광고 삽입 코드를 넣는 패턴이 반복적으로 보고됩니다. 인수 자체는 합법이고, 사용자는 알 방법이 없습니다.

방치되면 취약해집니다. 개발이 멈춘 확장은 보안 패치가 나오지 않습니다. 수백만 명이 쓰던 확장에서 하드코딩된 API 키와 자격증명이 발견돼 대량 유출로 이어진 사례도 있습니다.

무엇이 새어나가나

실제 사고 유형을 보면 대개 이렇습니다. 브라우징 이력과 검색어, 로그인 토큰과 세션 쿠키, 페이지에 입력한 값, 그리고 일부 사례에서는 자동 스크린샷까지.

여기서 세션 쿠키가 특히 중요합니다. 쿠키를 탈취당하면 비밀번호와 2단계 인증을 거치지 않고도 로그인된 상태를 그대로 복제할 수 있습니다. 그래서 악성 확장 경고를 받았을 때 삭제만 하는 건 부족합니다. 비밀번호를 바꾸고, 각 서비스의 "모든 기기에서 로그아웃"을 실행해 기존 세션을 무효화해야 합니다.

4일차 패스키 글에서 피싱 저항을 다뤘는데, 확장은 그 방어를 우회합니다. 피싱은 가짜 사이트로 유도하는 공격이지만, 악성 확장은 진짜 사이트 안에서 동작하니까요.

조직 단위에서는 더 곤란하다

기업 환경에서 이 문제가 커지는 이유는 가시성입니다. 직원이 확장을 설치하는 데 IT 부서를 거치지 않고, 보안팀은 무엇이 깔려 있는지 파악하지 못합니다. 네트워크 경계 보안은 브라우저 안에서 벌어지는 일을 보지 못하고요.

최근에는 생성형 AI 확장이 늘면서 "섀도우 AI" 문제가 겹칩니다. 직원이 사내 문서를 요약하려고 AI 확장에 붙여넣으면, 그 데이터가 어디로 가는지 아무도 모르는 상황이 됩니다. 확장 관리 도구 시장이 커지는 배경이기도 합니다.

실무 대응

개인 차원에서는 이 정도면 충분합니다.

안 쓰는 건 지웁니다. 가장 효과적이고 가장 미루기 쉬운 일입니다. 언제 깔았는지 기억나지 않는 확장이 위험도 순위 1위입니다.

권한을 좁힙니다. 크롬에서 확장 아이콘을 우클릭하면 사이트 접근 권한을 "클릭할 때만"으로 바꿀 수 있습니다. 대부분의 확장은 이 설정으로도 잘 동작합니다.

환경을 분리합니다. 금융이나 업무용 접속은 확장이 깔리지 않은 별도 브라우저나 프로필에서 하는 게 확실합니다. 브라우저 프로필 하나 더 만드는 데 1분이면 됩니다.

개발하는 입장이라면 한 가지 덧붙일 게 있습니다. 확장을 만들 때 권한을 최소로 선언하는 것, 그리고 host_permissions를 와일드카드로 두지 않는 것. 필요한 도메인만 지정하면 사용자가 신뢰할 근거가 생깁니다.

정리

확장 프로그램의 근본 문제는 "설치 시점의 안전성이 계속 유지되지 않는다"는 데 있습니다. 한 번 검증했다고 끝나는 게 아니라 언제든 바뀔 수 있는 구조니까요.

그래서 스토어 심사나 백신에 기대기보다, 설치한 것 자체를 줄이는 게 현실적인 방어입니다. 오늘 확장 목록 한 번 열어보시길 권합니다. 저는 열한 개 중 다섯 개를 지웠습니다.

가짜를 찾는 대신 진짜를 증명한다

ndev-note — Thu, 24 Sep 2026 16:00:19 +0900

6일차에 AI 기본법을 정리하면서 "AI가 만든 건 표시해야 한다"는 의무를 다뤘습니다. 그때는 제도 얘기였는데, 그 표시를 실제로 어떻게 구현하는지가 궁금해졌습니다.

