로그와 경보의 한계와 SOC 판단의 추정 구조
2025년 한 해 동안 전 세계 조직이 받은 사이버 공격은 조직당 주간 평균 1,968건으로, 2023년보다 70% 늘었습니다(Check Point Cyber Security Report 2026 기준). 보안 전문 인력의 부족 규모는 480만 명으로 추산됩니다(ISC2 2024 Cybersecurity Workforce Study 기준). 공격은 빨라지고 늘어나는데 처리할 사람은 그만큼 늘지 않습니다. 사전에 정의한 규칙과 사람 손을 거치는 경보 분류에 기대는 운영으로는 대응 골든타임을 지키기 어렵습니다. AI 에이전트 기반 SOC 자동화가 대안으로 논의되는 배경입니다.
자동화 자체가 해법은 아닙니다. 오늘날 SOC의 판단은 대부분 로그와 경보, 이벤트 같은 상태정보를 기반으로 이루어집니다. 로그와 경보만 입력받는 판단은 분석가가 수행하든 AI가 수행하든 추정에 그칩니다. 로그와 경보는 발생 상태까지만 보여줍니다. 실제로 무엇이 오갔는지, 정상 상태와 얼마나 달랐는지, 왜 그렇게 판정했는지는 알 수 없습니다. 이 셋을 채우는 맥락데이터가 각각의 역할로 근거를 제공하며, 세 가지가 함께 입력될 때 판단의 자동화에 필요한 근거가 더욱 온전해집니다. 근거가 부족한 상태에서 속도만 높이면 빨라지는 것은 판단이 아닌 추정입니다.
에이전틱 AI와 단순 자동화의 차이
에이전틱 AI는 목표를 주면 스스로 계획을 세워 실행하는 자율 실행형 AI입니다. 사전 정의 규칙이 아닌 당시 상황 판단으로 다음 행동을 결정합니다. SOAR(Security Orchestration, Automation and Response) 플레이북은 사전 정의된 조건이 충족될 때만 작동합니다. 처음 보는 공격 패턴이나 조건 조합이 달라진 상황에서는 대응 흐름이 해당 조건에서 중단됩니다. 에이전틱 AI는 그 상황에서 맥락을 추론해 판단을 이어갑니다.
자율성에는 조건이 따릅니다. 플레이북 자동화에서 판단을 대신한 것은 사람이 정의한 조건이었습니다. 에이전틱 AI는 그 판단을 스스로 수행합니다. 그래서 입력 데이터의 품질이 곧 결과의 품질이 됩니다. 경보 요약처럼 현상만 담긴 데이터를 받으면 AI의 추론도 그 요약 범위 안에 머뭅니다. 원본 트래픽과 세션까지 받으면 실제로 오간 행위를 근거로 판정합니다. 구조가 같아도 입력에 따라 판단 신뢰도가 달라집니다.
보안 운영 5단계와 자동화 적용 지점
SOC 운영은 수집, 탐지, 경보 분류, 심층 조사, 대응의 5단계로 구성됩니다. AI 에이전트의 역할은 단계마다 다릅니다.
수집과 탐지는 자동화 효과가 가장 큰 구간입니다. 경보 분류에서는 AI가 위협 인텔리전스와 자산 중요도, 행위기준선을 교차 참조해 분석가가 검토할 범위를 미리 좁힙니다. 조사 시간 단축 폭은 입력 데이터와 운영 환경에 따라 달라지므로 단일 수치로 제시하지 않습니다. 격리와 차단은 성격이 다릅니다. 오탐 한 건이 업무 연속성에 직접 영향을 주기 때문에, 지금의 운영 환경에서는 AI가 조치를 제안하되 실행 승인은 사람에게 남기는 반자율 구조가 현실적입니다.
같은 에이전틱 구조에서 판단 품질이 달라지는 요인
입력이 다르면 운영이 감수해야 할 위험도 달라집니다. 경보 요약만 받는 AI는 현상은 설명할 수 있지만 원인까지 확정하기는 어렵습니다. 이 구조에서는 오탐이 늘고 AI 환각이 발생할 가능성도 커집니다. 자율 실행 수준을 올릴수록 그 부담도 커집니다. 잘못된 추정이 사람의 검토를 거치지 않고 곧장 다음 행동으로 이어지기 때문입니다.
