스타트업과 IT 전략 용어 사전

투자 유치 자료를 읽다가 BEP 같은 약어에서 멈추거나, AI 뉴스에서 오픈웨이트와 오픈소스가 같은 말인지 헷갈린 적이 있다면 아래 용어들이 도움이 될 것입니다. 필요한 항목만 골라 읽어도 되도록 항목마다 독립적으로 설명했습니다.

지표의 기준 수치(LTV 대 CAC 3배, Rule of 40 같은 것)는 업계 통념이어서 업종과 회사 단계에 따라 달라집니다. 계산식도 가장 흔한 정의를 적은 것이고, 회사마다 조금씩 다르게 씁니다.

비즈니스 수치

숫자를 못 읽으면 투자 자료도 사업 계획도 읽히지 않습니다. 돈이 들어오고 나가는 방식을 보여주는 지표부터 정리합니다.

BEP, 손익분기점

매출과 총비용이 같아져 이익도 손실도 0이 되는 지점입니다. 이 지점을 넘는 매출부터 이익이 쌓입니다. 고정비가 클수록 BEP가 높아지고, 단위당 남는 돈(공헌이익)이 클수록 낮아집니다.

BEP 수량 = 고정비 ÷ (판매단가 - 단위당 변동비)

Contribution Margin, 공헌이익

매출에서 변동비만 뺀 금액입니다. 고정비를 갚고 이익을 만드는 데 기여하는 몫이라 BEP 계산의 기본 재료가 됩니다.

공헌이익 = 매출 - 변동비

Fixed / Variable Cost, 고정비 / 변동비

고정비는 매출과 상관없이 나가는 비용(인건비, 임대료, 서버 약정), 변동비는 판매량에 비례하는 비용(결제 수수료, 원가, 사용량 과금형 API 비용)입니다. 구분이 모호한 비용이 많아서 BEP 분석의 정확도를 좌우합니다.

Burn Rate, 번 레이트

현금이 줄어드는 속도입니다. 총지출 기준이면 Gross burn, 매출을 뺀 순소진액이면 Net burn이라 합니다. 보통 월 단위로 봅니다.

Net burn = 월 지출 - 월 입금

Runway, 런웨이

지금 속도로 쓰면 현금이 몇 달 버티는지를 뜻합니다. 투자 유치에는 수개월이 걸리는 경우가 많아서, 런웨이가 9~12개월 아래로 내려가기 전에 다음 계획을 세우는 경우가 많습니다.

런웨이(개월) = 보유 현금 ÷ 월 Net burn

MRR / ARR, 월간 / 연간 반복 매출

구독처럼 반복해서 들어오는 매출만 월 또는 연 단위로 환산한 값입니다. 일회성 매출(구축비, 컨설팅)은 넣지 않습니다. SaaS의 규모와 성장을 가장 단순하게 보여주는 숫자입니다.

ARR = MRR × 12

ARPU, 가입자당 평균 매출

기간 동안 매출을 활성 사용자 수로 나눈 값입니다. 유료 사용자만 대상으로 하면 ARPPU라고 부르며, 무료 사용자가 많은 서비스는 둘의 차이가 큽니다.

ARPU = 기간 매출 ÷ 활성 사용자 수

GMV, 총거래액

플랫폼에서 일어난 거래의 총액입니다. 회사의 매출이 아니라 거래 규모이므로, 실제 매출은 GMV에 수수료율(Take rate)을 곱한 값입니다. GMV만 크게 말하는 자료는 수익성도 함께 확인해야 합니다.

Take Rate, 수수료율

플랫폼이 거래액 중 가져가는 비율입니다. 마켓플레이스, 결제, 앱스토어 같은 모델의 수익 구조를 비교할 때 씁니다.

Take rate = 플랫폼 매출 ÷ GMV

Gross Margin, 매출총이익률

매출에서 매출원가(서버, 결제 수수료, 고객 지원 등 서비스 제공 비용)를 뺀 비율입니다. SaaS는 70~80% 이상을 건강하다고 보는 경우가 많고, AI 서비스는 추론 비용 때문에 이보다 낮은 경우가 흔합니다.

매출총이익률 = (매출 - 매출원가) ÷ 매출

EBITDA, 상각 전 영업이익

금융 구조와 회계 처리 차이를 걷어내고 본업의 현금 창출력을 보려는 지표입니다. 이자, 세금, 감가상각비, 무형자산상각비를 빼기 전의 이익이라는 뜻이며, 영업이익에 감가상각비와 무형자산상각비를 더해 구합니다. 스타트업은 적자가 많아 음수의 EBITDA를 말하는 일이 흔합니다.

Unit Economics, 유닛 이코노믹스

고객 1명(또는 주문 1건) 단위로 벌고 쓰는 돈을 따져 사업 구조가 성립하는지 보는 분석입니다. LTV, CAC, 공헌이익이 핵심 재료이며, 규모를 키워도 건당 손해가 나는 구조인지 가려내는 데 쓰입니다.

Rule of 40, 40% 룰

SaaS 기업이 성장과 수익성의 균형을 잡았는지 보는 경험칙입니다. 연 성장률과 이익률(보통 FCF 또는 영업이익률)을 더해 40% 이상이면 양호하다고 봅니다.

매출 성장률(%) + 이익률(%) ≥ 40

TCO, 총소유비용

도입 가격만이 아니라 구축, 운영, 교육, 이전, 폐기까지 포함한 전체 비용입니다. 클라우드와 온프레미스, 자체 구축과 구매를 비교할 때 가격표보다 TCO가 판단 기준이 됩니다.