찾아보니 업계가 두 갈래로 접근하고 있더군요. 그리고 그 둘의 발상이 정반대라는 게 흥미로웠습니다.

두 가지 접근

워터마크 방식은 AI 생성물에 사람이 알아챌 수 없는 신호를 심어둡니다. 이미지라면 픽셀 패턴에, 텍스트라면 단어 선택 확률 분포에 흔적을 남기는 식입니다. 탐지 도구를 돌려야 확인되고요.

구글은 SynthID로 제미나이가 만든 텍스트·이미지·영상에 적용하고 있고, 누적 1,000억 개 이상의 이미지와 영상에 워터마크를 넣었다고 밝혔습니다. 앤트로픽도 EU AI법 투명성 의무에 대응해 클로드 모델에 기계 판독용 텍스트 워터마크를 적용하기 시작했습니다. 제3자가 확인할 수 있는 탐지 도구와 기술 문서도 공개할 계획이라고 하고요.

텍스트 워터마크가 기술적으로 더 까다롭습니다. 이미지는 사람 눈에 안 보이는 미세한 변화를 줄 여지가 크지만, 텍스트는 단어 하나만 바꿔도 의미가 달라질 수 있으니까요. 그래서 토큰 선택 확률에 편향을 주는 방식을 쓰는데, 문장이 짧으면 신호가 묻힙니다.

**출처 증명 방식(C2PA)**은 반대로 갑니다. "AI가 만들었다"를 표시하는 게 아니라 "누가 언제 어떻게 만들었는지"를 암호 서명으로 기록합니다. 어도비, 마이크로소프트, 오픈AI, BBC 등이 참여하는 표준이고, 촬영·편집 이력이 메타데이터로 따라다니다가 변조되면 서명 검증이 깨집니다.

카메라에 들어간 게 신호다

C2PA에서 주목할 대목이 있습니다. 구글이 픽셀 10부터 기본 카메라 앱으로 찍은 사진에 C2PA 자격 증명을 넣기 시작했다는 것입니다. AI로 만든 것뿐 아니라 실제로 촬영한 것에도요.

이게 발상 전환의 지점이라고 봅니다. 지금까지는 "이게 가짜인지 찾아내자"였는데, 이제 "이게 진짜라는 걸 증명해두자"로 옮겨가는 거죠.

논리적으로 이쪽이 더 견고합니다. 가짜를 만드는 쪽은 표시를 지우면 그만이지만, 진짜를 증명하는 쪽은 증명이 있느냐 없느냐로 판별됩니다. 25일차 AI 저작권 글에서 "출처 증명이 자산이 됐다"는 얘기를 했는데, 콘텐츠 진위에서도 같은 흐름이 보입니다.

그런데 뚫린다

문제는 이 모든 게 생각보다 쉽게 무력화된다는 점입니다.

제거가 쉽습니다. 캡처하거나 재편집하면 메타데이터는 날아가고 워터마크도 상당수 손상됩니다. 심지어 깃허브에 SynthID 같은 비가시 워터마크, C2PA 메타데이터, 로고까지 제거하는 오픈소스 도구가 공개돼 있습니다.

적용 범위가 좁습니다. 규제를 따르는 대형 서비스만 표시를 붙입니다. 오픈 모델을 로컬에서 돌리거나 규제 밖 서비스를 쓰면 아무 표시도 없습니다. 실제로는 표시 없는 생성물이 훨씬 많습니다.

확인하지 않습니다. 이게 가장 근본적입니다. 표시가 있어도 사람들이 눌러서 확인하지 않으면 아무 소용이 없습니다. 기술 해법이 인간의 행동 패턴을 바꾸지는 못한다는 지적이 나오는 이유입니다.

역효과 가능성도 있습니다. "표시가 없으니 진짜겠지"라는 오해를 만들 수 있습니다. 표시 체계가 불완전한 상태에서는 오히려 판단을 흐릴 위험이 있습니다.