AI가 참조해야 할 맥락데이터는 3가지입니다. 실제로 무엇이 오갔는지를 담은 원본 트랜잭션/세션 데이터, 정상 상태 대비 이탈의 방향과 크기를 알려주는 행위기준선 데이터, 그 판정에 이른 경로를 남기는 탐지설명성(XAI) 데이터입니다. 각 맥락데이터는 각각의 역할로 경보 분류의 근거를 제공하며, 세 가지가 함께 입력될 때 교차 참조로 오탐 부담을 더욱 덜어냅니다. 하나가 비면 그 역할의 근거가 부족한 만큼 판정 신뢰성이 낮아집니다. 입력의 완전성이 판단 품질의 상한을 정한다는 원칙은 에이전틱 구조에서도 그대로입니다.
도입 시 검토 기준: 자율 수준과 거버넌스
AI SOC 에이전트를 평가할 때 흔히 보는 항목은 조사의 깊이, 자율 제어 수준, 피드백 루프, 배포 모델, 가격 구조입니다. 이 점검에서 자주 반복되는 오류가 하나 있습니다. MITRE ATT&CK 커버리지 수치나 경보 발생 건수를 탐지 역량의 대표 지표로 삼는 것입니다. 커버리지는 탐지룰이 어디까지 정의돼 있는지만 보여줍니다. 탐지룰을 우회하는 공격이나 정상 계정을 사용하는 내부 이상 행위를 맥락으로 탐지하는지는 별도 문제입니다. 에이전틱 자동화라면 아래 3가지를 함께 확인해야 합니다.
- 자율 실행 범위를 단계별로 조절할 수 있는가: 제안만 하는 수준, 승인 후 실행, 완전 자율까지 시나리오별로 나눠 통제할 수 있어야 합니다.
- 오탐 피드백이 다음 판단에 반영되는가: 분석가의 판정 결과가 학습으로 돌아오지 않으면 같은 오탐이 되풀이됩니다.
- AI 판단을 사람이 검증할 수단이 있는가: 판단 근거를 제시하지 못하는 에이전트는 자율 범위가 클수록 감독이 어려우므로 검증 수단을 먼저 확인합니다.
세 기준을 통합한 이름이 거버넌스입니다. AI 환각과 프롬프트 인젝션 같은 악의적 명령어 주입을 차단할 내부 검증 체계가 없으면, 자율 실행 범위를 넓힌 만큼 잘못된 판단도 그대로 조치가 됩니다.
분석가의 역할: 실행자에서 감독자로
AI 에이전트가 1차 경보 분류와 반복 조사를 맡으면 분석가의 역할은 실행자에서 감독자로 이동합니다. 고위험 판단과 예외 케이스 검토, AI 결과 검증이 본업이 되고, 탐지설명성(XAI) 해석과 거버넌스 운영, 오탐 피드백 관리가 새 역량으로 추가됩니다. 확인할 점이 하나 있습니다. AI가 처리하는 경보가 늘어날수록 분석가 한 명이 감독할 판단의 범위도 함께 넓어집니다. 자동화의 효율은 AI 결과를 신속하고 정확하게 검증할 도구와 절차가 함께 갖춰질 때 확보됩니다.
규제 환경과 한국, 일본, 미국, EU 공통 요구사항
규제 요건이 엄격한 환경에서는 확인할 것이 하나 더 있습니다. 관할마다 규제의 이름은 다르지만 요구하는 바는 공통됩니다. 사고를 정해진 기한 안에 보고하고, 판단의 바탕이 된 기록을 정해진 기간 보존하며, 감사와 조사에서 제시하라는 것입니다.
