---
title: "리그 보안심사 3주를 15분으로"
author: "VibeTimes"
published: "2026-08-23T23:03:09.853Z"
section: "technology"
tags: ["AX", "AI전환", "리그", "League", "Deepgram", "Ramp", "보안심사", "코드리뷰"]
language: "en"
url: "https://vibetimes.co.kr/en/news/cmt6exvdh1e8chtehnjkepckt"
---

# 리그 보안심사 3주를 15분으로

리그는 벤더 보안심사 시간을 3주에서 15분으로 줄였다. 헬스케어 스타트업 리그(League)가 공개한 이 숫자는 Claude가 심사 항목을 훑고 사람이 서명만 하는 구조에서 나왔다. 문제는 이 15분이 검토 없는 승인이 아니라는 걸 어떻게 확인하느냐다. 같은 주 하커뉴스에는 AI가 자동 승인한 코드 수정이 스노우플레이크 지라 시스템 침해로 이어진 사고가 올라왔고, 댓글창은 "모델이 문제를 막을 만큼 충분하지 않았다면, 뭐가 사소한지 판단할 만큼도 충분하지 않다"는 말로 채워졌다.

## 리그가 줄인 건 심사 시간이지 심사 자체가 아니다

Anthropic이 공개한 고객사례에 따르면 리그는 헬스케어 규제 산업에서 벤더 보안 위험평가를 몇 주씩 걸리던 절차에서 Claude 기반 스킬로 15분 만에 처리하도록 바꿨다. 최근 53건 중 49건을 Claude가 안전하다고 판정했고, 이후 사람이 최종 서명하는 구조다. 같은 시기 회사 전체 제품개발 주기(아이디어부터 풀리퀘스트까지)도 절반으로 줄었다고 발표했다. Claude 채택률은 지난 3월 사내 전면 도입 시작 시점 80%에서 98%까지 올라갔다.

## 데이터그램과 램프는 숫자를 다르게 잘랐다

같은 자료집에서 음성 AI 기업 데이터그램(Deepgram)은 사내 코호트 분석 결과 Claude를 상시 사용하는 엔지니어의 코드가 미사용자보다 4~10배 더 오래 코드베이스에 남는다(durable)고 밝혔다. 고객 장애 대응 시간은 여러 날 걸리던 것에서 수 분으로 줄었다고 한다. 핀테크 기업 램프(Ramp)는 자사 CTO가 Anthropic 인터뷰에서 CI 파이프라인 시간이 P50 기준 18분에서 6분으로 줄었다고 말했는데, 이는 자동화가 밤새 반복 최적화를 돌리며 며칠에 걸쳐 얻은 결과라고 설명했다.

## 세 회사 숫자를 나란히 놓으면

회사

붙인 업무

지표

변화

출처

리그

벤더 보안 위험평가

처리 시간

3주 → 15분 (53건 중 49건 자동판정)

Anthropic 고객사례

데이터그램

엔지니어링 코드 생산

코드 잔존율(durable)

미사용자 대비 4~10배

Anthropic 고객사례(사내 코호트 분석)

램프

CI 테스트 파이프라인

실행 시간(P50)

18분 → 6분

Anthropic 고객사례(Boris Cherny 인터뷰)

세 숫자 모두 Anthropic이 자사 고객사례로 공개한 것이지, 제3자가 검증한 수치는 아니다.

## 하커뉴스가 겨눈 지점은 "검토를 누가 하느냐"

AI가 생성·승인한 GitHub Actions 코드가 스노우플레이크의 지라 연동을 뚫은 사건을 다룬 하커뉴스 스레드(hn:49331423)에서, 한 댓글은 "일부 AI 풀리퀘스트를 자동검토·자동승인하고 싶어하는 사람들과 얘기해봤다. 보안에서는 특히, 모델이 문제를 막지 못했다면 뭐가 사소한 변경인지 판단할 자격도 없다"고 썼다. 다른 댓글은 "그건 그냥 쓰레기 파이프라인에 쓰레기를 더 밀어넣는 것"이라며 사람이 풀리퀘스트를 직접 읽어야 한다는 "불편한 현실"을 지적했다. 리그의 "49/53 자동판정 후 사람 서명" 구조는 이 비판을 어느 정도 피해가지만, 나머지 4건이 왜 걸러졌는지, 49건의 오탐률은 얼마인지는 이번 자료에 나오지 않는다.

## 한국이라면 규제 서류부터 막힌다

리그의 사례가 성립한 전제는 헬스케어 규제 대응 문서와 판정 기준이 이미 구조화돼 있었다는 점이다. 국내 금융·의료 기업이 벤더 보안심사를 AI에 맡기려면 개인정보보호법·정보통신망법 체크리스트를 먼저 기계가 읽을 수 있는 형태로 바꿔야 하고, 이 변환 작업 자체가 몇 달짜리 프로젝트다. 심사 속도를 줄이기 전에 심사 기준을 디지털화하는 비용이 먼저 청구서에 찍힌다.

세 회사의 숫자는 성격이 다르다. 코드 잔존율과 CI 시간은 로그로 재현 가능한 지표지만, 보안심사 판정은 "안전하다"는 결론값이라 오탐이 나중에야 드러난다. 15분짜리 심사가 3주짜리 심사를 대체했다고 말하려면, 그 15분이 놓친 4건이 아니라 실제로 놓친 것이 몇 건인지가 다음 발표에 나와야 한다.

* * *

_분석 근거: Anthropic 고객사례(League, Deepgram, Ramp), Hacker News 토론(hn:49331423). 공개 자료에 근거한 분석입니다._