그래도 무의미하지는 않다

이렇게 정리하면 회의적으로 들리는데, 저는 방향 자체는 맞다고 봅니다.

완벽한 판별이 목표가 아니라 마찰을 늘리는 게 목표라고 보면 평가가 달라집니다. 워터마크를 지우려면 추가 작업이 필요하고, 그 과정에서 품질이 떨어지거나 흔적이 남습니다. 대량으로 자동화된 허위 콘텐츠를 만드는 비용이 조금이라도 올라가면 의미가 있습니다.

그리고 책임 추적에는 확실히 쓸모가 있습니다. 문제가 생겼을 때 "어디서 만들어졌는가"를 사후에 확인할 수 있는 것과 없는 것은 다릅니다.

서비스 만드는 입장에서

콘텐츠를 다루는 서비스라면 몇 가지가 실무로 내려옵니다.

메타데이터를 지우지 않기. 많은 서비스가 이미지 업로드 시 최적화 명목으로 메타데이터를 통째로 제거합니다. C2PA 정보도 같이 날아가죠. 앞으로는 출처 정보를 보존하고 표시하는 쪽으로 가는 게 맞습니다.

표시를 UI에 드러내기. 6일차에서 다룬 표시 의무는 결국 화면에 구현됩니다. 배지를 어떻게 보여줄지, 스크린리더에서도 읽히는지가 27일차 접근성 글과도 맞물립니다.

검증 결과를 단정적으로 쓰지 않기. 탐지 도구는 확률적입니다. "AI 생성물임"이라고 단정하는 UI는 오탐 시 문제가 커집니다.

정리

AI 생성물을 완벽히 구분하는 기술은 없고, 당분간 나오기도 어려울 것 같습니다. 흐름은 "가짜 찾기"에서 "진짜 증명하기"로 옮겨가는 중이고, 카메라 단계에서 증명을 시작한 게 그 신호입니다.

다만 기술이 어디까지 가든 마지막 판단은 사람 몫으로 남습니다. 출처가 불분명한 콘텐츠를 의심하는 습관이 결국 가장 확실한 방어선이라는 결론은, 좀 허무하지만 사실인 것 같습니다.

도심에선 쓸 이유가 없는 기술 - 저궤도 위성인터넷 정리

ndev-note — Thu, 24 Sep 2026 10:00:41 +0900

스타링크가 2025년 12월 국내 서비스를 시작했습니다. 1년 6개월에 걸친 규제 절차를 거쳐서요. 그런데 정보통신정책연구원 분석은 단기적으로 국내 통신시장에 의미 있는 영향을 미칠 정도의 수요를 만들기는 어렵다고 봤습니다.

기술적으로는 흥미로운데 시장에서는 제한적일 거라는 평가. 이 간극이 왜 생기는지가 이 기술을 이해하는 핵심이라고 생각합니다.

위성인터넷은 원래 안 쓰던 기술이었다

위성으로 인터넷을 하는 건 새로운 아이디어가 아닙니다. 문제는 지연시간이었습니다.

기존 위성인터넷은 정지궤도 위성을 씁니다. 고도 약 36,000km에 떠서 지구 자전과 같은 속도로 돌기 때문에 지상에서 보면 한 점에 고정돼 보입니다. 안테나를 한 방향으로 고정해두면 되니 편리하죠.

대신 거리가 문제입니다. 신호가 왕복 72,000km를 오가야 하니 물리적으로 600ms 이상의 지연이 생깁니다. 빛의 속도라는 제약이라 기술로 줄일 수 없습니다. 웹페이지를 여는 데 1초 가까이 걸리고, 영상통화나 게임은 사실상 불가능합니다.

저궤도는 고도를 550km 수준으로 낮춥니다. 그러면 지연이 20~50ms까지 떨어져서 일반 인터넷과 체감이 비슷해집니다.

