리버스 엔지니어링이 던진 질문: Salesforce는 끊어도 Stripe는 못 끊는 이유

“SaaS는 죽었다.”

2026년 10월 초 화제가 된 오픈소스 프로젝트 REA(Reverse Engineer Anything)를 두고 나온 반응입니다. REA의 제안은 간단합니다. 마음에 드는 앱의 기능을 발견하면, AI에게 작동 방식을 알아내고 내 제품에도 구현해 달라고 요청하는 겁니다.

이 바탕에 있는 기술이 리버스 엔지니어링, 즉 역공학입니다. 원본 소스코드 없이 배포된 프로그램을 분석해 작동 원리를 알아내는 작업을 뜻합니다. 마치 완성된 요리에서 조리법을 추론하는 것과 유사하죠.

그동안 이 작업에는 상당한 전문성과 시간이 필요했습니다. 사람이 쓴 코드가 기계어로 바뀌면 변수 이름과 설명 같은 단서가 많이 사라집니다. 분석 도구로 읽기 쉽게 바꿔도, 이름 없는 함수가 어떤 일을 하는지는 사람이 추적하고 검증해야 했습니다. 그 수고가 크면 차라리 직접 만드는 편이 나았죠.

REA는 이 과정을 코딩 에이전트에게 맡깁니다. 사용자가 Claude Code나 Codex에 분석할 기능을 지정하면, REA는 에이전트를 기드라(Ghidra) 같은 분석 도구에 연결합니다. 에이전트는 결과를 해석해 구현하고, 테스트가 실패하면 다시 조사하는 흐름입니다.

REA 프로젝트 측은 이 방식으로 고전 게임의 소리 좌우 배치를 계산하는 함수를 재구현하고, 원본과 비교하는 테스트 3,205개를 통과했다고 밝혔습니다. 앱 전체를 복제한 것은 아닙니다. 다만 기능을 이해하고 다시 만들고 검증하는 과정이 하나로 이어진 것이죠.

경쟁사가 공들여 만든 기능을 따라 만드는 비용이 낮아지고 있습니다. 그 기능이 더 이상 우리 제품만의 것이 아닐 때, 고객은 무엇 때문에 남을까요?

기능까지 법이 막아줄 수는 없다

이러한 복제를 법이 막아주지 않을까요? 물론 기능을 따라 만드는 데는 법적인 제약도 있습니다. 하지만 법이 복제를 완전히 막아주지는 않습니다.

저작권법은 프로그램의 ‘기능’보다 코드에 담긴 ‘표현’을 보호합니다. 다른 제품의 작동 방식을 이해하고 별도의 코드로 구현했다고 해서 곧바로 저작권 침해가 되는 것은 아니라는 것이죠.

분석 과정에는 제약이 있습니다. 한국 저작권법은 프로그램 코드 역분석을 호환성 확보 등 일정한 요건 아래 허용합니다. Slack 같은 서비스는 약관에서 역공학뿐 아니라 비슷한 제품을 만들기 위한 분석도 금지합니다.

하지만 이를 찾아내고 대응하는 일은 별개입니다. 복제한 제품을 공개적으로 팔면 드러나기 쉽지만, 개인이나 회사가 내부에서 만들어 쓰는 경우까지 파악하기는 어렵습니다.

기능을 지켜온 장벽 중 하나는 분석과 재현에 드는 비용이었습니다. AI가 그 비용을 낮춘 지금, 기업은 법적 보호 밖에서 고객을 붙잡을 해자를 찾아야 합니다.

가져올 수 없는 것들

가장 먼저 떠오르는 것은 핵심 로직을 서버에 숨기는 방법입니다. 하지만 서버 코드를 볼 수 없어도 앱이 주고받는 데이터와 결과를 관찰하면 작동 방식을 짐작할 수 있습니다. 복잡한 로직은 시간을 벌어주겠지만, 비슷한 기능이 나오는 것을 완전히 막을 수는 없는 것입니다.

더 오래 남는 것은 서비스를 운영하며 쌓은 자산입니다. 사용자 사이의 연결, 데이터, 신뢰, 다른 시스템에 접근할 권한과 같은 것들이죠.

