사기 친 Delve, 사기당한 Cluely
AI 스타트업을 믿으면 안 되는 이유
속고 속이는 활극의 창업판
지난 3월 19일, 딥델버(DeepDelver)라는 익명의 서브스택(Substack) 계정이 컴플라이언스 자동화 스타트업 델브(Delve)에 대한 내부 고발 리포트를 공개했습니다. 웬만한 공매도 리포트 저리 가라 할 수준의 상세함입니다. 유출된 구글 스프레드시트, 수백 건의 감사 보고서 초안 분석, 인증기관 네트워크 추적까지. 분명 내부자의 손을 거친 조사입니다.
델브는 2024년 와이콤비네이터 배치를 거친 직후 제네럴카탈리스트와 소마캐피탈의 투자를 받았고, 작년 7월에는 인사이트 파트너스가 단독으로 $32M 시리즈 A 라운드를 리드하며 $300M 기업가치를 찍은 회사입니다. 지난 2년간 와이콤비네이터 출신 기업 중 가장 빠르게 성장했다는 평가를 받았고, 포브스 30 Under 30에도 이름을 올렸습니다. CEO 카런 카우시크(Karun Kaushik)는 시리즈 A 발표 당시 수익성을 달성했고 분기 매출이 두 배로 뛰었다며, 500개 이상의 고성장 기업이 자사 플랫폼을 사용한다고 밝혔습니다.
그런데 공개된 리포트의 클라이언트 리스트에서 눈에 띄는 이름이 있습니다. 바로 클루얼리(Cluely)입니다. 사기 치는 바이럴로 유명해진 클루얼리가 컴플라이언스 사기를 당한 모습. 현재 MIT 자퇴, 컬럼비아 자퇴 20대 초반 창업자들이 만들어가는 실리콘밸리의 자화상입니다.
사건은 지금도 확산 중입니다. 테크크런치가 3월 21일 보도한 이후, 해커뉴스에서 500포인트 이상의 토론이 벌어졌고, 보안 연구자들이 델브 시스템 자체의 보안 취약점까지 추가로 공개하면서 사태는 단순한 내부 고발을 넘어선 국면에 진입했습니다. 딥델버는 2편을 예고한 상태이며, 테크크런치에 보낸 이메일에서 자신들의 익명 유지는 보복에 대한 두려움 때문이라고 밝혔습니다.
무슨 일인가
컴플라이언스 자동화가 무엇일까요? SOC 2, ISO 27001, HIPAA, GDPR 등등. 미국의 B2B SaaS 기업이 엔터프라이즈 고객을 상대하려면 반드시 통과해야 하는 보안·규제 인증들입니다. 비용도 상당합니다. 전통적인 방식으로 SOC 2 인증을 받으려면 연간 $15,000에서 $50,000, 기간은 6개월에서 1년이 걸립니다. 스크린샷을 찍고, 정책 문서를 작성하고, 증적을 수집하고, 감사인과 수차례 왕복하는 과정을 거쳐야 합니다.
B2B SaaS 컴플라이언스 4종 세트시간과 돈이 늘 부족한 스타트업 입장에서는 반드시 해야 하지만 어떻게든 최소한으로만 하고 싶은 체크박스와 같은 아이템이기도 합니다. 딜 클로징을 앞두고 있는데 상대가 SOC 2 보고서를 요구하면, 엔지니어를 코드에서 떼어내 컴플라이언스 서류 작업에 투입해야 합니다. 이 고통을 자동화해 주겠다는 것이 컴플라이언스 자동화 플랫폼의 가치 제안입니다. 밴타(Vanta), 드라타(Drata), 시큐어프레임(Secureframe) 같은 기업이 이 시장을 만들었고, 2026년 기준 SOC 2 자동화 시장 규모만 $1.3B에 달합니다.