문제는 낮게 돌면 시야가 좁아진다는 것입니다. 위성 하나가 커버하는 면적이 줄고, 게다가 지구 자전보다 빨리 돌아서 지상에서 보면 계속 지나갑니다. 그래서 수천 기를 띄워야 하고, 단말은 지나가는 위성을 계속 바꿔가며 연결해야 합니다.

즉 저궤도 위성인터넷은 새로운 물리 법칙을 찾아낸 게 아니라, 위성을 수천 개 띄우고 그걸 계속 전환하는 무식한 방식이 경제적으로 가능해진 결과입니다. 발사 비용이 떨어지면서요.

그런데 한국에서는

기술이 좋아졌는데도 국내 시장 전망이 조심스러운 이유는 단순합니다. 한국은 유선 인프라가 세계적으로 촘촘한 나라입니다.

숫자로 보면 명확합니다. 스타링크 주거용이 월 8만 7천원에 단말 55만원이고, 안내 속도는 다운로드 135Mbps 수준입니다. 도심 기가인터넷은 월 3~4만원대에 훨씬 빠릅니다. 속도와 가격 양쪽에서 경쟁이 안 됩니다.

대체재가 이미 훌륭한 시장에서는 새 기술이 들어갈 자리가 좁습니다. 반대로 인프라가 없는 국가에서 스타링크가 빠르게 성장한 이유도 같은 논리고요.

진짜 시장은 다른 데 있다

그래서 국내 전략은 B2C가 아니라 다른 쪽을 향합니다.

해상. 선박은 육지 통신망이 닿지 않습니다. 실제로 SK해운, 선박관리기업, 물류사 등과의 계약이 먼저 나왔습니다. 위성통신에 보안 서비스를 결합한 형태로요.

항공. 기내 와이파이가 느린 건 다들 겪어보셨을 텐데, 여기도 위성 대역폭 문제입니다. 국내 항공사들이 도입 준비에 들어갔습니다.

도서·산간. 유선망을 깔기엔 가구 수가 적어 경제성이 안 나오는 지역이 남아 있습니다.

백업망. 이게 개인적으로 가장 흥미로운 용도입니다. 26일차에 클라우드 장애를 다루면서 단일 장애점 얘기를 했는데, 통신망도 같은 구조입니다. 지상망이 재해로 끊겼을 때 완전히 다른 경로를 하나 갖고 있는 것의 가치는 평소 요금으로 환산되지 않습니다.

남은 문제들

천문 관측 방해. 수천 기의 위성이 반사광을 만들어 관측을 방해한다는 지적이 천문학계에서 계속 제기됩니다.

궤도 혼잡과 우주 쓰레기. 여러 사업자가 각자 수천 기를 올리면 충돌 위험이 커집니다. 원웹, 아마존 카이퍼, 중국 사업자까지 경쟁 중입니다.

특정 기업 의존. 통신 인프라의 일부가 해외 민간 기업 한 곳에 의존하게 되는 구조는 정책적으로 민감한 문제입니다. 다른 국가에서도 논의되는 사안이고요.

정리

저궤도 위성인터넷은 "유선을 대체하는 기술"이 아니라 "유선이 닿지 않는 곳을 메우는 기술"로 보는 게 정확합니다. 그리고 한국은 유선이 닿지 않는 곳이 유난히 적은 나라입니다.

그래서 이 기술의 국내 의미는 가입자 수보다 다른 데 있다고 봅니다. 지상망과 완전히 독립된 경로가 하나 생겼다는 것. 평소에는 쓸 일이 없지만 필요할 때 대안이 있는 것과 없는 것은 다르니까요.

알고리즘을 공개하면 투명해질까

ndev-note — Wed, 23 Sep 2026 16:00:12 +0900

"알 수 없는 알고리즘이 나를 여기로 이끌었다"는 댓글이 유행어가 된 지 오래입니다. 그런데 정작 그 알고리즘을 공개하라는 법안이 나오면 문제가 해결될까요.

