그 어떤 것과도 비교할 수 없는 생태계 구축

20년 넘게 Roblox는 10억 명의 사람들을 낙관주의와 예의 바른 태도로 연결하는 사명을 다해 왔습니다. 이 사명은 신뢰를 바탕으로 이루어집니다. 바로 매일 1억 2천만 명 이상의 활성 사용자¹가 콘텐츠를 제작하고, 게임을 즐기며, 커뮤니티를 형성하는 데 있어 플랫폼이 안전하다는 신뢰 말입니다. 이러한 신뢰를 유지하려면 업계에 전례가 없는 과제를 해결하기 위해 설계된 보안 프로그램이 필요합니다.

대부분의 기업 보안 팀은 자사 엔지니어가 작성한 코드, 자사 팀이 운영하는 시스템, 그리고 자사가 생성한 데이터를 보호합니다. 로블록스에서는 이것이 전체 그림의 일부에 불과합니다. 우리 플랫폼은 수백만 명의 외부 크리에이터, 실시간으로 운영되는 가상 경제, 그리고 자체 데이터 센터, 일시적인 클라우드 환경, 내부 서비스를 아우르는 인프라에 의해 구동됩니다. 이 모든 것이 동시에 운영되며, 일관된 보호가 필요합니다. 이로 인해 발생하는 보안 과제는 기술 업계의 그 어떤 것과도 확연히 다릅니다. 아래에서는 우리가 이러한 과제를 어떻게 바라보고 있는지, 이를 해결하기 위해 무엇을 구축했는지, 그리고 앞으로 어떤 방향으로 나아갈지에 대해 공유하겠습니다.

유례없는 생태계

로블록스의 비즈니스 모델은 자체 팀이 제작한 코드의 보안을 확보하는 것 외에도, 수백만 명의 외부 크리에이터가 작성한 신뢰할 수 없는 코드를 실행하는 것을 포함합니다. 매일 로블록스는 신규이거나 경험이 부족할 수 있으며, 때로는 당사의 보안 조치를 우회하려는 의도를 가진 크리에이터들이 작성한 스크립트를 실행합니다. 그렇기 때문에 당사의 보안 모델은 어떤 코드라도 악성일 수 있거나 악용될 수 있다는 전제를 바탕으로 해야 합니다. 샌드박싱, 격리, 런타임 모니터링은 여기서 단순히 있으면 좋은 기능이 아닙니다. 이는 전체 플랫폼이 작동하는 기반 그 자체입니다.

플랫폼이 구축된 인프라도 마찬가지로 복잡합니다. 로블록스를 보호한다는 것은, 고정된 경계를 가진 자체 소유 데이터 센터부터 몇 초 만에 생성되었다가 사라지는 일시적인 클라우드 인스턴스에 이르기까지, 더 이상 다를 수 없을 정도로 서로 다른 환경 전반에 걸쳐 일관된 위협 가시성과 정책 적용을 유지하는 것을 의미합니다. 이를 위해서는 두 가지 속도를 동시에 처리할 수 있는 자동화 및 도메인 거버넌스가 필요합니다. 또한 주요 자산이 내부 데이터와 시스템인 전통적인 기업 보안과 달리, 로블록스의 공격 표면에는 실제 화폐 가치를 지닌 통화로 거래되는 수백만 개의 가상 아이템, 크리에이터들의 생계 수단인 사용자 생성 지적 재산(IP), 그리고 수천만 명의 사용자에게 서비스를 제공하는 채팅 인프라 등 ‘실시간 경제’가 포함됩니다. 

보안 침해가 발생하면 이는 단순한 데이터 사고가 아니라, 실제 사람들과 실제 소득에 대한 직접적인 피해로 이어집니다. 이러한 현실이 우리가 내리는 모든 결정의 토대가 됩니다. 우리의 북극성은 로블록스를 대규모로 운영되는 가장 안전한 게임 플랫폼으로 만드는 것입니다. 즉, 크리에이터와 플레이어가 사이버 보안을 전혀 걱정할 필요 없이 활동할 수 있는 플랫폼을 만드는 것이죠. 우리는 예방한 사고 건수뿐만 아니라, 팀이 얼마나 신속하게 안전하게 서비스를 출시하는지, 내부 플랫폼이 얼마나 널리 채택되고 있는지, 그리고 더 넓은 커뮤니티에 기여하는 연구 성과를 통해 진척 상황을 측정합니다.