ROI, 투자수익률

투자한 돈 대비 얼마를 벌었는지를 나타내는 비율입니다. IT 전략에서는 효과가 매출보다 시간 절감이나 장애 감소로 나타나는 일이 많아, 효과를 금액으로 환산하는 합의가 먼저 필요합니다.

ROI = (이익 - 투자비) ÷ 투자비

Gross vs Net, 총(Gross)과 순(Net)

비용을 빼기 전이 Gross, 뺀 뒤가 Net입니다. 매출총이익(Gross profit)은 매출에서 매출원가만 뺀 값이고, 순이익(Net income)은 인건비, 마케팅비, 이자, 세금까지 모두 뺀 최종 이익입니다. Gross revenue(총매출)와 Net revenue(환불, 할인, 수수료 차감 후 매출)도 같은 구분이라, 자료에서 어느 쪽 숫자인지 확인해야 합니다.

매출총이익 = 매출 - 매출원가 / 순이익 = 매출 - 모든 비용 - 세금

Operating Income, 영업이익

매출총이익에서 판매관리비(인건비, 마케팅, 연구개발)를 뺀 본업의 이익입니다. 영업이익률은 본업이 얼마나 효율적으로 돈을 버는지 보여줍니다.

Opex / Capex, 운영비 / 자본적 지출

Opex는 매달 쓰고 사라지는 운영 비용, Capex는 설비나 장비처럼 사서 오래 쓰는 투자성 지출입니다. 클라우드는 Capex를 Opex로 바꾸는 효과가 있고, AI 데이터센터와 GPU 구매는 대표적인 대규모 Capex입니다.

FCF, Free Cash Flow

영업활동으로 번 현금에서 설비 투자를 뺀, 회사가 실제로 자유롭게 쓸 수 있는 현금입니다. 장부상 이익이 나도 현금이 없어 망할 수 있어서, 스타트업도 이익보다 현금이 실제로 남는지를 중시하는 경우가 많습니다. 한국어로는 잉여현금이라고 줄여 부르기도 합니다.

FCF = 영업활동현금흐름 - Capex

투자와 자금

라운드 이름, 밸류에이션, 지분 구조처럼 투자 계약서와 뉴스에 자주 나오는 말입니다.

Pre-money / Post-money, 투자 전 / 후 기업가치

투자금이 들어오기 전 가치가 Pre, 들어온 뒤 가치가 Post입니다. 투자자의 지분율은 투자금을 Post로 나눈 값이므로, 같은 금액이라도 Pre 가치에 따라 창업자가 내주는 지분이 달라집니다.

Post = Pre + 투자금 / 지분율 = 투자금 ÷ Post

Dilution, 지분 희석

신주 발행이나 스톡옵션 풀 확대로 기존 주주의 지분율이 낮아지는 현상입니다. 라운드를 거칠 때마다 희석은 누적되므로 초기 지분 설계가 중요합니다.

Cap Table, 주주 명부, 지분 구조표

누가 몇 주를 가지고 있고, 전환 가능한 증권과 옵션까지 합치면 지분이 어떻게 되는지를 정리한 표입니다. 투자 실사에서 가장 먼저 요구받는 자료 중 하나입니다.

Seed / Series A, B, C, 시드 / 시리즈 A, B, C

투자 단계의 통칭입니다. 시드는 제품을 만들고 가설을 검증하는 단계, 시리즈 A는 PMF를 확인하고 성장 체계를 만드는 단계, B 이후는 규모 확장과 시장 지배력에 쓰입니다. 금액 기준은 시장 상황에 따라 계속 움직입니다.

SAFE, 미래 지분 투자 약정

Simple Agreement for Future Equity의 약자로, 투자금을 먼저 받고 다음 라운드에서 정해지는 가격에 지분으로 전환하기로 하는 계약입니다. 초기 단계에서 밸류에이션 협상을 미룰 수 있어 널리 쓰이며, 상한(Cap)과 할인율(Discount)이 핵심 조건입니다.

Convertible Note, 전환 노트

빚으로 돈을 받은 뒤 조건에 따라 지분으로 바꾸는 증권으로, 한국의 전환사채(CB)와 비슷하지만 미국 법 기준의 상품이라 발행 절차와 규제는 다릅니다. SAFE와 달리 이자와 만기가 있어 만기 시점의 상환 압박을 따져야 합니다.

Term Sheet, 투자 조건 합의서

본계약 전에 가치, 투자금, 의결권, 청산 우선권 같은 핵심 조건을 정리한 문서입니다. 대부분 법적 구속력이 없지만 독점 협상 기간 같은 일부 조항은 구속력을 갖기도 합니다.

Liquidation Preference, 청산 우선권

회사가 매각되거나 청산될 때 투자자가 보통주 주주보다 먼저 투자금을 돌려받는 권리입니다. 배수(1x, 2x)와 참가 여부에 따라 창업자 몫이 크게 달라질 수 있습니다.

Vesting / Cliff, 베스팅 / 클리프

창업자나 임직원의 주식, 옵션을 일정 기간에 걸쳐 나눠 확정하는 방식입니다. 흔한 예는 4년 베스팅에 1년 클리프(1년 전 퇴사하면 하나도 못 받음)입니다.

Down Round, 다운라운드

직전 라운드보다 낮은 가치로 진행하는 투자입니다. 기존 투자자의 지분 방어 조항(Anti-dilution)이 발동해 창업자 희석이 커질 수 있습니다.