올해 국회에서 추천 알고리즘 규율 입법이 잇따라 발의됐습니다. 설계 기준 공개와 영향평가 의무화가 골자고, 투명성 확보와 정보 공개 의무를 이행하지 않으면 국내 총매출액의 3% 또는 10억원 중 더 큰 금액을 과징금으로 부과하는 안이 포함됐습니다.

이 논의가 왜 간단하지 않은지 정리해봤습니다.

공개가 답이 되기 어려운 이유

그래서 투명성 요구가 나오는 건 자연스럽습니다. 문제는 무엇을 어떻게 공개하느냐입니다.

학계에서 반복적으로 지적되는 대목이 있습니다. 고도화된 신경망은 의사결정이 블랙박스 구조라, 알고리즘 공개 자체가 불가능하거나 공개해도 분석에 상당한 시간이 걸릴 수 있다는 것입니다. 결국 제도가 유명무실해질 가능성이 있다는 지적이죠.

실제로 추천 모델의 가중치 파일을 공개한다고 해서 "왜 이 영상이 내게 떴는지"를 알 수 있는 건 아닙니다. 수억 개 파라미터의 상호작용을 사람이 읽어낼 방법이 없으니까요. 소스코드를 공개해도 사정은 비슷합니다. 학습 데이터와 실시간 신호가 결과를 결정하는데 그건 코드에 없습니다.

그래서 논의의 무게중심이 "알고리즘 공개"에서 "결과에 대한 설명과 통제권"으로 옮겨가고 있습니다.

EU의 접근: 통제권

EU 디지털서비스법(DSA)이 택한 방향이 이 점에서 참고할 만합니다. 정보 제공을 넘어 사용자가 추천 시스템의 주요 매개변수 설정을 바꾸거나, 프로파일링에 기반하지 않은 추천 옵션을 선택할 수 있게 하는 데 초점이 있습니다.

쉽게 말하면 "우리 알고리즘은 이렇게 생겼습니다"가 아니라 "개인화를 끄고 볼 수 있습니다"에 가깝습니다. 코드를 이해하지 못해도 행사할 수 있는 권리라는 점에서 실효성이 다릅니다.

다만 이 접근에도 한계 지적이 있습니다. DSA의 의무가 대규모 플랫폼에 국한된다는 점, 그리고 개인화를 끈 피드가 실제로 쓸모 있느냐는 문제요. 학계에서는 대안으로 사용자가 플랫폼 외부의 제3자 추천 시스템을 선택할 수 있게 하는 방안도 검토됩니다.

규제 쪽 반론도 있다

국내 입법 논의에 대해서는 우려도 제기됩니다.

가장 실질적인 지적은 집행 형평성입니다. 유튜브 같은 해외 사업자도 법안 적용 대상에 포함되지만, 행정 집행의 현실적 한계 때문에 결과적으로 국내 사업자에게만 규제 부담이 집중될 수 있다는 것입니다. 21일차 망 사용료 글에서 본 구조와 비슷하죠.

산업경쟁력 약화 우려도 나옵니다. 추천 시스템은 사실상 모든 서비스의 핵심 기능이라, 영향평가 의무가 광범위하게 적용되면 부담이 크다는 논리입니다.

어느 쪽이 맞다고 단정하기 어렵습니다. 여론 형성에 미치는 영향이 실재하는 것도 사실이고, 실효성 없는 규제가 부담만 남길 수 있다는 것도 사실입니다.

만드는 입장에서

추천 기능을 붙이는 쪽에서 생각해볼 지점을 정리하면 이렇습니다.

목표 지표를 무엇으로 둘 것인가. 체류시간만 올리면 단기 지표는 좋아지지만 사용자 만족과 어긋날 수 있습니다. 재방문율이나 만족도 설문처럼 지연된 지표를 함께 보는 게 필요합니다.

