[사이버보안]사람 대신 보안팀에 투입된 AI 직원, 무슨 일을 하며 얼마나 잘 할까?

사이버 보안 산업의 구조가 빠르게 바뀌고 있다. 사람이 로그를 보고 판단하던 기존 방식에서 벗어나 이제는 AI가 스스로 공격을 탐지하고 분석하며 대응까지 수행하는 단계로 넘어가고 있다. 최근에는 실제 업무를 수행하는 ‘AI 에이전트’가 보안 조직에 투입되면서 변화 속도가 더욱 가속되었다.

보안 기업들은 이미 AI를 하나의 ‘직원’처럼 활용하고 있다. 대표적으로 보안 플랫폼 헌트리스(Huntress)는 보안 운영센터(SOC)에 약 20개의 AI 에이전트를 배치해 24만 개 고객사의 보안 로그를 실시간으로 처리하고 있다. 

이 시스템은 예를 들어 한 직원 계정에서 평소와 다른 국가에서 로그인 시도가 발생하거나 이메일 설정이 갑자기 변경되는 경우 이를 즉시 이상 신호로 인식한다. 이후 하나의 ‘오케스트레이션 AI’가 10개 이상의 하위 AI를 동시에 호출해 해당 계정의 접속 기록, 이메일 규칙 변경 내역, 내부 권한 이동 등을 순식간에 분석한다.

이 과정에서 AI는 공격자가 흔히 사용하는 우회 방식까지 함께 탐지한다. 예를 들어 정상 로그인처럼 보이게 하기 위해 VPN을 사용하거나 기존 권한을 이용해 내부 시스템에 접근하는 경우에도 패턴 차이를 기반으로 공격 가능성을 판단한다. 

분석 결과가 명확하지 않을 경우에만 인간 분석가에게 넘기고 대부분의 경우는 AI가 자체적으로 결론을 내린다.

기존에는 한 건의 보안 이벤트를 처리하는 데 20~30분이 걸렸지만 현재는 몇 분 이내로 단축됐다. 실제로 일부 업무에서는 분석가의 작업량이 90% 가까이 줄어들었고 이 시스템은 한 달에 약 1만 건 이상의 사고 보고서를 자동으로 작성한다. 

또한 AI는 “어떤 공격이 어떤 경로로 발생했고 어떤 대응이 필요하다”는 내용까지 문장 형태로 정리해 제공한다. 현장에서는 이를 두고 분석가가 장비를 착용한 것처럼 생산성이 확장됐다는 평가가 나온다.

이러한 변화의 핵심은 ‘에이전트 기반 보안’이다. 기존 생성형 AI는 질문을 받아 답하는 구조였지만 에이전트는 특정 역할을 부여받고 다단계 작업을 스스로 수행한다. 예를 들어 고객 지원 영역에서는 DNSFilter가 도입한 AI 에이전트가 실제로 모든 1차 문의를 처리하고 있다. 

사용자가 “접속이 차단됐다”는 문의를 보내면 AI가 해당 요청을 분석해 단순 설정 문제인지 실제 보안 차단인지 판단하고 내부 매뉴얼을 기반으로 해결 방법을 안내한다. 사람이 일주일에 30~40건 처리하던 업무를 AI는 60건 이상 처리하며 평균 처리 시간도 4분 수준으로 줄어들었다.

조직 내부 데이터를 실시간으로 분석하고 이상 징후를 판단하면서 필요한 대응 절차를 자동으로 실행하는 흐름이 하나의 시스템 안에서 돌아가기 시작한 것이다.

여기에 더해 최근 등장한 ‘에이전트형 SIEM’은 기존 보안 체계를 바꾸고 있다. 대표적으로 데이터브릭스가 공개한 ‘레이크워치(Lakewatch)’는 기존처럼 로그 일부만 저장하는 것이 아니라 모든 데이터를 유지한 상태에서 AI가 실시간으로 위협을 탐지한다. 

예를 들어 직원의 음성 인증이 갑자기 평소와 다른 패턴을 보이거나 영상 회의에서 얼굴 움직임이 비정상적인 경우 이를 딥페이크 공격 가능성으로 판단해 경고를 발생시킨다. 텍스트 로그 중심이던 기존 보안 체계가 음성·영상까지 포함하는 형태로 확장된 것이다.

이 변화는 공격 환경의 변화와 직접적으로 연결된다. 최근에는 AI를 이용해 자동으로 피싱 메일을 생성하거나 취약점을 탐색하는 공격이 늘어나면서 공격 준비 기간이 기존 수주 단위에서 며칠 수준으로 줄어들었다.

실제로 보안 업계에서는 공격 개발 기간이 평균 20일 이상에서 2일 내외로 단축됐다는 분석이 나오고 있다. 공격이 빨라진 만큼 방어 역시 같은 속도로 자동화되지 않으면 대응 자체가 불가능해진 상황이다.

또 다른 변화는 ‘해석’ 단계의 자동화다. 과거 보안 시스템은 이상 징후를 감지하면 단순 경고만 제공했지만 최근 AI 기반 시스템은 그 행동이 왜 위험한지까지 설명한다. 예를 들어 한 계정이 짧은 시간 내 여러 국가에서 로그인된 경우 “계정 탈취 후 자동화된 공격 시나리오일 가능성이 높다”는 식으로 맥락까지 분석해 제시한다. 

이로 인해 보안팀은 로그를 직접 해석하는 대신 AI가 작성한 보고서를 기반으로 즉각적인 대응 결정을 내릴 수 있다.

문제는 공격 측 역시 같은 기술을 활용하고 있다는 점이다. 최근 일부 AI 모델은 보안 시스템의 탐지 로직을 우회하거나 취약점을 자동으로 찾아내는 능력이 크게 향상된 것으로 평가된다. 

실제로 내부 테스트 단계에서 위험성이 높다고 판단돼 공개되지 않은 모델 사례까지 등장하면서 AI가 보안을 강화하는 동시에 위협을 확대하는 양면성이 동시에 드러나고 있다. 이러한 우려가 시장에 반영되며 보안 기업 주가가 단기간 급락하는 현상도 나타났다.

이처럼 현재 사이버 보안 환경은 공격과 방어 양쪽에서 AI가 동시에 작동하는 경쟁 구도로 바뀌고 있다. 공격 속도는 이미 인간의 대응 능력을 넘어선 상태이며 이에 따라 방어 역시 자동화 수준을 넘어 자율적으로 판단하고 실행하는 단계로 진입하고 있다. 

보안 인력 부족을 보완하기 위해 도입된 기술이 이제는 사이버 전장의 운영 방식 자체를 바꾸고 있는 상황이다.