Unicorn / Decacorn, 유니콘 / 데카콘

비상장 상태에서 기업가치 10억 달러 이상이면 유니콘, 100억 달러 이상이면 데카콘이라 부릅니다.

Exit, 엑싯, 투자금 회수

투자자와 창업자가 지분을 현금화하는 방법입니다. 주로 IPO(상장)나 M&A(인수합병)이며, 세컨더리(구주 매각)로 일부를 먼저 현금화하기도 합니다.

Bridge Round, 브릿지 라운드

다음 정식 라운드까지 런웨이를 이어 붙이기 위한 소규모 투자입니다. 성장 지표 부진으로 쓰이는 경우도, 다음 라운드의 시점을 유리하게 만들려는 경우도 있습니다.

마케팅과 그로스

고객을 데려오고 붙잡아 두는 과정을 숫자로 나눠 보는 용어들입니다.

Funnel, 퍼널(깔때기)

고객이 인지, 관심, 비교, 구매로 이어지는 단계마다 사람이 줄어드는 모양을 깔때기로 본 모델입니다. 단계별 전환율을 재서 어디에서 가장 많이 빠지는지 찾는 데 씁니다. 서비스에서는 방문, 가입, 첫 사용, 결제 순으로 그리는 일이 많습니다.

AARRR, 해적 지표

Acquisition(유입), Activation(활성화), Retention(재방문), Referral(추천), Revenue(수익)의 다섯 단계로 서비스 성장을 나눠 보는 프레임입니다. 어느 단계가 병목인지 정해야 마케팅 예산을 어디에 쓸지 정할 수 있습니다.

Conversion Rate, 전환율(CVR)

특정 행동(가입, 구매)을 한 사람의 비율입니다. 분모를 방문자로 둘지, 가입자로 둘지에 따라 숫자가 달라지므로 어떤 분모인지를 함께 적어야 합니다.

CVR = 전환 수 ÷ 방문(또는 노출) 수

CAC, 고객 획득 비용

신규 고객 1명을 데려오는 데 쓴 마케팅, 영업 비용입니다. 광고비만 넣는 Paid CAC와 인건비까지 넣는 Blended CAC는 값이 크게 다릅니다.

CAC = 기간 내 마케팅, 영업 비용 ÷ 신규 고객 수

LTV, 고객 생애 가치

고객 1명이 이탈하기까지 회사에 남기는 총이익 추정치입니다. 아래 식은 단순화한 것이고, 구독형은 이탈률이 낮을수록 값이 급격히 커져 입력값에 민감합니다. LTV ÷ CAC가 3 이상이면 양호하다고 보는 것이 통념입니다.

LTV ≈ ARPU × 매출총이익률 ÷ 월 이탈률

CAC Payback, CAC 회수 기간

고객 1명을 데려오는 데 쓴 돈을 그 고객이 낸 이익으로 되찾는 데 걸리는 개월 수입니다. 12개월 안팎 이하를 좋게 보는 경우가 많습니다.

회수 기간 = CAC ÷ (월 ARPU × 매출총이익률)

Churn / Retention, 이탈률 / 리텐션

이탈률은 기간 중 떠난 고객의 비율, 리텐션은 계속 남은 비율입니다. 리텐션 곡선이 어느 지점에서 평평해지면 그 제품은 정착하는 사용자층이 있다는 신호로 읽습니다.

NRR, 순매출 유지율

기존 고객만 놓고 1년 뒤 매출이 얼마가 됐는지 보는 지표입니다. 업셀과 확장이 이탈을 앞서면 100%를 넘고, 신규 고객이 없어도 매출이 늘어납니다.

NRR = (시작 MRR + 확장 - 축소 - 이탈) ÷ 시작 MRR

Cohort, 코호트

같은 시기에 가입했거나 같은 조건을 가진 사용자 집단입니다. 가입 월별로 나눠 리텐션을 비교하면 제품 개선이 실제로 효과가 있었는지 볼 수 있습니다.

CTR / CPC / CPA, 클릭률 / 클릭당 비용 / 전환당 비용

광고 성과의 기본 지표입니다. CTR은 노출 대비 클릭, CPC는 클릭 한 번의 비용, CPA는 구매나 가입 같은 전환 하나의 비용입니다.

CTR = 클릭 ÷ 노출

ROAS, 광고 수익률

광고비 대비 광고로 발생한 매출입니다. 이익이 아니라 매출 기준이라, 마진이 낮은 상품은 ROAS 400%여도 적자일 수 있습니다.

ROAS = 광고 매출 ÷ 광고비 × 100

ICP, 이상적 고객 프로필

Ideal Customer Profile의 약자로, 우리 제품에서 가장 큰 가치를 얻고 가장 오래 남는 고객의 특징을 정의한 것입니다. B2B에서는 업종, 규모, 직군, 기술 환경 등으로 적습니다.

MQL / SQL, 마케팅 / 영업 적격 리드

MQL은 마케팅이 보기에 관심 있는 잠재 고객, SQL은 영업이 연락해 볼 만하다고 판단한 고객입니다. 둘의 기준을 팀 사이에 맞추지 않으면 영업과 마케팅이 서로 리드 품질을 탓하게 됩니다.

PLG / SLG, 제품 주도 / 영업 주도 성장

PLG(Product-Led Growth)는 무료 체험이나 프리미엄 같은 제품 경험으로 고객이 스스로 쓰다가 결제하는 방식, SLG(Sales-Led Growth)는 영업 인력이 계약을 이끄는 방식입니다. 두 방식을 섞은 PLS 모델도 많습니다.

