봇이 스스로 브레이크를 밟는 순간 — 자동매매 '안전 정지장치' 완전 정리

자동매매를 알아보는 분들과 상담하다 보면, 사람들이 가장 먼저 궁금해하는 건 "얼마나 벌 수 있느냐"입니다. 그런데 조금 더 이야기가 깊어지면, 표정이 굳으며 진짜 속마음이 나옵니다. "제가 잠든 사이에, 여행 간 사이에 이 봇이 혼자 미쳐 날뛰면 어떡하죠?" 이 질문이야말로 자동매매의 핵심을 정확히 찌릅니다. 사람은 이상한 낌새가 보이면 손을 뗄 수 있지만, 봇은 시키는 대로 합니다 — 시장이 무너지든, 시세 데이터가 깨지든, 자기 코드에 버그가 있든, 정해진 규칙을 묵묵히 반복하려 들 수 있습니다. 그래서 좋은 봇은 '버는 능력'만큼이나 '스스로 멈추는 능력'을 갖춰야 합니다. 자동차로 치면 엔진 성능이 아니라 브레이크와 에어백과 ABS에 해당하는 부분입니다. 이 글은 그 '봇의 자동 브레이크' — 킬 스위치·서킷브레이커·트립와이어라는 세 겹의 안전 정지장치가 각각 무엇이고, 봇이 어떤 이상 신호에 스스로 멈춰야 하며, 멈춘 뒤 포지션은 어떻게 되고, 안전장치의 함정은 무엇인지, 그리고 봇 자체가 죽었을 때는 어떻게 대비하는지를 코딩 한 줄 없이 풀어냅니다. 미리 밝혀두자면, 이 글은 어떤 자산의 방향이나 수익을 예측하지 않습니다. 안전을 설계하는 방법론에 관한 교육 자료이며, 어떤 안전장치도 손실을 없애주지 못합니다.

1. 왜 '멈추는 능력'이 '버는 능력'만큼 중요한가

자동매매의 매력은 사람이 자리에 없어도 24시간 규칙대로 매매한다는 것입니다. 그런데 이 매력은 그대로 공포가 되기도 합니다. 사람이 자리에 없으니, 뭔가 잘못되어도 아무도 손을 뗄 사람이 없기 때문입니다. 봇은 판단하지 않습니다. 그저 코드에 적힌 조건이 맞으면 주문을 냅니다. 시세 데이터가 잠깐 이상한 값을 내뱉어도, 시장이 몇 분 만에 폭락해도, 자기 코드에 미묘한 버그가 있어도 — 봇은 그것이 '이상하다'는 걸 스스로 알지 못하면 평소처럼 계속 매매하려 듭니다.

그래서 실전에서 진짜 계좌를 무너뜨리는 사고는 대개 '전략이 조금씩 손해 보는 것'이 아니라 '통제를 벗어난 짧은 순간'에서 옵니다. 몇 초 사이 같은 주문을 수십 번 반복하는 주문 폭주, 이상한 가격에 대량으로 체결되는 사고, 급락장에서 손절이 줄줄이 밀리는 연쇄 손실 같은 것들입니다. 이런 일은 자주 일어나지 않지만, 한 번 일어나면 그동안 쌓은 성과를 통째로 지울 수 있습니다. 안전 정지장치는 바로 이 드물지만 치명적인 순간을 겨냥합니다.

2. 세 가지 다른 '멈춤'을 구분하자 — 손절·안전 정지·장애 복구

"봇이 멈춘다"는 말은 실제로 세 가지 완전히 다른 상황을 뭉뚱그린 표현입니다. 이걸 구분하지 못하면 명세서에서도 서로 다른 얘기를 같은 칸에 적게 됩니다. 하나씩 떼어 보겠습니다.

이 글이 다루는 건 ②번, 계좌·봇 전체 차원의 자동 비상 차단입니다. ①손절은 이미 청산 설계 글에서, ③장애 복구는 장애·복구 플레이북에서, ④사람의 판단은 드로다운·중단 규칙 글에서 각각 따로 다뤘습니다. 여기서의 초점은 사람이 개입하기 전에, 봇이 스스로 즉시 매매를 멈추는 코드화된 안전장치입니다. 셋의 차이를 한 줄로 압축하면 이렇습니다.

3. 안전 정지장치의 3층 방어선 — 가드레일·서킷브레이커·킬 스위치

잘 설계된 봇의 안전장치는 하나의 스위치가 아니라 세 겹으로 쌓인 방어선입니다. 바깥에서 안쪽으로, 사고가 커지기 전에 먼저 걸리는 순서대로 배치합니다. 마치 공장 기계에 안전 덮개(사전 차단) → 과부하 차단기(조건부 차단) → 빨간 비상 정지 버튼(전면 차단)이 겹겹이 있는 것과 같습니다.