보존 기간과 보고 기한은 관할마다 다르지만 전제는 하나입니다. 조사에 제출할 기록이 남아 있어야 합니다. 여기에 AI가 판단을 수행하면 조건이 하나 늘어납니다. AI가 위협으로 판정한 근거까지 규제 감사와 침해사고 조사에 그대로 제출할 수 있어야 합니다. 원본 트래픽 수준에서 재현되지 않는 판정은 기술적 근거로 쓰기 어렵습니다. 보고 기한이 일본 개인정보보호법의 3일에서 5일이든 미국 NYDFS Part 500의 72시간이든 SEC 공시 규칙의 4영업일이든, 그 안에 근거를 확보해 설명하지 못하면 기한을 지켜도 제출 내용이 없습니다. 그래서 규제 환경에서는 PCAP(Packet Capture) 단위 포렌식 데이터를 확보할 수 있는지가 솔루션 선택의 핵심 기준이 됩니다.
추정의 자동화에서 판단의 자동화로
공격이 자동으로 생성되고 실행되는 수준으로 빨라져, 사람이 수행하는 탐지와 조사, 대응으로는 속도를 맞추기 어렵습니다. AI 에이전트 기반 SOC 자동화를 검토한다면 확인할 것은 3가지입니다.
- 단계별 적용: 수집과 탐지, 경보 분류부터 자동화하고 대응은 AI가 제안하되 실행 승인은 사람에게 남기는 반자율 구조에서 시작합니다.
- 감독 구조: 자율 범위 조절과 피드백 루프, 판단 검증 수단과 거버넌스를 도입 전에 갖춥니다.
- 입력 데이터: 원본 트랜잭션/세션 데이터와 행위기준선 데이터, 탐지설명성(XAI) 데이터가 AI의 입력으로 들어오는지 확인합니다.
구조가 같아도 결과는 입력에서 결정됩니다. 경보 요약을 입력하면 추정이 자동화되고, 3계층 맥락데이터를 입력하면 판단이 자동화됩니다. SOC 자동화를 한 단계 더 올리려면 AI의 실행 범위보다 그 AI가 참조할 수 있는 맥락데이터의 범위를 먼저 넓혀야 합니다. 탐지에서 분석, 판단, 대응으로 이어지는 Closed-Loop 자동화, 즉 자율보안운영(Autonomous Security Operations)도 이렇게 확보한 근거 위에서 작동합니다. 그래서 SOC 자동화를 검토할 때는 어떤 AI를 고를지보다 그 AI가 무엇을 입력받는지를 먼저 확인해야 합니다.
자주 묻는 질문
Q. AI 에이전트 기반 SOC 자동화와 기존 SOAR의 차이는 무엇인가요?
SOAR는 사전 정의된 플레이북 조건에서만 작동하고, AI 에이전트는 조건이 명시되지 않은 새 공격 패턴에도 맥락을 추론해 대응합니다. 실무에서 달라지는 지점은 그다음입니다. 자율 실행 범위를 단계별로 통제하고 판단을 검증할 감독 구조를 함께 갖춰야 합니다.
Q. AI SOC 에이전트를 도입하면 보안 분석가가 필요 없어지나요?
반복적인 경보 분류와 1차 조사는 자동화됩니다. 고위험 판단과 예외 케이스 검토, AI 결과 검증은 사람의 몫으로 남습니다. 분석가의 역할이 실행자에서 감독자로 이동하는 것이지 없어지는 것이 아닙니다.
Q. 금융, 공공 기관이 AI SOC 자동화를 도입할 때 특별히 확인해야 할 것은 무엇인가요?
AI 판정의 근거가 되는 원본, 즉 PCAP 단위 포렌식 데이터를 확보할 수 있는지가 핵심 기준입니다. 국내 기관이라면 개인정보의 안전성 확보조치 기준에 따른 접속기록 보관 요건이 먼저 적용되고, 해외 사업을 함께 하는 곳은 일본 개인정보보호법의 유출 보고 기한, 미국 NYDFS Part 500의 감사증적 요건, EU DORA까지 확인해야 합니다. 어느 쪽이든 내부망 가시성과 포렌식 대응 능력을 같은 기준으로 점검해야 합니다.