North Star Metric, 북극성 지표

제품이 사용자에게 주는 핵심 가치를 가장 잘 보여주는 하나의 지표입니다. 예를 들어 숙박 플랫폼은 예약된 숙박일수처럼, 매출보다 가치 전달에 가까운 숫자를 고릅니다.

Viral Coefficient, 바이럴 계수(K-factor)

사용자 1명이 평균 몇 명의 새 사용자를 데려오는지를 나타냅니다. 1을 넘으면 추천만으로 스스로 불어나지만, 실제로 오래 1을 넘기는 서비스는 드뭅니다.

K = 1인당 초대 수 × 초대 수락 후 가입 전환율

GEO, 생성형 엔진 최적화

Generative Engine Optimization의 약자로, ChatGPT나 AI 검색이 답변에서 우리 콘텐츠를 인용하고 추천하게 만드는 최적화 작업입니다. 검색 순위를 겨냥하는 SEO와 달리, 명확한 근거와 구조를 갖춘 출처형 콘텐츠가 유리하다는 접근이 일반적입니다.

Attribution, 기여도 분석

전환이 어느 광고나 접점 덕분에 일어났는지 나누어 배정하는 방식입니다. 마지막 클릭만 보는지, 여러 접점에 나누는지에 따라 채널별 성과가 달라 보입니다.

제품과 조직

무엇을 어떻게 만들고, 조직은 어떤 목표로 움직이는지에 관한 말입니다.

PMF, 제품-시장 적합성

Product-Market Fit의 약자로, 시장이 이 제품을 실제로 필요로 하고 있다는 상태입니다. 흔한 신호는 사용자가 제품이 없어지면 매우 실망하겠다고 답하는 비율(40% 기준이 유명), 리텐션 곡선이 평평해지는 것, 입소문 유입의 증가입니다.

MVP, 최소 기능 제품

핵심 가설을 검증하는 데 필요한 가장 작은 제품입니다. 기능이 적은 완제품이 아니라, 배우기 위해 만든 실험이라는 점이 핵심입니다.

Pivot, 피봇

검증 결과에 따라 사업의 핵심 가정(고객, 문제, 해결 방식, 수익 모델)을 바꾸는 방향 전환입니다. 같은 팀과 기술을 유지한 채 방향을 바꾸는 경우가 일반적입니다.

OKR / KPI, 목표와 핵심 결과 / 핵심 성과 지표

OKR은 달성하고 싶은 목표(Objective)와 이를 측정하는 핵심 결과(Key Results)를 정해 도전적으로 운영하는 방식입니다. KPI는 이미 운영 중인 업무의 성과를 상시 관리하는 지표입니다. 흔히 OKR은 방향 전환, KPI는 상태 유지에 어울린다고 구분합니다.

JTBD, 해결할 일 이론

Jobs To Be Done의 약자로, 고객이 제품을 사는 이유를 인구통계가 아닌 해결하려는 일로 설명하는 관점입니다. 사람들이 드릴이 아니라 벽에 구멍을 내려고 한다는 비유로 알려져 있습니다.

Moat, 해자

경쟁자가 쉽게 따라오지 못하게 하는 지속 가능한 우위입니다. 네트워크 효과, 전환 비용, 규모의 경제, 독점 데이터, 브랜드 등이 대표적입니다. AI 시대에는 모델 자체보다 데이터와 유통, 워크플로 통합이 해자가 된다는 논의가 많습니다.

Network Effect, 네트워크 효과

사용자가 늘수록 각 사용자에게 돌아가는 가치도 커지는 현상입니다. 메신저와 마켓플레이스가 대표 사례이며, 초기 사용자를 모으는 콜드 스타트 문제가 따라옵니다.

Switching Cost, 전환 비용

고객이 다른 제품으로 갈아타며 감당해야 하는 비용(데이터 이전, 학습, 연동 재작업)입니다. 높을수록 이탈이 줄지만, 지나치면 락인 논란을 부릅니다.

Land and Expand, 랜드 앤 익스팬드

작은 팀이나 부서 단위로 먼저 들어간 뒤 사용량과 좌석을 넓혀 가는 B2B 영업 전략입니다. NRR이 높게 나오는 대표 모델입니다.

B2B / B2C / B2B2C / D2C, 거래 대상 구분

기업 대상(B2B), 소비자 대상(B2C), 기업을 통해 소비자에게 전달(B2B2C), 제조사가 중간 유통 없이 직접 판매(D2C)입니다. 고객 유형에 따라 영업 주기, 단가, 이탈 양상이 모두 달라집니다.

Technical Debt, 기술 부채

빠른 출시를 위해 미뤄 둔 설계와 코드 품질의 빚입니다. 방치하면 이후 모든 개발이 이자처럼 느려지므로, 갚는 시간을 로드맵에 의도적으로 넣어야 합니다.

Agile / Sprint, 애자일 / 스프린트

계획을 길게 세우기보다 1~4주 단위의 짧은 주기(스프린트)로 만들고 검증하며 방향을 고쳐 가는 개발 방식입니다.

IT 전략과 아키텍처

클라우드, 운영, 데이터를 둘러싼 의사결정에서 반복해서 등장하는 용어입니다.

DX, 디지털 전환

Digital Transformation의 약자로, 디지털 기술로 업무 방식과 사업 모델 자체를 바꾸는 활동입니다. 도구 도입(디지털화)과 구분해, 고객 경험이나 수익 구조가 바뀌어야 전환이라 부릅니다.