1층 — 트립와이어(가드레일): 위험한 주문을 내기 전에 막는다

가장 바깥이자 가장 먼저 작동하는 층입니다. 봇이 주문을 실제로 내보내기 직전에 "이 주문이 상식적인가"를 검사하는 사전 점검입니다. 예를 들어 한 번에 나가는 주문 수량이 평소의 10배라거나, 주문 가격이 현재가에서 비상식적으로 멀리 떨어져 있다거나, 같은 방향 주문이 몇 초 사이 지나치게 많이 쌓였다면 — 그 주문을 내보내지 않고 막습니다. 이것은 손실이 나기 전에 애초에 이상한 행동을 하지 못하게 하는 울타리입니다. 실무에서 큰 사고를 막는 가장 값싸고 효과적인 방어선이 바로 이 층입니다.

2층 — 서킷브레이커: 이상이 누적되면 자동으로 차단한다

개별 주문은 정상이어도, 결과가 쌓이면서 위험 신호가 나타날 수 있습니다. 오늘 하루 손실이 정해둔 한도를 넘었다, 연속으로 손실이 났다, 주문 실패가 반복된다 — 이런 누적된 이상이 임계값을 넘으면 서킷브레이커가 작동해 신규 매매를 자동으로 차단합니다. 주식시장 전체에도 급락 시 거래를 잠시 멈추는 '서킷브레이커'가 있는데, 그 발상을 봇 하나에 적용한 것입니다. 핵심은 사람이 판단하기 전에, 미리 정한 규칙에 따라 봇이 스스로 멈춘다는 점입니다.

3층 — 킬 스위치: 무슨 일이든 지금 즉시 전면 정지

가장 안쪽, 최후의 방어선입니다. 세부 조건을 따지지 않고 봇의 활동 전체를 즉각 중단시키는 비상 스위치입니다. 자동으로 걸리게 할 수도 있고(예: 명백한 대형 이상 감지), 사람이 원격으로 누를 수도 있습니다(예: 여행지에서 휴대폰으로). 자동차의 빨간 비상 정지 버튼처럼, "이유는 나중에 따지고 일단 멈춰"를 담당합니다.

이 세 층을 겹쳐서 두는 이유는 단순합니다. 어떤 안전장치도 완벽하지 않기 때문입니다. 트립와이어가 놓친 이상을 서킷브레이커가 잡고, 서킷브레이커도 못 잡은 대형 사고를 킬 스위치가 끊습니다. 하나만 믿으면 그 하나가 실패하는 날 계좌가 위험해집니다. 안전은 '한 방의 완벽한 장치'가 아니라 '여러 겹의 그물'로 만드는 것입니다.

4. 봇이 스스로 멈춰야 하는 '이상 신호' 8가지

그렇다면 봇은 무엇을 보고 "이상하다"고 판단할까요? 안전 정지장치는 결국 "이런 신호가 나타나면 멈춰라"의 목록입니다. 실무에서 자주 쓰이는 대표적인 이상 신호를 여덟 가지로 정리하면 이렇습니다. 맡길 때 이 목록을 놓고 "우리 봇은 이 중 무엇을 감시하나요?"라고 물어보면 됩니다.

이 여덟 가지는 성격이 조금씩 다릅니다. 1·2·7번은 '결과'의 이상(손실·포지션이 위험해짐)이고, 3·4·5·6번은 '작동'의 이상(봇이나 데이터가 오작동함)입니다. 특히 후자에 주목해야 합니다. 손실 한도만 감시하면 "돈이 이미 빠진 뒤"에야 멈추지만, 작동 이상을 감시하면 손실이 커지기 전에 멈출 수 있기 때문입니다. 예컨대 시세가 0으로 들어오는데도 그걸 진짜 가격으로 믿고 매매하면 큰 사고가 나는데, '데이터 이상' 감시가 있으면 그 매매 자체를 막습니다. 3·4·5번 같은 작동 이상은 주문 체결의 원리를 이해하면 왜 위험한지 더 분명히 보입니다.

5. 킬 스위치 — 전면 정지의 두 얼굴, 그리고 '멈춘 뒤 포지션은?'