델브가 노린 것은 바로 이 시장의 하단입니다. 밴타가 연간 $10,000부터 시작하는 가격에 35개 이상의 프레임워크를 지원하며 12,000개 고객을 확보한 시장 선두주자라면, 델브는 더 빠르고 더 싸게 해 주겠다는 포지셔닝이었습니다. 며칠 만에 SOC 2 인증이라는 문구를 전면에 내세웠고, 소셜미디어에서도 적극적으로 존재감을 키웠습니다. 클루얼리처럼 바이럴 자체를 노린 것은 아니지만, 링크드인과 X에서 공격적으로 콘텐츠를 올리고 고객 사례를 홍보하는 방식은 전형적인 초기 SaaS 플레이북이었습니다. 주요 고객 대부분이 아직 규모가 작은 스타트업인데다가 밴타의 기존 고객을 빼앗아 와야 하는 입장이었기에 왕성한 마케팅은 나름 효율적인 패스트팔로워 전략이었던 셈이죠.
시리즈 A 스타트업이 빌보드 광고를 한다면?딥델버 리포트가 폭로한 내용은 그 약속의 이면입니다. 델브가 빠른 인증을 가능하게 한 방법은 AI 자동화가 아니라 사전 작성된 결론과 증적의 대량 복제였다는 것이 혐의의 핵심입니다. 유출된 구글 스프레드시트에는 493건의 초안 보고서가 담겨 있었고, 분석 결과 99.8%가 동일한 문구와 구조를 공유하고 있었습니다. 고객이 아직 서명이나 시스템 다이어그램조차 제출하지 않은 단계에서 이미 감사 결론과 테스트 결과가 채워져 있었다는 것입니다. 브라우저유즈(BrowserUse), 클루얼리, 그렙타일(Greptile), 노우텍스(Knowtex) 등의 SOC 2 보고서에서 감사인의 독립 보고서가 델브의 리포트 생성기에 의해 미리 만들어져 있었다는 점도 적시됐습니다.
수법의 구조를 보면 전형적인 형태가 읽힙니다. 미국 기반 CPA 감사라고 마케팅했지만 실제 감사를 수행한 기관은 인도에 본사를 둔 아코프(Accorp), 그래디언트 서티피케이션(Gradient Certification) 등이었습니다. 와이오밍이나 델라웨어에 우편함 법인을 등록해 미국 주소를 확보한 뒤, 실질적인 독립 검증 없이 델브가 만든 템플릿에 서명하는 구조였다는 것입니다. 리포트에 기재된 감사 담당자의 미국 CPA 자격이 확인되지 않는 경우도 드러났습니다. 딥델버가 표현한 대로 구조적 사기, 즉 감사의 결론과 증거를 먼저 만들어 놓고 나중에 감사인을 끼워 맞추는 프로세스입니다.
AI 시대 복붙도 전략이다AI 자동화라는 마케팅 역시 과장이었다는 지적이 뒤따릅니다. 딥델버는 테크크런치와의 이메일에서 델브가 자사 블로그 반박문에서 AI가 아닌 자동화라는 표현만 사용한 점을 지적했습니다. 실제 운영은 스크린샷 업로드와 폼 입력 위주의 수동 시스템이었고, 패스웨이즈라는 모듈은 오픈소스인 심스튜디오를 무단 사용한 것으로 드러나 IP 침해 논란까지 얹어졌습니다.
설득력이 부족한 회사의 대응
폭로가 공개된 다음 날인 3월 20일, 델브는 공식 블로그에 반박문을 올렸습니다. 핵심 메시지는 세 가지입니다. 첫째, 델브는 컴플라이언스 보고서를 발행하지 않는다. 둘째, 자사는 자동화 플랫폼일 뿐이며 최종 보고서와 의견은 독립적인 라이선스 보유 감사인이 발행한다. 셋째, 서브스택 리포트는 오해를 불러일으키는 부정확한 주장들을 담고 있다.