가장 분명한 것은 네트워크 효과입니다. 2023년 12월 출시된 Beeper Mini는 애플 iMessage를 역공학해 안드로이드에서도 아이폰 사용자와 대화할 수 있게 했습니다. 기능은 재현했지만, 친구와 가족에게 연락하려면 여전히 애플 서버를 거쳐야 했습니다. 애플이 접속을 막자 출시 사흘 만에 서비스가 멈췄고, Beeper는 결국 iMessage 지원을 포기했습니다.

데이터는 조금 더 복잡합니다. 고객이 입력한 데이터는 꺼낼 수 있고, 형식을 바꾸는 일은 AI가 가장 잘하는 일입니다. 다만 데이터가 어떤 구조로, 다른 업무 도구와 어떻게 연결돼 있는지는 회사마다 다르기에, 이 구조까지 옮겨야 실제 기능까지 이어집니다. 여러 고객에게서 쌓은 데이터는 더 옮기기 어렵습니다. 결제 서비스 Stripe의 사기 탐지 로직을 흉내 내더라도, 수백만 판매자의 거래에서 축적한 데이터까지 가져올 수는 없는 것처럼 말이죠.

신뢰도 새로 쌓아야 합니다. 2025년 5월, Signal을 개조해 대화 기록을 저장하도록 만든 TeleMessage의 앱이 해킹당하면서 암호화되지 않은 대화 기록 410GB가 유출됐습니다. 원본을 바탕으로 만들었다고 보안 수준까지 보장되지는 않았습니다. 기업이 공급업체의 보안 체계와 운영 이력을 확인하는 이유입니다. 금융처럼 정부 인가가 필요한 영역에서는 이 신뢰가 아예 자격의 형태를 띱니다. 코드는 복제할 수 있어도 금융 라이선스는 복제할 수 없는 것입니다.

API도 원본 회사가 쥐고 있습니다. API는 외부 프로그램이 서버와 데이터를 주고받도록 회사가 열어 둔 통로입니다. 앞서 본 Beeper Mini는 애플이 서버에서 접속을 막자 출시 사흘 만에 멈췄습니다. 우회 시도와 미국 의원들의 반독점 조사 요청에도 Beeper는 결국 iMessage 지원을 포기했습니다. 이 통로 위에는 생태계도 쌓입니다. Slack에서 클릭 몇 번으로 Gmail이나 캘린더를 연결할 수 있는 것은 2,600개가 넘는 서드파티 앱이 Slack을 통해 연동돼 있기 때문입니다. 복제한 메신저는 이 연동까지 가져갈 수 없습니다.

마지막으로 복잡도가 있습니다. 복제는 버튼 한 번으로 끝나지 않습니다. AI는 원본 코드를 베끼는 게 아니라 동작을 흉내 내 다시 만들기 때문에 계속 다듬어 나가야 합니다. 복잡한 소프트웨어일수록 이 과정이 길고 품질 차이도 큽니다. 로직이 벌어 주는 시간은 복잡도에 비례합니다.

결국 리버스 엔지니어링이 위협하는 것은 가치가 워크플로우에만 있던 소프트웨어입니다. 그렇다면 그런 소프트웨어는 당장 대체될까요?

만들 수 있어도 구독을 끊지 않는 이유

복제할 수 있다고 기업이 바로 갈아타지는 않습니다. 결정은 결국 비용을 기준으로 내려집니다. SaaS 구독료를 아끼는 것보다 직접 만들고 운영하는 비용이 더 크면 계속 사서 씁니다. 자체 구축 비용이 구독료보다 싸지는 골든 크로스(Golden Cross)는 아직 오지 않았습니다. 만드는 비용은 빠르게 떨어졌지만 유지보수 비용이 여전히 남아 있기 때문입니다.

물론 움직임은 보입니다. 맥킨지의 2026년 조사에서는 응답자의 32%가 AI로 직접 만들 수 있다는 이유로 소프트웨어 구매를 포기한 적이 있다고 답했습니다. 다만 새로 사지 않은 것과 쓰던 계약을 해지한 것은 다릅니다. 기존 시스템에는 데이터와 업무가 연결돼 있고, 옮긴 뒤에는 유지보수도 맡아야 합니다. 사람들의 행동 양식도 변수입니다. 대부분은 만들 수 있어도 아직 사서 쓰는 쪽을 택합니다. 기존 SaaS에게 시간은 아직 남아 있는 것입니다.

