오픈AI, 소포스 데이브레이크 도입 사례 공개

오픈AI가 10월 9일 영국 보안 기업 소포스의 데이브레이크 도입 사례를 공개했다. 소포스는 오픈AI 모델로 만든 에이전트를 위협 탐지·대응 대행(MDR) 서비스에 넣었고, 에이전트가 맡은 사건의 평균 대응 시간이 약 38분에서 89초로 줄었다. 오픈AI는 조사 시간이 96% 줄었고 MDR 사건의 52%를 AI가 처음부터 끝까지 처리한다고 밝혔다.

소포스는 40년 넘게 보안 사업을 해 온 회사로, 업종과 지역을 가리지 않고 62만5000곳이 넘는 조직을 지킨다. 존 피터슨 소포스 최고기술책임자(CTO)는 "우리는 엄청나게 다양한 공격을 본다"며 "보안 사업 40년 동안 그 공격에 맞서는 전문성을 쌓았다"고 말했다. 데이브레이크는 오픈AI가 방어자에게 사이버 역량을 공급하는 프로그램이다. 소포스는 6월 22일 데이브레이크 사이버 파트너 프로그램 합류를 발표했다.

조사가 이뤄지는 곳은 소포스의 AI 기반 방어 체계 「소포스 퓨전」이다. 오픈AI 사례에 따르면 이 체계는 자사 제품에 더해 외부 연동 500개 이상에서 센서 데이터를 받는다. 센서가 하루 수조 건의 이벤트를 쏟아 내면, 소포스는 이를 하루 1000~2000건의 사건으로 추려 전 세계 보안관제센터(SOC) 9곳에 넘긴다.

에이전트는 이 사건 처리 방식을 바꿨다. 조사 에이전트가 사건마다 고객 맥락과 탐지 내역, 침해 지표(IoC), 관련 위협 정보를 모은다. 이어 오픈AI의 계획 모델이 조사 계획을 세우고 단계를 실행한 뒤 검토하는 루프를 돌리고, 분석가가 검토할 요약과 권장 대응을 내놓는다. 대응의 일부는 다른 에이전트가 직접 수행한다. 피터슨 CTO는 "데이브레이크로 만든 에이전트 덕분에 그 에이전트를 쓴 사건의 평균 대응 시간이 약 89초로 떨어졌다"며 "우리가 처리하는 사건의 절반가량이 이제 에이전트로 자동화된다"고 밝혔다.

이전 기록도 낮은 수준이 아니었다. 피터슨 CTO에 따르면 사람 중심으로 돌던 기존 평균 38분은 전문 보안관제센터의 96%보다 빨랐다. 사례 영상에서 그는 1년 반에서 2년 전 MDR 평균 대응 시간이 약 38분이었고, 지난 1년 에이전트를 배치하면서 89초로 줄었다고 설명했다.

사람의 판단은 세 가지 운영 방식으로 남겼다. 「알림」은 소포스가 조사해 대응을 권하고 고객이 실행하는 방식이다. 「협업」은 소포스와 고객이 함께 판단한 뒤 움직이고, 「위임」은 소포스가 고객을 대신해 바로 대응한다. 일을 사람이 하든 에이전트가 하든 같은 경계가 적용되며, 파괴적일 수 있는 조치는 여전히 그에 맞는 사람의 감독을 거친다. 피터슨 CTO는 "에이전트에게 맡기기 불편한 일은 무엇이든 사람의 판단으로 넘긴다"고 말했다.

메탈이 확인한 소포스의 5월 28일 보도자료에 따르면 89초와 52%는 원래 소포스가 MDR 1년 운영 데이터로 먼저 공개한 수치다. 89초는 AI가 처리 권한을 받은 사건에서 사건 생성부터 완전 자동 대응까지 걸린 시간이고, 52%는 분석가가 계속 조정하는 경계 안에서 사람 개입 없이 닫힌 사건의 비율이다. 같은 자료에서 소포스는 MDR 고객이 전년보다 39% 늘어 4만 곳이 됐다고 밝혔다. 롭 해리슨 소포스 제품관리 수석부사장은 "52%가 주목받지만 48%도 똑같이 중요하다"며 AI가 대기열의 물량을 덜어 내면 분석가가 새로운 공격 패턴과 고위험 결정에 집중할 수 있다고 설명했다.

영상에는 사례 페이지에 없는 대목도 있다. 피터슨 CTO는 데이브레이크가 자사 제품의 취약점을 찾고, 가드레일이 덜 엄격한 에이전트를 설계할 기회라고 말했다. 그는 "우리는 보안 운영자라 하는 일의 대부분이 가드레일에 걸리는 영역에 있다"며 데이브레이크 덕분에 그 제약을 넘어 훨씬 효과적인 에이전트를 만들 수 있다고 했다. 6월 발표 당시 소포스는 고객이 모델에 직접 접근하는 대신 분석가와 통제 장치를 거치는 단계적 방식으로 도입한다고 밝혔다.

메탈은 오픈AI가 사이버보안 전용 모델 GPT-5.6-Cyber를 공개하며 데이브레이크를 넓힌 일과 우크라이나 정부에 데이브레이크를 제공한 소식을 보도한 바 있다. 피터슨 CTO는 앞으로 에이전트의 대응 능력을 더 정교하게 만들고 다루는 사용 사례를 넓히겠다고 밝혔다. 다른 보안 책임자에게는 패치와 엔드포인트 보호, 다중 인증(MFA), 네트워크 분리를 겹겹이 쌓는 기본으로 돌아가라고 권했다. 그는 "취약점이 전례 없는 속도로 발견되고 전례 없는 규모로 악용되고 있다"고 말했다.

법률가의 눈으로 보면 이 사례의 핵심은 속도보다 권한의 설계다. 같은 89초라도 고객이 「위임」을 고른 사건에서만 에이전트가 대신 움직일 수 있고, 책임의 선은 계약상 운영 방식이 긋는다. 모델 제공사가 보안 업체에 더 느슨한 가드레일을 열어 줄수록, 그 에이전트가 고객 시스템에서 무엇을 해도 되는지는 이 세 단계 같은 위임 구조가 정한다.