딥델버는 테크크런치에 보낸 후속 이메일에서 그 대응의 안이함과 뻔뻔함에 놀랐다고 밝혔습니다. 사전 작성된 증거를 부인하면서 템플릿이라고 이름만 바꿨을 뿐이며, 고객이 그 템플릿을 그대로 채택한 것에 책임을 전가하는 구조라는 지적입니다. 특히 딥델버는 델브가 전혀 언급하지 않은 혐의들을 짚었습니다. 인도 기반 인증 공장 구조, AI 부재 문제, 그리고 실제로 구현되지 않은 보안 통제를 신뢰 페이지(Trust Page)에 표시한 문제가 그것입니다.
CEO 카런 카우시크의 초기 대응도 우려를 잠재우지는 못했습니다. 폭로 직후 고객사들에게 보낸 이메일에서 서브스택 리포트를 AI가 생성한 봇의 조작된 주장이라고 표현했습니다. 민감한 데이터 유출은 없었다고 단언했지만, 이후 X 사용자 제임스 저우(James Zhou)가 델브 시스템에서 임직원 신원조회 기록과 주식 베스팅 일정 같은 민감 정보에 접근할 수 있었다고 주장하면서 델브는 외부 공격에 심각한 보안 허점이 다수 존재한다는 내용을 공개했습니다. 컴플라이언스를 파는 회사의 자체 보안이 뚫리는 상황이 된 것입니다.
테크크런치가 델브 웹사이트에 기재된 미디어 연락처로 추가 코멘트를 요청했으나 이메일이 반송됐고, 이후 기사가 게시된 뒤에 돌아온 것은 델브 데모 일정 초대였다는 에피소드는 회사의 위기 대응 역량 자체에 의문을 갖게 합니다. 현재까지 공동창업자 셀린 코칼라르(Selin Kocalar)를 포함한 경영진의 대외 인터뷰나 소셜미디어 해명은 없습니다. 법적 소송을 직감하고 말을 아끼는 모습입니다.
Delve의 와이콤비네이터 디렉토리 페이지인사이트 파트너스를 비롯한 투자자들의 공식 입장 역시 아직 나오지 않았습니다. 인사이트 파트너스 웹사이트에는 여전히 델브가 포트폴리오 회사로 소개되어 있고, 시리즈 A 리드 파트너 프라빈 아키라주(Praveen Akkiraju)의 발언도 삭제되지 않은 상태입니다. 와이콤비네이터와 제네럴카탈리스트 역시 침묵 중입니다. 폭로 이후 일주일이 채 지나지 않은 시점이라 내부 검토 중일 가능성이 높지만, $32M을 투자한 리드 투자자의 실사 프로세스가 어떤 수준이었을지에 대한 질문은 피할 수 없게 되었습니다.
AI 내러티브가 실사를 마비시킬 때
이번 사건이 던지는 메세지는 분명합니다. AI 자동화라는 내러티브 앞에서 기술 및 투자 실사가 얼마나 쉽게 느슨해질 수 있는가 하는 문제입니다. AI로 레거시 프로세스를 날려버린다는 서사가 붙는 순간, 매우 정교해야 할 리스크 영역에서조차 벤처캐피탈과 고객의 상식적 의심이 마비될 수 있다는 것을 잘 보여주는 사건입니다. 실제 운영은 스크린샷 업로드 수준의 통합과 템플릿 복붙 수준의 증적이었는데, 외부에는 에이전틱 AI와 독립 감사 네트워크로 포장되면서 검증이 후순위로 밀렸다는 지적이 큽니다.
두 번째는 고객과 창업자 모두가 공범이 되지 않는 선을 의식해야 한다는 점입니다. 딥델버에 따르면, 많은 고객이 이게 이상하다는 걸 느끼면서도 딜 클로징에 필요한 보고서를 빨리 확보해야 해서 그냥 넘어갔다는 회고를 남겼습니다. 규제 분야에서는 가격과 속도보다, 무엇이 자동화되고 무엇은 사람이 직접 해야 하며 감사인은 어떤 방식으로 독립성을 유지하는지를 묻지 않으면 의도치 않게 구조적 사기의 공범이 될 수 있다는 경고입니다. 해커뉴스의 한 댓글이 이 상황을 압축합니다. 아무도 실제 보안 수준에 관심이 없었고, 보험 증서와 계약 조건에 필요한 인증서에만 관심이 있었다는 것입니다.
