38분에서 89초로
소포스는 오픈AI 데이브레이크를 통해 자사의 위협 인텔리전스와 대응 플레이북, 보안 전문성을 오픈AI 모델과 결합했다고 밝혔다. 존 피터슨(John Peterson) 최고기술책임자(CTO)에 따르면 기존 조사·대응 과정은 주로 사람의 전문성에 의존했고 평균 약 38분이 걸렸다. 피터슨 CTO는 이 수치가 전문 보안관제센터(SOC)의 96%보다 나은 수준이었다고 설명했다.
데이브레이크 모델로 만든 에이전트를 적용한 뒤 해당 사건의 평균 대응 시간은 약 89초로 줄었다. 소포스가 다루는 사건의 약 절반은 이 에이전트로 자동 처리되고 있으며, 공식 집계로는 MDR 사건의 52%를 AI가 끝까지 해결한다.
계획·실행·검토 루프로 작동
핵심은 AI 기반 사이버 방어 시스템 '소포스 퓨전(Sophos Fusion)'이다. 500개 이상의 외부 연동 제품과 소포스 자체 제품의 센서에서 하루 수조 건의 이벤트가 발생하며, 이를 하루 1,000~2,000건 안팎의 사건으로 추려 9개 보안관제센터가 조사한다.
조사 에이전트는 사건별로 고객 정보, 탐지 내용, 침해지표(IoC), 관련 위협 인텔리전스를 모은다. 이어 계획 모델이 조사 계획을 세우고 단계를 실행한 뒤, 분석가가 검토할 요약과 권고 대응안을 내놓는 구조다. 일부 대응은 다른 에이전트가 직접 수행한다.
고객 통제권도 유지한다. 소포스는 MDR에 세 가지 운영 모드를 두고 있다. '통지'는 소포스가 조사·권고만 하고 고객이 조치하며, '협업'은 조치 전 양측이 함께 판단한다. '승인'은 소포스가 고객을 대신해 직접 대응한다. 사람이든 에이전트든 같은 경계가 적용되며, 파괴적일 수 있는 조치에는 적절한 수준의 사람 감독이 필요하다고 회사는 밝혔다.
공격자도 AI 활용, 기본기 강조
오픈AI는 첨단 AI가 방어와 공격 양쪽에 영향을 주고 있다고 짚었다. 이런 역량이 오픈 웨이트 모델로도 퍼지면서 공격자가 취약점을 찾고 악용하는 속도도 빨라지고 있다는 설명이다.
피터슨 CTO는 다른 보안 책임자들에게 기본에 충실할 것을 권했다. 패치만으로는 벤더가 아는 취약점만 막을 수 있다며, 엔드포인트 보호와 다중인증(MFA), 네트워크 분리, 강력한 보안 운영을 아우르는 계층형 보안이 필요하다고 말했다. 소포스는 앞으로 에이전트의 대응 능력과 적용 범위를 계속 넓힐 계획이다.
보안 인력 부족을 겪는 국내 기업과 보안관제 업계에도 AI 에이전트 기반 자동화와 사람 감독 체계를 함께 설계한 이번 사례가 참고가 될 전망이다.