Cloud Native, 클라우드 네이티브

클라우드의 탄력성을 전제로 컨테이너, 마이크로서비스, 자동화된 배포로 만든 애플리케이션 방식입니다. 서버를 옮겨 올리는 리프트 앤 시프트와는 다른 개념입니다.

MSA, 마이크로서비스 아키텍처

하나의 큰 애플리케이션을 독립적으로 배포되는 작은 서비스 여러 개로 나누는 구조입니다. 팀별 독립성과 확장성은 얻지만 운영과 관측의 복잡도가 올라가, 작은 조직에는 모놀리스가 더 낫다는 의견도 많습니다.

Multi-cloud, 멀티 클라우드

둘 이상의 클라우드 사업자를 함께 쓰는 전략입니다. 종속 회피와 장애 분산이 장점이지만, 운영 인력과 도구가 분산되어 비용이 늘 수 있습니다.

Vendor Lock-in, 벤더 종속

특정 공급자의 기술이나 계약에 묶여 이전 비용이 지나치게 커지는 상태입니다. 표준 기술과 데이터 이식성을 확보하는 것이 완화책입니다.

FinOps, 핀옵스

클라우드 비용을 재무, 개발, 운영이 함께 관리하는 문화이자 방법론입니다. 태그별 비용 배분, 약정 할인(RI, Savings Plans) 활용, 유휴 자원 정리가 기본 활동입니다.

DevOps / SRE, 데브옵스 / 사이트 신뢰성 엔지니어링

DevOps는 개발과 운영의 벽을 허물어 배포를 자동화하는 문화입니다. SRE는 구글이 정리한 방식으로, 운영을 소프트웨어 문제로 보고 신뢰성 목표를 수치로 관리합니다.

SLI / SLO / SLA, 서비스 수준 지표 / 목표 / 협약

SLI는 측정값(응답 성공률), SLO는 내부 목표(월 99.9%), SLA는 고객과 맺는 계약으로 어기면 보상이 따릅니다. 일반적으로 SLO를 SLA보다 엄격하게 잡습니다.

Platform Engineering, 플랫폼 엔지니어링

개발자가 인프라를 직접 다루지 않고 셀프서비스로 쓸 수 있는 내부 개발자 플랫폼(IDP)을 만드는 활동입니다. 개발자 경험과 표준화를 동시에 노립니다.

Observability, 관측 가능성

로그, 메트릭, 트레이스로 시스템 내부 상태를 밖에서 파악하는 능력입니다. 미리 정한 지표만 감시하는 모니터링과 달리, 예상 못 한 문제의 원인을 추적하는 데 초점이 있습니다.

Data Lakehouse, 데이터 레이크하우스

값싼 저장소에 원본을 쌓는 데이터 레이크와, 구조화된 분석에 강한 데이터 웨어하우스의 장점을 합친 구조입니다. 하나의 저장소에서 BI와 머신러닝을 함께 돌리려는 추세입니다.

Build vs Buy, 만들까 살까

핵심 경쟁력이 아닌 기능은 사서 쓰고, 차별화가 되는 기능만 직접 만든다는 것이 기본 원칙입니다. AI 도구 덕분에 직접 만드는 비용이 낮아지면서 이 경계가 계속 움직이고 있습니다.

Low-code / No-code, 로코드 / 노코드

코드를 거의 쓰지 않고 화면 조립으로 앱을 만드는 도구입니다. 업무 자동화에는 빠르지만, 복잡한 요구와 성능이 필요한 시점에 한계를 만나는 경우가 많습니다.

Shadow IT, 섀도 IT

IT 부서의 승인 없이 현업이 임의로 쓰는 SaaS나 도구입니다. 업무 효율은 올리지만 보안과 비용 통제의 사각지대가 됩니다. 승인 없는 생성형 AI 사용을 Shadow AI라 부르기도 합니다.

AI

모델이 어떻게 만들어지고 서비스에 붙는지, 오픈웨이트와 오픈소스는 무엇이 다른지까지 AI 뉴스에 자주 나오는 말을 모았습니다.

LLM, 대규모 언어 모델

방대한 텍스트로 학습해 글을 이해하고 생성하는 모델입니다. 현재는 이미지와 음성까지 다루는 멀티모달 모델로 확장되었고, 이들을 아울러 파운데이션 모델이라 부르기도 합니다.

Open-weight, 오픈웨이트

모델의 학습된 가중치 파일을 내려받아 직접 실행하고 수정할 수 있게 공개한 방식입니다. 학습 데이터, 학습 코드, 레시피는 공개되지 않는 경우가 많고 라이선스에 사용 제한이 붙기도 합니다. 그래서 소스 전체가 공개되는 전통적 오픈소스와는 구별해 부릅니다.

Open-source AI, 오픈소스 AI

OSI가 2024년 발표한 정의(OSAID 1.0)는 가중치뿐 아니라 학습 데이터에 대한 정보와 코드까지 자유롭게 쓰고 고칠 수 있어야 오픈소스 AI라고 봅니다. 이 기준에서는 많은 오픈웨이트 모델이 엄밀한 오픈소스에는 해당하지 않습니다.

Token, 토큰

모델이 텍스트를 처리하는 최소 단위로, 모델의 토크나이저에 따라 달라지는데, 같은 내용이라도 한국어는 영어보다 토큰을 더 쓰는 경향이 있습니다. API 비용과 속도, 컨텍스트 길이가 모두 토큰 수로 계산됩니다.