이들은 피해자인가 공범인가세 번째는 이것이 델브만의 문제가 아닐 수 있다는 구조적 질문입니다. 여러 GRC 전문가들은 수년 전부터 많은 툴이 대시보드 캡처만으로 통제를 검증 완료라고 표시하는 관행이 있었다고 지적합니다. 해커뉴스 토론에서 가장 많은 공감을 받은 의견 중 하나는 컴플라이언스의 80%는 항상 보여주기 식 체크박스 작업이었다는 것이었습니다. 델브가 그 선을 최적화에서 사기로 넘었느냐는 논쟁이 있지만, 양쪽 모두 시스템 자체가 이런 행동을 유인한다는 점에서는 일치합니다. 밴타나 드라타 같은 기존 플레이어도 증적 수집 자동화까지는 하되 감사 의견 자체는 독립 감사인이 낸다는 구조를 유지하는데, 그 경계를 모호하게 만들거나 아예 지워버리면 델브 같은 사례는 언제든 반복될 수 있습니다.
Editor’s Note
얼마 전 클루얼리가 자신들의 성과에 대해 거짓말을 했다는 테크크런치 보도에 대에 대한 뉴스레터 글을 발행했었습니다. 그리고 전체 구독자들을 대상으로 메일을 발송하기 직전 로이 리(Roy Lee)의 대응 동영상을 보고서는, 갱생의 여지도 없고 의미도 없다는 회의감이 들어 발송을 취소했었습니다.
로이의 동영상에 대한 가장 날카로운 반응은 이것이었습니다. 틱톡커가 어울릴 만한 사람이, 자기가 뭘 만드는지도 설명 못하는 프로덕트를 만들면서 스타트업 창업자라고 주장하고 다닌다는 것.
사실 델브가 사기이고 클루얼리가 블러핑이라는 게 요즘 시대에 뭐가 문제냐는 생각도 듭니다. 이들이 소셜미디어에 존재감이라도 있어서 문제가 되지, 사실 이런 일들이 얼마나 많을까요. 세상에 드러나지 않는 AI 스타트업의 가짜 인증, 부풀린 지표, 포장된 실사는 이보다도 훨씬 많을 것입니다.
하지만 한 가지는 분명해지는 것 같습니다. AI 시대에 오히려 신뢰라는 가치가 더욱 희소해진다는 것이죠. 자동화가 만들어내는 속도와 효율은 진짜일 수 있지만, 그 속도 위에 올라탄 주장들이 모두 진짜인 것은 아닙니다. 델브는 AI 컴플라이언스를 팔면서 AI도 컴플라이언스도 없었고, 클루얼리는 AI 프로덕트를 팔면서 가짜 컴플라이언스를 가져다 쓰면서 성과를 지어냈습니다.
MIT와 컬럼비아 대학 중퇴라는 혹하는 경력을 바탕으로 인지도를 얻은 20대 초반의 창업자들은 신뢰를 담보로 속도를 샀고, 이제 그 담보가 1년 만에 부도 처리되는 순간을 경험하고 있습니다.
본 글은 비즈니스 전문 유료 뉴스레터 CapitalEDGE를 통해 3월 24일 발행되었습니다.
CapitalEDGE는 엔젤투자에서 기술주 IPO까지 글로벌 테크 + 벤처 + 투자에 관한 인사이트를 전달합니다. 상장 빅테크부터 실리콘밸리 스타트업까지 상장 비상장을 넘나드는 가장 최신의 테크 트렌드를 CapitalEDGE에서 만나보시기 바랍니다.
네이버프리미엄콘텐츠
CapitalEDGE 테크+벤처+투자 : 네이버 프리미엄콘텐츠