킬 스위치는 안전장치 중에서도 사람들이 가장 직관적으로 원하는 기능입니다. "일단 다 멈춰!"를 담당하기 때문입니다. 그런데 킬 스위치에는 두 얼굴이 있고, 그보다 더 중요한 '멈춘 뒤 처리' 문제가 따라옵니다.

자동 킬 vs 수동(원격) 킬

수동 킬은 대개 텔레그램 원격 감시·제어와 함께 구현됩니다. 폰으로 명령을 보내 봇을 멈출 수 있게 하는 것이죠. 다만 여기엔 반드시 짚어야 할 함정이 있습니다.

더 중요한 질문 — 멈춘 뒤 포지션은 어떻게 되나?

"멈춘다"고 하면 대부분 모든 게 정리되어 현금이 되는 장면을 상상합니다. 하지만 멈춤에는 세 가지 다른 뒷처리가 있고, 어느 것을 택하느냐가 결과를 크게 바꿉니다.

6. 서킷브레이커 설계 — 임계값·시간창·발동 행동·재개 규칙

세 층 중 실무에서 가장 세심하게 설계되는 게 서킷브레이커입니다. "언제 멈출까"를 규칙으로 정해야 하기 때문입니다. 좋은 서킷브레이커는 네 가지를 명확히 정의합니다.

특히 ④ 재개 규칙이 자주 빠집니다. 멈추는 건 설계했는데 다시 켜는 방법을 안 정해두면, 봇이 멈춘 채로 방치되거나(그사이 기회도 놓치고 감시도 안 됨) 반대로 사람이 상황 파악 없이 성급하게 다시 켜서 같은 사고를 반복합니다. 그래서 위험한 정지일수록 '래치(latch)'를 겁니다 — 한 번 걸리면 사람이 원인을 확인하고 명시적으로 해제해야만 재개되도록 잠그는 것입니다. 두꺼비집 차단기가 저절로 다시 올라오지 않고 사람이 손으로 올려야 하는 것과 같습니다.

7. 안전장치의 역설 — 너무 민감해도, 너무 둔해도 위험하다

여기서 초보가 가장 오해하기 쉬운 지점을 짚겠습니다. "안전장치는 많고 민감할수록 좋다"는 생각은 틀렸습니다. 안전장치에는 역설이 있습니다. 지나치게 예민하면 오히려 해가 됩니다.

너무 민감하면 — 정상 변동에도 자꾸 꺼진다

정지 조건을 너무 빡빡하게 걸면, 시장의 정상적인 출렁임에도 봇이 계속 멈춥니다. 모든 전략은 이기고 지기를 반복하며 일시적으로 손실 구간(드로다운)을 지나가는데, 이 정상적인 계곡마다 서킷브레이커가 걸리면 봇은 제대로 일할 기회를 잃습니다. 게다가 사람이 매번 다시 켜야 하니 자동매매의 의미가 무색해집니다. "손실이 무서워 너무 조인 안전장치"는 결국 전략을 질식시킵니다.

정지 조건의 과최적화 — 또 다른 함정

과거 데이터를 보며 "이 손실 지점에서 멈췄으면 딱 좋았겠다"는 식으로 정지 조건을 과거에 꼭 맞게 깎으면, 그 자체가 과최적화가 됩니다. 과거의 특정 사고에만 맞춘 안전장치는 미래의 다른 사고에는 헛발질할 수 있습니다. 안전장치도 전략만큼이나 단순하고 견고한 편이 낫습니다.

너무 둔하면 — 정작 위험할 때 못 멈춘다

반대로 한도를 너무 헐겁게 잡으면, 정작 큰 사고가 났을 때 제때 걸리지 않습니다. 안전장치가 있으나 마나 한 셈이죠. 그래서 임계값은 "자주 겪는 정상 변동은 통과시키되, 드물게 나타나는 명백한 이상은 잡아내는" 선에서 잡아야 합니다. 이 균형점은 전략·시장·자본에 따라 다르고, 한 번 정하고 끝이 아니라 운영하며 조정해야 합니다.

8. 봇이 죽으면 킬도 못 누른다 — 외부 감시자와 데드맨 스위치

지금까지의 모든 안전장치에는 한 가지 치명적 전제가 깔려 있습니다. 봇이 살아서 돌아가고 있어야 작동한다는 것입니다. 그런데 봇 프로그램이 멈추거나, 서버가 다운되거나, 인터넷이 끊기면? 그 순간 열려 있던 포지션은 아무도 지키지 않는 상태로 방치될 수 있습니다. 죽은 봇은 자기 부고조차 보내지 못합니다. 이 사각지대를 메우는 것이 '봇 밖의 감시자'입니다.

