한 줄 정의

Palo Alto Networks는 AI 모델이나 개발 프레임워크가 아니라, 네트워크 보안, 클라우드 보안, 보안 운영 제품군을 묶어 파는 사이버보안 회사야. 공식 위치 페이지 기준 본사는 미국 캘리포니아 Santa Clara의 3000 Tannery Way에 있고, 공식 회사 소개는 16K+ 직원과 70K+ 전 세계 고객을 내세워.

AIKI에서 이 이름이 보이는 가장 직접적인 문맥은 Anthropic의 Mythos Preview와 Project Glasswing이야. Anthropic은 2026년 4월 7일 발표에서 이 회사를 AWS, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA 같은 launch partner 중 하나로 적었어. 그래서 여기서는 “모델 공급자”가 아니라 “강한 보안 모델을 방어 작업에 먼저 써 보는 보안 파트너”로 읽어야 해.

실제로 무엇을 하나

이 회사의 제품 축은 하나의 방화벽 이름으로 줄이면 금방 틀려. 공개적으로 묶는 큰 축은 네트워크 보안, 클라우드와 AI 앱 보안, 보안 운영이야.

  • 네트워크 보안: Strata, 차세대 방화벽, SASE, DNS·URL·위협 방어 같은 경계와 접속 통제를 다뤄.
  • 클라우드와 AI 앱 보안: Prisma Cloud, Prisma AIRS, AI Access Security, AI-SPM, AI Runtime Security처럼 모델, 에이전트, 데이터, 런타임 위험을 보는 쪽이야.
  • 보안 운영: Cortex XSIAM, Cortex XDR, Cortex XSOAR, Cortex Xpanse와 Unit 42 위협 인텔리전스·대응 서비스가 들어가.

2025 회계연도 실적 발표 기준으로는 연간 매출 92억 달러, Next-Generation Security ARR 56억 달러, remaining performance obligation 158억 달러를 보고했어. 이 숫자는 “좋은 모델을 만들었다”는 근거가 아니라, 기업 보안 예산과 운영 스택에 깊게 들어간 공급자라는 신호로 보는 쪽이 맞아.

왜 중요한가

agentic coding이 보안 문맥에 들어오면 문제는 두 갈래로 갈라져. 방어자는 모델로 취약점을 빨리 찾고 고치고 싶어 하고, 공격자는 같은 능력으로 제로데이와 익스플로잇을 더 빨리 찾을 수 있어. Project Glasswing은 이 간격을 방어자 쪽에 먼저 주려는 실험에 가까워.

이 회사가 여기서 중요해지는 이유는 제품군이 코드 분석 도구 하나가 아니라 고객 네트워크, 클라우드 설정, 엔드포인트, SOC 경보, 위협 인텔리전스와 닿아 있기 때문이야. Anthropic 발표에서 Lee Klarich는 몇 주 동안 Mythos Preview로 이전 세대 모델이 놓친 복잡한 취약점을 찾는 데 썼다고 설명했어. 이 주장은 PANW 단독 성능 광고라기보다, 강한 코딩 모델이 실제 보안 운영 스택에 들어갈 때 생기는 위험과 기회를 보여 주는 예시로 읽어야 해.

실무에서는 “PANW가 한다”라는 말만으로는 부족해. Strata 쪽 방화벽·SASE 얘기인지, Prisma 쪽 클라우드·AI 앱 보안 얘기인지, Cortex 쪽 SOC 자동화 얘기인지 먼저 갈라야 해. 같은 회사 이름 아래 있어도 예산, 로그 위치, 권한 모델, 대응 책임자가 다 달라져.

주의해서 볼 점

회사 이름 때문에 Palo Alto시에 있는 회사라고 단정하면 안 돼. 공식 본사는 Santa Clara로 적혀 있어. 회사명, 본사 위치, 제품 브랜드는 따로 봐야 해.

또 하나는 AI 제품명과 모델명을 섞는 문제야. Precision AI, Prisma AIRS, AI Access Security는 이 회사의 보안 제품·제품군 문맥이고, Claude Mythos Preview는 Anthropic의 제한 접근 모델 문맥이야. Glasswing 기사에서 둘이 같이 나오더라도 “PANW가 Mythos를 만들었다”가 아니라 “방어 보안 파트너로 Mythos를 써 봤다”에 가까워.

마지막으로, 회사의 AI 보안 홍보 문구는 실제 배포 상태와 따로 확인해야 해. 공식 실적 발표도 unreleased services or features가 예상대로 제공되지 않을 수 있다고 단서를 붙여. 그래서 도입 판단에서는 제품명보다 현재 계약 가능한 기능, 로그가 들어오는 위치, SOC에서 누가 조치하는지, 취약점 공개 절차가 어디까지 연결되는지를 먼저 보는 게 안전해.