토스 “앱인토스 미니앱 1만3000개 돌파…AI로 안전성 검수”

“금융 애플리케이션(앱) 안에서 인공지능(AI)이 짠 외부 코드가 돌아간다는 것은 무서운 이야기일 수 있습니다. 비바리퍼블리카(토스)의 근간은 금융이고, 보안과 안전은 끝까지 챙겨야 하는 영역이라고 생각하는데요. AI로 미니 앱 플랫폼인 앱인토스에 맞는 안전장치를 마련하고 있습니다.”

권순우 토스 앱인토스팀 프로덕트 오너(PO)는 <바이라인네트워크>가 지난 22일 여의도 FKI타워 컨퍼런스센터에서 개최한 ‘금융 테크 컨퍼런스 2026’에서 이같이 밝혔다.

토스는 금융을 넘어 택배·커피 주문 등 일상 서비스까지 연결하는 ‘일상 슈퍼앱’으로 확장을 추진하고 있다. 모든 서비스를 직접 개발하는 대신 비즈니스 파트너와 스타트업, 1인 창업자 등이 만든 서비스를 토스 이용자와 연결하는 방식이다. 이 과정에서 나온 플랫폼이 미니앱 플랫폼 ‘앱인토스’다. 누구나 앱인토스를 통해 서비스를 개발해 공개할 수 있다.

앱인토스는 지난해 9월 말 오픈한 이후 1년 만에 운영 중인 미니앱이 1만3000개를 넘어섰다. 월간 이용자는 400만명을 돌파했으며, 매달 새롭게 출시되는 미니앱도 증가하고 있다. 토스는 올해 말 월간 이용자가 500만~600만명 이상으로 늘어날 것으로 예상하고 있다.

권 PO는 앱인토스의 안전장치로 미니앱과 토스 핵심 영역을 분리하는 ‘격리’를 꼽았다. 미니앱의 코드가 토스의 핵심 영역에 접근할 수 없고, 이용자 데이터에도 직접 접근하기 어렵도록 설계했다.

미니앱의 자율성과 창의성을 보장하기 위해 필요한 기능은 소프트웨어 개발 도구(SDK) 형태로 제공한다. 권 PO는 “결제 인증 기기 기능이나 광고 연동, 동의 화면 호출 등은 토스가 안전하게 설계하고 기존 이용자 경험을 고려한 SDK를 통해 제공한다”고 말했다.

이어 “미니앱이 토스 위에서 할 수 있는 모든 일은 응용프로그램인터페이스(API) 단위로 정리돼 있고 허용 목록(화이트리스트)으로 관리되고 있다”며 “어떠한 코드가 동작하더라도 할 수 있는 일은 제한돼 있다”고 밝혔다.

개인정보 보호를 위한 장치도 적용했다. 이용자가 미니앱을 토스가 직접 제공하는 서비스로 인식해 개인정보 제공이나 동의에 쉽게 응할 수 있다는 점을 고려해, 토스 내부에서 사용하는 표준 동의 화면을 미니앱에도 동일하게 적용했다.

권 PO는 “토스 표준 동의 화면에서 이용자가 허락한 개인정보만 동의한 범위 내에서 API를 통해 미니앱에 전달되며, 권한을 철회하면 해당 정보에 대한 접근도 차단된다”고 말했다.

이어 “동의율을 높이기 위해 이용자가 어떤 항목에 동의하는지 명확히 알기 어렵게 하거나 필수 항목 사이에 선택 동의를 끼워 넣는 관행이 있다”며 “이 같은 관행에서 벗어나 미니앱에 어떤 개인정보가 전달되는지 이용자가 직접 확인하고 동의할 수 있도록 설계했다”고 설명했다.

미니앱의 코드가 안전하더라도 서비스 안에 불쾌하거나 부적절한 내용, 불법적인 요소 등이 포함될 수 있어 별도로 확인한다.

그는 “아무리 미니앱이 많아져도 모든 서비스를 100% 검수하자는 원칙을 세웠다”며 “매달 수천 개의 미니앱이 새로 생기고 업데이트할 때마다 같은 절차를 거쳐야 해 대상이 기하급수적으로 늘어나고 있다”고 말했다. 이어 “아무리 숙련된 심사관을 운영하더라도 이를 감당하기가 쉽지 않다”며 “필연적으로 자동화 보조 시스템을 만들게 됐다”고 밝혔다.

토스는 내부적으로 ‘오빗(Orbit)’이라는 자동화 보조 시스템도 운영한다. 오빗은 미니앱을 실제로 실행해 모든 버튼과 사용 사례를 확인하고 화면을 캡처한다. 이후 대규모언어모델(LLM)이 캡처한 화면을 분석해 잠재적인 위험 요소를 찾아내고 심사관의 검수를 돕는다.

안전성뿐 아니라 최소한의 이용자 경험 기준도 적용한다. 기본적인 이용자 경험을 충족하지 못하거나 제공하는 가치가 낮은 미니앱은 잘 노출되지 않도록 한다.

권 PO는 “여러 안전장치를 거쳤다고 하더라도 모든 미니앱이 소개할 만한 것은 아니”라며 “가치가 현저히 적은 미니앱들도 많이 있다”고 말했다. 이어 “토스 내부에서 발전시켜 온 최소한의 이용자 경험 기준을 미니앱에도 적용하기로 했다”며 “오빗이 이 기준에 따라 미니앱을 검수하고, 이를 충족하지 못한 서비스는 이용자에게 잘 노출되지 않도록 하는 역할을 한다”고 설명했다.

토스는 이용자 동의를 받은 내부 데이터를 미니앱 추천에도 활용한다. 재방문과 서비스 전환, 마이데이터·결제·쇼핑 정보 등을 바탕으로 이용자의 상황과 필요를 파악해 적합한 미니앱을 추천하는 방식이다.

그는 “여러 행동 패턴을 기반으로 어떤 서비스를 좋아할 만한지 추천하게 된다”며 “가령 결제나 최근 쇼핑 이력을 봤을 때 이사를 준비하고 있는 것 같다면 미니앱에 출시된 용달 서비스를 제안해 적절한 시점에 이용할 수 있도록 연결하고 있다”고 밝혔다.

추천 결과도 다시 데이터로 활용한다. 권 PO는 “실제로 서비스를 이용하게 되면 예약을 끝까지 진행했는지, 만족했는지, 후기가 어땠는지까지 새로운 추천에 활용한다”며 “이 같은 과정이 반복되면 추천이 점점 고도화되고 정밀도도 높아질 것”이라고 말했다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network