하트비트 — "나 살아 있어" 신호

봇이 주기적으로(예: 1분마다) "정상 작동 중"이라는 신호를 보내게 합니다. 이 하트비트(맥박)가 일정 시간 이상 끊기면, 외부에서 "봇이 죽었을 수 있다"고 알아챕니다. 봇이 스스로 문제를 알리지 못하는 상황을 침묵으로 감지하는 방식입니다.

외부 감시자 — 봇과 분리된 파수꾼

봇과 별개의 작은 프로그램이나 서버가 봇의 하트비트와 계좌 상태를 밖에서 지켜봅니다. 봇이 죽거나 이상하면 사람에게 알림을 보내고, 경우에 따라 미리 약속된 안전 조치(예: 거래소에 걸어둔 예비 손절)가 작동하게 합니다. 핵심은 감시자가 봇과 같은 운명을 공유하지 않는다는 것입니다. 같은 서버, 같은 프로그램 안에 감시 기능을 넣으면 그 서버가 죽을 때 감시도 함께 죽어 무의미해집니다.

데드맨 스위치 — 신호가 끊기면 스스로 안전으로

한 걸음 더 나아간 개념이 데드맨 스위치입니다. 기관차 기관사가 손을 놓으면 열차가 자동으로 서는 장치에서 온 이름입니다. 봇이 정기적으로 "괜찮다"는 신호를 보내야 하고, 그 신호가 끊기면 시스템이 자동으로 안전 상태(예: 신규 주문 차단)로 넘어가게 하는 설계입니다. "적극적으로 멈추라고 명령"하는 대신 "살아 있다는 확인이 없으면 멈춘다"로 방향을 뒤집은 것입니다. 다만 거래소마다 이런 기능(예: 일정 시간 통신 없으면 주문 자동 취소)의 지원 여부와 방식이 다르므로, 실제 적용 가능성은 각 거래소·증권사 공식 문서로 반드시 확인해야 합니다.

9. 자동화가 안전장치에서 특히 빛나는 이유 — 그러나 검증은 필수

흥미롭게도, 자동매매가 사람보다 확실히 우월한 영역이 바로 이 안전장치입니다. 이유는 두 가지입니다.

첫째, 속도입니다. 급락이 시작되고 손실이 한도를 넘는 순간, 사람은 상황을 인지하고 결심하고 주문을 내기까지 시간이 걸립니다. 그 몇 초·몇 분 사이 손실은 더 커집니다. 봇은 조건이 맞는 순간 즉시 멈춥니다. 둘째, 감정이 없다는 점입니다. 사람은 "조금만 더 기다리면 반등하지 않을까" 하는 미련 때문에 멈춰야 할 때 못 멈춥니다. 규칙으로 박아둔 안전장치는 망설이지 않습니다. 이 심리적 함정은 트레이딩 심리 글에서 자세히 다뤘는데, 안전장치의 자동화는 바로 이 인간적 약점을 보완합니다.

10. 직접 vs 맡기기 · 명세서에 박을 '안전 사양 6줄'

안전장치는 직접 만들 수도, 제작을 맡길 수도 있습니다. 다만 안전장치는 '있다/없다'가 아니라 '검증됐나'가 관건이라, 스스로 만들 경우 정지 시나리오 테스트까지 직접 해야 합니다. 맡길 때는 아래 여섯 줄을 명세서에 구체적으로 적어달라고 요청하면 됩니다. 이 여섯 줄이 있으면 안전장치가 두루뭉술한 약속이 아니라 코드로 박힙니다. 명세서 작성 전반은 명세서 완전 가이드를 참고하세요.

11. 흔한 안전 설계 실수 6가지 · 실전 시나리오 3가지

흔한 실수 6가지

1. 손절만 있고 계좌 차원 안전장치가 없다 — 개별 손절이 밀리는 급변장에 무방비.
2. 멈추는 조건만 정하고 재개 규칙을 안 정했다 — 봇이 꺼진 채 방치되거나 성급히 재가동.
3. 남의 한도 숫자를 그대로 베꼈다 — 내 전략엔 너무 조이거나 너무 헐거움.
4. 안전장치를 검증 없이 믿는다 — 정작 비상시에 작동 안 하는 버그가 숨어 있음.
5. 봇 안에만 감시를 넣었다 — 봇·서버가 죽으면 감시도 함께 죽어 포지션 방치.
6. 원격 킬에 출금 권한을 열어뒀다 — 안전장치를 달다가 보안 구멍을 뚫음.

실전 시나리오 3가지

12. 흔한 오해 5가지 · 자주 묻는 질문