설명 가능성을 UI로 확보하기. 모델 내부를 설명할 수 없어도 "당신이 본 OO 때문에 추천됨" 같은 근거 표시는 가능합니다. 알고리즘 공개보다 사용자에게 실질적인 정보입니다.

끌 수 있게 해두기. 개인화 해제, 특정 주제 제외, 기록 초기화 같은 통제 수단은 지금은 선택이지만 규제 방향을 보면 곧 요건이 될 가능성이 있습니다.

기록을 남기기. 19일차 AI 채용 글에서도 같은 얘기를 했는데, 나중에 "왜 이렇게 추천됐나"를 재구성할 수 없으면 대응할 방법이 없습니다.

정리

알고리즘 투명성은 필요하지만, 코드를 공개하는 방식으로는 달성되기 어렵습니다. 실질적인 건 사용자가 결과를 이해하고 바꿀 수 있느냐입니다.

그리고 규제를 기다리기 전에 지금 할 수 있는 것도 있습니다. 관심 없음을 명시적으로 누르고, 기록을 정리하고, 추천을 따라가는 대신 검색으로 목적을 갖고 찾는 것. 알고리즘은 우리 행동을 학습하니, 행동을 바꾸면 추천도 따라옵니다.

로봇이 달라진 건 몸이 아니라 두뇌다

ndev-note — Wed, 23 Sep 2026 10:00:15 +0900

로봇 데모 영상은 10년 전에도 화려했습니다. 보스턴다이내믹스가 뒤로 공중제비를 도는 영상을 보고 다들 놀랐지만, 그 로봇이 공장에 들어갔다는 소식은 한참 없었죠.

그런데 올해 분위기가 달라졌습니다. CES 2026에서 나온 얘기의 핵심은 "실험실 시연에서 벗어나 양산형 모델이 나왔다"는 것이었고, 현대차는 아틀라스를 2028년부터 조지아 공장에 투입하겠다는 계획을 밝혔습니다.

바뀐 게 뭘까요. 하드웨어가 아니라 두뇌 쪽이었습니다.

모델이 바뀌었다

로봇에 들어가는 AI가 LLM에서 LMM(멀티모달)을 거쳐 LAM(Large Action Model)으로 옮겨가는 중입니다. 텍스트를 다루던 것에서 이미지와 소리를 함께 다루는 단계를 지나, 이제 행동을 출력하는 모델로요.

로봇의 두뇌 역할을 하는 파운데이션 모델을 RFM(Robotics Foundation Model)이라고 부릅니다. 이게 중요한 이유는 학습 방식이 달라지기 때문입니다.

예전 산업용 로봇은 궤적을 일일이 프로그래밍했습니다. 정해진 위치에서 정해진 동작만 반복하니, 부품이 조금만 어긋나 있어도 멈추거나 사고가 났죠. RFM 기반 로봇은 상황을 인식하고 대안을 스스로 정합니다. 조립 라인에서 부품이 잘못 놓여 있으면 그걸 보고 다르게 대응하는 식으로요.

그래서 "로봇은 이제 AI 기업"이라는 표현이 나옵니다. 경쟁축이 관절과 모터에서 모델로 옮겨간 겁니다.

왜 이게 어려운 문제인가

언어모델을 만드는 것과 행동모델을 만드는 건 난이도의 성격이 다릅니다.

데이터가 없습니다. 텍스트는 인터넷에 수십 년치가 쌓여 있지만, "물건을 집어 올리는 손의 감각" 같은 데이터는 그렇게 널려 있지 않습니다. 직접 로봇을 움직여 모아야 하는데, 한 번 시도할 때마다 실제 시간이 걸리고 장비가 마모됩니다. 그래서 시뮬레이션에서 대량 학습한 뒤 현실로 옮기는 방식을 쓰는데, 시뮬레이션과 실제의 차이를 메우는 게 또 하나의 과제입니다.

