YC의 AI 채점기를 해킹했더니 초청장이 왔습니다 — 트랜스크립트가 스펙이 되는 시대의 역설

핵심 요약 (TL;DR)

독학 개발자 Obaid가 YC의 AI 코딩 트랜스크립트 채점 도구 'Paxel'에서 서명 검증 허점을 발견해 상위 1% 점수를 위조했고, 전 과정을 공개하자 몇 시간 만에 패치와 함께 YC 파트너의 Startup School 초청을 받았습니다. AI 코딩 기록이 선발 기준이 되는 시대는 이미 왔지만, 그 시스템의 구멍을 찾은 건 AI가 아니라 사람의 적대적 사고였습니다.

이력서 칸에 학교 이름 대신 AI 에이전트와 나눈 코딩 트랜스크립트를 제출하라는 조직이 나타났습니다. 다름 아닌 Y Combinator입니다. 그리고 한 독학 개발자가 그 채점 시스템을 뚫은 이야기가 지난 주말 해커뉴스를 달궜습니다(106포인트, 댓글 70개).

AI 코딩 트랜스크립트가 스펙이 된다는 게 무슨 말일까요?

YC는 Startup School 26 지원자에게 'Paxel'이라는 curl 원라이너 실행을 요구합니다. 로컬의 git 히스토리와 AI 코딩 에이전트 트랜스크립트를 스캔해 LLM 프록시로 보내고, 실행 레버리지·조종력·엔지니어링 품질·프로덕트 사고·계획력 다섯 축으로 점수를 매기는 도구죠. Paxel 사이트 자체 카운터 기준으로 120만 명 이상이 이 채점을 거쳤습니다. 학벌도 경력도 아닌 "AI와 어떻게 일하는가"가 정량화되는 첫 대규모 실험인 셈입니다.

그 채점기는 어떻게 뚫렸을까요?

명문대 학위가 없는 독학 개발자 Obaid는 이 시스템의 논스(nonce) 검증에 암호학적 서명이 빠져 있다는 걸 발견했습니다. 점수를 임의로 조작해 상위 1% 리포트를 업로드할 수 있었던 거죠. 패치 전 같은 버그를 악용한 유저가 20명을 넘었다는 게 저자의 확인입니다. 비공개 제보는 12일간 답이 없었지만, 전 과정을 블로그에 공개하자(https://obaid.wtf/jotbook/2026/07/18/how-i-got-into-yc-by-hacking-it.html) 몇 시간 만에 패치됐습니다. 그리고 YC 파트너 Jared Friedman이 공개 답글을 달았습니다. "Impressive hacking!" — 2주 뒤 샌프란시스코 Startup School에서 보자는 초청과 함께요.

오해는 금물입니다. YC '합격'이 아니라 Startup School '초청'입니다. 해커뉴스 토론(https://news.ycombinator.com/item?id=49039448)에서 모더레이터도 이 구분을 짚었습니다.

진짜 아이러니는 어디에 있을까요?

이 사건엔 두 겹의 역설이 있습니다. 첫째, 트랜스크립트가 신용점수가 되는 시대는 학벌 없는 사람에게 열린 문입니다. 그런데 Obaid에게 실제로 문을 열어준 건 채점기의 점수가 아니라 채점기를 의심한 실력이었습니다. 둘째, 그는 리서치 과정에서 LLM으로 "10~50배 가속"을 얻었다면서도 이렇게 덧붙입니다. "LLM은 해킹 가능한 것조차 거의 완벽하게 그럴듯한 논리로 '안 된다'고 우긴다." 핵심 취약점은 결국 사람이 찾았습니다. AI가 만든 평가 시스템의 빈틈은 AI를 의심할 줄 아는 사람에게만 보이는 거죠.

FAQ

Q. Paxel이 뭔가요?
YC가 지원자의 git 히스토리와 AI 에이전트 트랜스크립트를 LLM으로 분석해 다섯 축으로 점수화하는 공식 채점 도구입니다.

Q. 그 개발자는 YC에 합격한 건가요?
아닙니다. 정확히는 YC 파트너의 Startup School SF 초청입니다. 일부 제목의 'YC 합격' 표현은 과장입니다.

Q. 바이브코딩 기록이 정말 선발에 쓰이나요?
Paxel 사이트 카운터 기준 120만 명 이상이 이미 트랜스크립트를 제출했습니다. 적어도 YC 생태계에서는 이미 현실입니다.

여러분의 에이전트 트랜스크립트가 점수화되는 날이 온다면 — 그 점수를 올리는 연습을 하시겠습니까, 아니면 그 채점기를 검증해보시겠습니까? 저는 후자가 진짜 스펙이라고 생각합니다.