Context Window, 컨텍스트 윈도우

모델이 한 번에 읽고 참고할 수 있는 입력과 출력의 최대 길이입니다. 길수록 긴 문서를 한 번에 다룰 수 있지만, 비용이 늘고 긴 문맥에서 정확도가 떨어지는 경향도 있습니다.

Training / Inference, 학습 / 추론

학습은 데이터로 모델의 가중치를 만드는 과정이고, 추론은 만들어진 모델로 답을 생성하는 과정입니다. 학습은 한 번에 큰 자본이 들고, 추론은 사용량에 비례해 계속 드는 비용이라 서비스 사업자에게는 추론 단가가 수익성을 좌우합니다.

Fine-tuning, 파인튜닝

이미 학습된 모델에 특정 분야나 말투의 데이터를 추가로 학습시켜 맞춤화하는 작업입니다. LoRA 같은 경량 기법은 일부 파라미터만 학습해 비용을 크게 줄입니다.

RAG, 검색 증강 생성

질문과 관련된 문서를 먼저 검색해 모델에 함께 넣어 주고 답하게 하는 방식입니다. 모델을 다시 학습하지 않고도 최신 정보와 사내 지식을 반영할 수 있고, 근거 출처를 달기 쉬워 환각을 줄이는 데 쓰입니다.

Embedding / Vector DB, 임베딩 / 벡터 데이터베이스

임베딩은 문장이나 이미지를 의미가 가까울수록 가까워지는 숫자 벡터로 바꾼 것이고, 벡터 DB는 이 벡터로 비슷한 항목을 빠르게 찾는 저장소입니다. RAG의 검색 단계에 흔히 쓰입니다.

Hallucination, 환각

모델이 사실이 아닌 내용을 그럴듯하게 만들어 내는 현상입니다. 근거 문서 제공, 출처 검증, 모르면 모른다고 답하게 하는 설계로 줄일 수 있지만 완전히 없애기는 어렵습니다.

Agent / Agentic AI, 에이전트

목표를 받으면 스스로 계획을 세우고 도구(검색, 코드 실행, 외부 API)를 호출해 여러 단계를 수행하는 AI입니다. 한 번 묻고 답하는 챗봇과 달리 작업을 끝까지 맡기는 방식이며, 권한 통제와 오류 누적 관리가 과제입니다.

MCP, 모델 컨텍스트 프로토콜

AI 모델이 외부 도구와 데이터 소스에 연결되는 방식을 표준화한 개방형 규약으로, Anthropic이 2024년 말에 공개했고, 이후 Linux Foundation 산하 재단으로 옮겨 여러 회사가 함께 운영하는 표준이 되었습니다. 도구마다 연동을 따로 만들 필요 없이 한 번 구현해 여러 AI 앱에서 쓰게 하자는 취지입니다.

Reasoning Model, 추론형 모델

답하기 전에 내부적으로 길게 생각하는 과정을 거치도록 훈련된 모델입니다. 어려운 수학이나 코딩에서 정확도가 오르는 대신 응답이 느리고 토큰을 더 씁니다. 추론 시점에 계산을 더 쓰는 이 방식을 Test-time compute라고 부릅니다.

MoE, 전문가 혼합

Mixture of Experts의 약자로, 모델 내부에 여러 전문가 블록을 두고 토큰마다 일부만 활성화하는 구조입니다. 전체 파라미터는 크지만 실제 계산량은 작아 같은 성능을 더 싸게 낼 수 있습니다.

Distillation, 증류

크고 성능 좋은 모델(교사)의 출력을 작은 모델(학생)이 따라 배우게 해서, 작지만 성능이 비슷한 모델을 만드는 기법입니다.

Quantization, 양자화

가중치의 숫자 정밀도를 16비트에서 8비트나 4비트로 낮춰 메모리와 계산 비용을 줄이는 기법입니다. 품질 손실을 최소화하면서 개인 PC나 모바일에서도 큰 모델을 돌리게 해 줍니다.

SLM, 소형 언어 모델

수억에서 수십억 파라미터 규모로 특정 용도에 맞춘 작은 모델입니다. 비용이 싸고 빠르며 기기 안(온디바이스)이나 사내 서버에서 돌릴 수 있어 정보 유출 걱정이 적습니다.

Prompt / Context Engineering, 프롬프트 / 컨텍스트 엔지니어링

프롬프트 엔지니어링은 지시문을 잘 쓰는 일, 컨텍스트 엔지니어링은 모델에게 어떤 문서, 기억, 도구 결과를 어떤 순서로 줄지까지 설계하는 더 넓은 일입니다. 에이전트가 늘면서 후자가 더 중요해졌습니다.

Evals, 평가

모델이나 AI 기능의 품질을 정해진 시험 세트로 반복 측정하는 작업입니다. 벤치마크 점수는 공개된 시험이라 학습에 섞여 들어갔을 가능성이 있어, 실제 업무 데이터로 만든 자체 평가를 따로 두는 팀이 늘고 있습니다. 다른 모델에게 채점을 맡기는 LLM-as-a-judge도 흔히 쓰입니다.

Guardrails, 가드레일

AI가 위험하거나 의도에서 벗어난 입출력을 내지 않도록 앞뒤에서 거르는 안전장치입니다. 금칙어 필터, 개인정보 마스킹, 정책 분류 모델, 출력 형식 검증 등이 해당합니다.

Alignment, 정렬

AI의 행동이 사람의 의도와 가치에 맞도록 만드는 연구와 기법입니다. RLHF(사람 피드백 강화학습)가 대표적인 방법입니다.