보안: 게이트키퍼가 아닌 원동력

규정 준수에 초점을 맞춘 기업 보안 모델은 이제 끝났습니다. 요구 사항만 제시하고 구현은 파트너에게 맡기는 보안 팀은 필연적으로 한계에 부딪히게 됩니다. 엔지니어들이 보안을 소홀히 하기 때문이 아니라, 수천 명의 엔지니어가 맞춤형 보안 통제 수단을 수작업으로 구현하는 것은 비효율적이기 때문입니다. 플랫폼 자체가 기본적으로 보안이 보장되지 않는다면, 보안은 확장될 수 없습니다.

Roblox는 개발자의 책임을 배제하지 않으면서도 안전한 경로가 가장 쉬운 경로가 되도록 하는 내부 제품을 구축함으로써, 규정 준수 중심의 모델을 뒤집었습니다. 실무적으로 이는 비밀 키가 자동으로 갱신되므로, 어떤 엔지니어도 자격 증명을 갱신해야 한다는 사실을 기억할 필요가 없음을 의미합니다. 엔지니어가 직접 연결 작업을 수행할 필요 없이 기본적으로 인증된 서비스 간 통신을 실현하는 것을 우리의 북극성으로 삼고 있습니다. 보안 스코어카드는 모든 팀에게 팀의 보안 상태를 실시간으로 보여줍니다. 안전한 선택지는 이미 제공되고 있으며, 스코어카드는 단지 그것이 사용되고 있는지, 그리고 어떤 부분에서 더 개선할 수 있는지를 보여줄 뿐입니다.

급변하는 환경 속 신중한 AI 도입

업계에서 AI 도구 활용 방식을 두고 논쟁이 벌어지는 가운데—일부 기업은 통제 장치 없이 무분별하게 허용하고, 다른 기업은 아예 차단하고 있습니다—로블록스는 차별화된 접근 방식을 취하고 있습니다. 우리는 AI 도입을 해결해야 할 엔지니어링 및 보안 문제로 간주하며, 그 과정에서 얻은 교훈을 더 넓은 커뮤니티와 공유하고 있습니다. 로블록스에서 말하는 신중한 도입이란, 먼저 테스트하고, 통제 장치를 구축한 다음, 신뢰하고 모니터링하는 과정을 의미합니다. 

예를 들어, 내부적으로 AI 코드 툴을 승인하기 전에, 우리는 샌드박스 환경을 구축했습니다. 이러한 엄격한 검증 절차는 모든 새로운 AI 도구가 내부 사용을 위해 승인되는 방식을 규율합니다. 목표는 진행 속도를 늦추는 것이 아니라, 빠르게 나아가는 과정에서 너무 늦기 전까지는 눈에 띄지 않는 위험이 발생하지 않도록 보장하는 것입니다. 이러한 방식으로, 우리는 현재 업계가 인재 확보에 혈안이 되어 있는 바로 그 분야의 실무 전문성을 쌓아가고 있습니다. AI 관련 사이버 보안 기술에 대한 수요는 2020년 이후 2.5배 증가했습니다.

지역사회에 대한 우리의 약속

정보 보안은 근본적으로 공동 방어의 문제입니다. 어떤 기업의 방어벽도 의지가 확고한 공격자를 혼자서 막아낼 만큼 높을 수는 없으며, 실무자들이 배운 것을 공유할 때만 업계는 더욱 강해집니다. 위협 환경은 계속 진화할 것이며—AI는 적대적 위협과 위협 행위자들을 가속화하고 있습니다—로블록스가 이에 대응하는 방식도 마찬가지로 진화할 것입니다. 변하지 않을 것은, 자신의 작품과 생계를 우리에게 맡겨주신 크리에이터들, 안전한 경험을 기대하며 매일 찾아오시는 플레이어 여러분, 그리고 우리가 자랑스럽게 일원이 된 더 넓은 보안 커뮤니티에 대한 우리의 헌신입니다.

이 정도 규모와 복잡성을 지닌 보안에는 결승선이 없습니다. 하지만 우리의 철학은 변함없습니다. 보안을 예외가 아닌 기본으로 만드는 시스템을 구축하고, 진화하는 위협 환경에 발맞출 수 있는 연구와 도구 개발에 투자하며, 우리가 배운 것을 공유하여 업계 전체가 더욱 강해질 수 있도록 하는 것입니다.