실수가 되돌려지지 않습니다. 챗봇이 틀린 답을 하면 다시 물어보면 됩니다. 로봇이 틀리면 물건이 깨지거나 사람이 다칩니다. 같은 정확도라도 요구되는 신뢰 수준이 완전히 다릅니다.

물리가 어렵습니다. 50kg짜리 물건을 드는 것보다 계란을 깨지 않고 집는 게 어렵습니다. 힘 제어와 접촉 감지는 아직 인간의 손 근처에도 못 갔습니다.

현재 위치

제조·물류가 가장 앞서 있습니다. 환경이 통제돼 있고 반복 작업이 명확해서 적용하기 쉽거든요. 아틀라스의 예상 역할도 부품 시퀀싱, 조립 보조, 50kg 내외 물류 처리입니다.

의외로 빠른 건 음식점 쪽입니다. 서빙 로봇을 넘어 조리와 바리스타 로봇이 소상공인 매장까지 들어가고 있습니다. 작업 범위가 좁고 반복적이라 난이도가 낮은 영역이죠.

가정용은 아직 구상 단계에 가깝습니다. 삼성과 LG가 가전 생태계 기반으로 비전을 내놨지만, 집은 통제되지 않은 환경이라 난이도가 공장과 비교가 안 됩니다.

여기서 눈에 띄는 패턴이 있습니다. 휴머노이드보다 특정 작업에 특화된 로봇이 먼저 자리를 잡고 있다는 것. 사람 모양일 필요가 없는 일에 굳이 사람 모양을 쓰는 건 비효율이니까요. 휴머노이드가 주목받는 건 기존 인프라(사람이 쓰도록 만든 공간과 도구)를 그대로 쓸 수 있다는 점 때문인데, 그 장점이 비용을 정당화하는 지점이 어디인지는 아직 증명되지 않았습니다.

국가 단위 경쟁

이 분야는 미중 경쟁 구도가 뚜렷합니다. 중국은 2025년을 휴머노이드 상용화 원년으로 부르며 생태계를 빠르게 구축했고, 한국은 2025년 4월 K-휴머노이드 연합을 출범시켜 대응에 나섰습니다. 정부 실증사업도 진행 중이고요.

국내 산업 구조상 강점과 약점이 명확합니다. 하드웨어 밸류체인과 부품 경쟁력은 있는데, 소프트웨어와 파운데이션 모델 쪽이 상대적으로 약합니다. 그래서 SW 인수·협업으로 수평 확장하면서 부품 기반으로 수직계열화하는 전략이 거론됩니다.

소프트웨어 쪽에서 볼 지점

로봇 분야는 아니지만 관심 있게 볼 대목이 있습니다.

1일차에 다룬 MCP처럼, 로봇 쪽에서도 프레임워크와 런타임이 공통 표준으로 수렴하는 흐름이 보입니다. 상호운용성이 핵심 경쟁축으로 부상한다는 전망이 나오고요. 하드웨어와 모델과 제어 소프트웨어가 서로 다른 회사에서 나오는 구조라면, 그걸 잇는 규격이 시장을 정의하게 됩니다.

그리고 시뮬레이션 플랫폼이 인프라로 중요해지는 것도 흥미롭습니다. 현실 데이터가 비싼 영역에서는 가상 환경의 품질이 곧 모델 품질이 되니까요.

정리

정리하면, 로봇의 몸은 예전에도 꽤 잘 움직였고 바뀐 건 판단하는 쪽입니다. 그래서 이 분야가 AI 이야기로 수렴하고 있습니다.

다만 기대치는 조절할 필요가 있어 보입니다. 데모 영상과 24시간 안정 가동 사이의 거리는 늘 멀었고, 배터리 지속시간 같은 기본 문제도 여전히 남아 있습니다. 투자 쪽에서 과열 경고가 나오는 것도 그래서고요. 몇 년 안에 집에 로봇이 오기보다는, 공장과 창고에서 조용히 늘어나는 모습이 먼저일 겁니다.