AGI, 범용 인공지능

대부분의 지적 업무에서 사람 수준 이상으로 일할 수 있는 AI를 가리키는 말입니다. 합의된 정의나 판정 기준이 없어서 기업마다 쓰는 의미가 다릅니다.

Sovereign AI, 소버린 AI

국가나 기업이 자국의 데이터, 인프라, 모델을 직접 통제하며 확보하려는 접근입니다. 해외 사업자에 대한 의존을 줄이고 언어와 규제에 맞추려는 목적이 있습니다.

GPU / HBM, 그래픽처리장치 / 고대역폭 메모리

GPU는 AI 학습과 추론의 핵심 연산 장치이고, HBM은 GPU 옆에 붙어 데이터를 매우 빠르게 공급하는 적층 메모리입니다. 모델 크기와 속도 한계가 GPU 연산력과 HBM 용량에서 결정되기 때문에 공급 부족이 업계의 병목으로 자주 거론됩니다.

Vibe Coding, 바이브 코딩

코드를 직접 쓰기보다 자연어로 의도를 말하고 AI가 생성한 코드를 실행해 보며 다듬는 개발 방식입니다. 프로토타입에는 빠르지만 검증되지 않은 코드가 운영에 들어가는 위험이 있습니다.

Synthetic Data, 합성 데이터

실제로 수집한 것이 아닌 모델이나 시뮬레이션으로 만든 학습용 데이터입니다. 개인정보 문제를 피하고 부족한 사례를 채우는 데 쓰이지만, 합성 데이터만 반복 학습하면 품질이 떨어질 수 있습니다.

Hugging Face, 허깅페이스

AI 모델, 데이터셋, 데모 앱을 올리고 내려받는 공유 플랫폼으로, AI계의 GitHub로 불립니다. 오픈웨이트 모델 대부분이 여기에 올라오며, 모델을 불러오는 Transformers 라이브러리도 함께 운영합니다.

Model Card, 모델 카드

모델의 용도, 학습 데이터, 한계, 라이선스, 평가 결과를 정리한 설명서입니다. 오픈웨이트 모델을 도입하기 전에 상업적 사용 가능 여부를 가장 먼저 확인하는 문서입니다.

Transformer, 트랜스포머

2017년 구글 논문에서 나온 신경망 구조로, 입력 안의 단어들이 서로 얼마나 관련 있는지를 계산하는 어텐션 방식이 핵심입니다. 현재 대부분의 LLM과 이미지, 음성 모델의 기반입니다.

Parameters, 파라미터(7B, 70B)

모델이 학습으로 얻은 가중치 숫자의 개수입니다. 7B는 70억 개를 뜻하며, 보통 클수록 능력이 높지만 메모리와 비용도 늘어납니다. MoE 모델은 전체 개수와 실제 활성화되는 개수를 따로 표기합니다.

LoRA, 로라

모델 전체를 다시 학습하지 않고 작은 추가 가중치만 학습해 맞춤화하는 경량 파인튜닝 기법입니다. 결과물이 작은 파일이라 여러 용도의 어댑터를 바꿔 끼워 쓸 수 있습니다.

Ollama / llama.cpp / vLLM, 모델 실행 도구

오픈웨이트 모델을 직접 돌리는 도구들입니다. Ollama와 llama.cpp는 개인 PC나 소규모 환경에서 간편하게 실행하는 데, vLLM은 서버에서 다수의 요청을 빠르게 처리하는 서비스용 추론 엔진으로 흔히 쓰입니다.

Benchmark / Leaderboard, 벤치마크 / 리더보드

표준화된 시험 문제로 모델 성능을 비교하는 점수표입니다. 점수가 높아도 내 업무에 맞는다는 보장은 없고, 시험 문제가 학습에 섞인 오염 가능성도 있어 참고용으로 봐야 합니다.

API vs Self-hosting, API 호출 / 자체 호스팅

API는 사업자가 운영하는 모델을 쓴 만큼 비용을 내는 방식, 자체 호스팅은 오픈웨이트 모델을 내 서버에 올려 직접 운영하는 방식입니다. 사용량이 적으면 API가, 사용량이 크거나 데이터 반출이 곤란하면 자체 호스팅이 유리해지는 경우가 많습니다.

AI Gateway, AI 게이트웨이

애플리케이션과 여러 AI 모델 제공자 사이에 두는 단일 진입점입니다. 하나의 주소로 요청을 받아 모델 선택, 장애 시 대체 호출, 사용량과 비용 관리, 입출력 필터링(가드레일), 로그 수집을 대신 처리합니다. 모델을 바꿔도 앱 코드를 고치지 않아도 되어 벤더 종속을 줄이는 수단으로도 쓰입니다.

보안

위협의 종류부터 방어 체계, 인증과 규제까지 보안 담당이 아니어도 알아야 하는 용어입니다.

Zero Trust, 제로 트러스트

네트워크 안쪽이라고 믿지 않고 모든 접근 요청을 사용자, 기기, 상황으로 그때마다 검증하는 보안 모델입니다. 내부망 경계에 의존하는 전통 방식을 대체하는 추세입니다.

CVE / CVSS, 공통 취약점 식별자 / 심각도 점수

CVE는 알려진 취약점에 붙는 고유 번호(CVE-연도-번호), CVSS는 그 심각도를 0~10점으로 매기는 체계입니다. 점수가 높다고 우리 환경에서 반드시 위험한 것은 아니라서 실제 노출 여부를 함께 봐야 합니다.

Zero-day, 제로데이

개발사가 아직 패치를 내놓지 못한 상태에서 공격에 쓰이는 취약점입니다. 방어하는 쪽이 대응할 시간이 0일이라는 의미에서 붙은 이름입니다.