교차점을 앞당길 변수는 프로액티브(Proactive) 에이전트입니다. 지금의 AI는 물어봐야 답하지만, 프로액티브 에이전트는 묻기 전에 먼저 문제를 찾아 해결책을 제안합니다. 직접 만든 소프트웨어에 문제가 생겼을 때 에이전트가 원인과 수정안을 내놓고 사람은 승인만 하면 되는 수준이 되면, 유지보수 비용은 크게 내려갑니다. 그때가 골든 크로스입니다.

교차 시점은 서비스마다 다릅니다. 기능 하나로 끝나는 단순한 도구는 가장 먼저 교차합니다. 반면 네트워크나 데이터가 있는 서비스는 아무리 싸게 만들어도 그 부분은 만들 수 없으니, 교차점이 오지 않을 수도 있습니다. 그렇다면 지금의 SaaS들은 각각 어디쯤 서 있을까요?

대체될 SaaS, 끝까지 남을 SaaS

차이는 두 가지 질문으로 가늠할 수 있습니다. 첫째, 가치가 워크플로우에 있는가, 데이터에 있는가. 업무 흐름만 똑같이 만들면 대체되는지, 그 서비스에만 쌓인 데이터가 있는지를 묻는 것입니다. 둘째, 솔로인가, 네트워크인가. 상대나 외부 개발자 생태계도 같은 서비스에 있어야 쓸모가 있는지를 묻는 것입니다.

Calendly는 기능 재현의 영향을 먼저 받을 수 있는 서비스입니다. 빈 시간을 링크로 보내면 상대가 시간을 고르는 구조이고, 예약하는 사람은 계정도 필요하지 않습니다. 상대에게 같은 서비스를 쓰도록 설득할 필요가 없습니다. 골든 크로스가 가장 먼저 올 곳이고, 이미 교차한 사례도 있습니다. Cal.com을 쓰던 한 스타트업 대표는 AI로 예약 기능을 직접 만들고 구독을 해지했는데, 마지막 걸림돌은 기능이 아니라 구글 캘린더 접근 인증이었다고 밝혔습니다.

얇아지는 해자는 쌓인 데이터가 지켜 줄 거라 믿었던 쪽입니다. 세계 최대의 고객 관리(CRM) 서비스 Salesforce는 수년간 쌓인 고객 정보와 영업 기록 때문에 바꾸기 어려운 시스템으로 여겨졌습니다. 하지만 미국 헬스케어 기업 Curative는 연간 약 60만 달러 규모의 Salesforce 계약을 해지하고, AI 코딩 도구로 두 달 만에 자체 시스템을 만들었습니다. 다만 아직은 예외에 가깝습니다. Curative의 CEO도 가장 어려운 부분은 유지보수라고 인정했고, 수년간 그 데이터 구조에 맞춰 업무를 붙여 온 대부분의 기업에게 이 장벽은 여전히 높습니다. 해자는 사라진 게 아니라 얇아지고 있습니다.

네트워크 해자는 워크플로우가 복제돼도 살아남는 쪽입니다. 업무용 메신저 Slack이 대표적입니다. 비슷한 오픈소스 메신저는 여럿 있지만, 2022년 기준 10만 곳 이상의 조직이 Slack Connect로 다른 회사와 채널을 함께 쓰는 한 갈아탈 이유가 없습니다. Salesforce를 과감히 끊어 낸 Curative도 Slack은 계속 쓰고 있습니다. 디자인 도구 Figma도 마찬가지입니다. Penpot이라는 오픈소스 대안이 있지만, 여러 직군이 같은 파일 위에서 함께 일하는 구조 덕분에 압도적인 점유율을 지키고 있습니다.

네트워크의 상대가 꼭 다른 사용자일 필요는 없습니다. 외부 개발자들이 쌓아 올린 생태계도 네트워크입니다. 포토샵을 만든 Adobe가 그렇습니다. 2026년 10월, 한 개발자가 AI로 포토샵, 프리미어 등 Adobe 프로그램 7종을 다시 만들어 무료로 공개했습니다. 포토샵 대체 프로그램은 PSD 파일을 열고 저장하는 수준까지 따라왔지만, 개발진 스스로 플러그인 호환성을 부족한 점으로 꼽았습니다. 외부 개발자들이 수십 년간 Adobe 위에 만들어 온 수천 개의 플러그인 생태계는 함께 옮겨 오지 않습니다. 사용자가 많을수록 개발자가 모이고, 플러그인이 많을수록 사용자가 남습니다.