Ransomware, 랜섬웨어

파일을 암호화해 쓰지 못하게 만들고 복구 대가를 요구하는 악성코드입니다. 최근에는 데이터를 훔친 뒤 공개하겠다고 협박하는 이중 갈취가 흔합니다. 분리 보관한 백업과 복구 훈련이 가장 현실적인 대비입니다.

Phishing, 피싱

정상 기관이나 지인을 사칭해 계정 정보를 빼내는 공격입니다. 생성형 AI로 자연스러운 문장과 음성이 만들어지면서 이메일, 문자, 전화 모두 구별하기 어려워졌습니다.

Supply Chain Attack, 공급망 공격

목표를 직접 뚫는 대신 소프트웨어 라이브러리, 빌드 도구, 협력사 같은 연결된 공급 경로를 침해하는 공격입니다. 오픈소스 패키지 저장소에 악성 패키지를 올리는 방식이 대표적입니다.

SBOM, 소프트웨어 자재 명세서

소프트웨어가 어떤 구성요소와 라이브러리로 만들어졌는지 목록으로 기록한 문서입니다. 취약점이 공개됐을 때 우리 제품이 영향을 받는지 빠르게 확인하는 데 쓰입니다.

SIEM / SOC, 보안 관제 도구 / 센터

SIEM은 여러 시스템의 로그를 모아 이상 징후를 분석하는 도구이고, SOC는 이를 24시간 지켜보며 대응하는 조직입니다. 인력이 부족한 기업은 외부 관제 서비스(MDR)를 쓰기도 합니다.

EDR / XDR, 단말 / 확장 탐지 및 대응

EDR은 PC와 서버 같은 단말의 행위를 감시하고 위협에 대응하는 솔루션이고, XDR은 이를 네트워크, 클라우드, 이메일 신호까지 묶어 연관 분석하는 확장판입니다.

Prompt Injection, 프롬프트 인젝션

문서나 웹페이지에 숨긴 지시문으로 AI가 원래 지시를 어기고 공격자가 원하는 행동을 하게 만드는 공격입니다. 외부 콘텐츠를 읽고 도구를 쓰는 에이전트에서 특히 위험하며, 권한 최소화와 사람의 승인 단계로 피해를 줄입니다.

Jailbreak, 탈옥

AI에 걸린 안전 규칙을 우회하도록 입력을 교묘하게 짜서, 원래 거부해야 할 응답을 얻어 내는 시도입니다.

Data Poisoning, 데이터 오염

학습이나 검색 대상 데이터에 악의적인 내용을 섞어 모델이 잘못된 판단이나 숨은 백도어를 갖게 만드는 공격입니다.

Red Teaming, 레드팀

실제 공격자를 흉내 내 특정 목표(데이터 탈취 등)를 노리고, 방어 쪽의 탐지와 대응 능력까지 시험하는 활동입니다. 모델 출시 전에 유해 응답을 유도해 보는 AI 레드팀도 일반화되었습니다.

Pen Test, 모의 해킹

허가를 받고 실제 공격 기법으로 시스템의 취약점을 찾아 보고하는 점검입니다. 취약점을 넓게 찾는 데 초점이 있고, 목표 달성과 탐지 회피까지 겨누는 레드팀과 구별됩니다.

MFA / Passkey, 다중 인증 / 패스키

MFA는 비밀번호 외에 추가 증거(앱 승인, 보안키)를 요구하는 인증입니다. 패스키는 기기에 저장된 암호키와 생체 인증으로 비밀번호 없이 로그인하는 방식이며, 피싱에 강합니다.

DevSecOps, 데브섹옵스

보안 점검(코드 스캔, 의존성 검사, 시크릿 탐지)을 개발과 배포 파이프라인 안에 처음부터 넣는 방식입니다. 출시 직전이 아니라 개발 초기에 취약점을 잡아 수정 비용을 줄입니다.

CSPM, 클라우드 보안 형상 관리

클라우드 계정의 설정 오류(공개된 저장소, 과한 권한)를 자동으로 찾아 알려 주는 도구입니다. 클라우드 사고의 상당수가 취약점이 아니라 설정 실수에서 나옵니다.

ISMS-P / SOC 2 / ISO 27001, 정보보호 인증 체계

ISMS-P는 한국의 정보보호 및 개인정보보호 관리체계 인증, SOC 2는 미국 감사 기준의 보안 통제 보고서, ISO 27001은 국제 표준 인증입니다. B2B 영업에서 고객이 요구하는 단골 서류입니다.

PII, 개인식별정보

이름, 연락처, 주민등록번호처럼 개인을 식별할 수 있는 정보입니다. AI 서비스에서는 프롬프트에 개인정보가 들어가 외부로 전송되거나 학습에 쓰이지 않도록 마스킹 정책을 둡니다.

Cyber Capabilities, 사이버 역량

AI 모델이 취약점을 찾거나 악용 코드를 쓰는 것처럼 보안 작업을 수행하는 능력을 가리키는 말입니다. 모델 안전 평가에서는 이 능력이 악용될 위험을 재는 항목으로 쓰입니다. 일부 업체는 이를 제품 등급으로 삼아 보안 전용 모델(cyber tier)을 일반 모델과 따로 두고, 사업자 인증을 받은 팀에게만 열어 줍니다. AI 게이트웨이 OrcaRouter가 코드 스캔과 제로데이 탐지용 OrcaCyber 모델을 이런 방식으로 제공한다고 밝히고 있습니다.