이중 해자는 데이터와 네트워크를 모두 가진 쪽입니다. Stripe는 2025년 한 해 1.9조 달러의 결제를 처리했습니다. 결제 화면과 로직은 다시 만들 수 있어도 수백만 판매자의 거래에서 배운 사기 탐지 능력과 카드사, 은행으로 이어지는 결제망은 따라 만들 수 없습니다. 여기에 금융 라이선스라는 자격까지 겹쳐 있어, 골든 크로스가 오지 않을 가능성이 가장 큰 곳입니다.

같은 SaaS라도 골든 크로스가 오는 시점은 전혀 다릅니다. 워크플로우만 가진 회사는 가장 먼저 대체될 수 있지만, 데이터와 네트워크를 쌓은 회사는 쉽게 흔들리지 않습니다. 그렇다면 아직 시간이 남아 있는 지금, 창업하는 회사는 무엇을 쌓아야 할까요?

살아남을 이유

AI로 제품을 빨리 만들면 기존 강자를 따라잡기 쉬워집니다. 동시에 다른 회사도 우리를 쉽게 따라올 수 있습니다. 기능을 빠르게 만드는 능력은 이제 공통재가 되었습니다. 결국 차이는 기능 자체가 아닌, 기능이 쓰이며 쌓이는 것에서 생깁니다. 고객끼리 연결되는지, 데이터가 모일수록 제품이 좋아지는지, 운영 이력이 신뢰로 이어지는지입니다. 고객이 오래 쓸수록 다른 곳에서 얻기 어려운 가치가 생기도록, 창업 초기부터 설계해야 하는 이유입니다.

그렇다고 외부 접근을 모두 막을 수도 없습니다. AI 에이전트가 사람 대신 여러 서비스를 오가며 일하는 에이전틱(Agentic) 환경에서는 에이전트가 접속할 수 없는 서비스가 밀려납니다. 반대로 API를 활짝 열면 쌓은 데이터를 남이 통째로 가져갑니다. 가두면 밀려나고, 열면 빼앗깁니다.

Slack은 이 딜레마에 하나의 답을 보여줍니다. 2025년 외부 앱이 API로 데이터를 대량 수집하는 것을 막은 Slack은, 2026년 2월 실시간 검색 API(Real-Time Search API)와 MCP 서버를 정식으로 열었습니다. MCP(Model Context Protocol)는 AI 에이전트가 외부 서비스에 접속해 필요한 맥락을 가져오는 표준 규격입니다. Anthropic, Google, OpenAI 등 50곳이 넘는 파트너가 이 통로를 쓰지만, 에이전트는 필요한 데이터를 그때그때 조회만 할 수 있고 저장하거나 복사해서는 안 됩니다. 소유는 넘기지 않고 접근만 허락합니다.

골든 크로스 이후의 SaaS는 지금과 전혀 다른 모습이 될 것입니다. 고객은 업무에 맞는 화면과 기능을 AI로 직접 만들어 쓰고, 소프트웨어 기업은 그 아래에서 고객이 만들 수 없는 연결과 데이터, 자격을 제공합니다. 사용자 화면(UI)이라는 '머리'를 떼어 내고 데이터와 권한만 남긴, 이른바 헤드리스(Headless) SaaS입니다. 과금 방식도 사용자 수대로 받는 시트(Seat) 기반에서, 에이전트가 자산에 접근하는 만큼 받는 사용량(Usage) 기반으로 옮겨 갈 가능성이 큽니다. 소프트웨어를 팔던 회사가 복제할 수 없는 자산에 대한 접근권을 파는 회사가 됩니다.

처음의 질문으로 돌아가보겠습니다. 경쟁자가 내일 우리 기능을 똑같이 만들어 낸다면, 고객이 남아 있을 이유는 무엇일까요? 이 질문에 대해 경쟁자가 같은 기능을 내놓아도 고객이 우리를 쓸 이유로 답하는 회사가 살아남을 것입니다. 코드는 결국 읽힙니다. 남는 것은 코드가 쌓아 온 것입니다.

Editor Evan, Sonny