생성형 인공지능(AI)이 사이버 공격의 비용과 시간을 동시에 낮추면서 기업 보안 체계에도 변화가 요구되고 있다. 공격자가 AI를 이용해 공격 준비와 실행을 빠르게 자동화하는 상황에서, 침해 징후를 발견한 뒤 사람이 조사하고 대응하는 기존 방식만으로는 속도 경쟁에서 밀릴 수 있다는 진단이다.
글로벌 사이버 보안 기업 그룹아이비(Group-IB)는 지난 11일부터 12일까지 서울 코엑스에서 열린 ‘ISEC 2026(제20회 국제 시큐리티 콘퍼런스)’에서 이 같은 문제를 제기했다. 레이몬 반 더 벨데(Raymon van der Velde) 그룹아이비 최고제품책임자(CPO)는 ‘공격자도 AI를 사용하는 시대, 탐지만으로는 충분하지 않다’를 주제로 한 기조연설에서 AI 시대에는 탐지 이후의 대응을 넘어 위협 인텔리전스와 분석·예측·자동화를 연결하는 보안 운영 체계가 필요하다고 강조했다.
그룹아이비가 주목한 것은 공격 기술 자체만이 아니다. 피싱과 딥페이크, 합성 신원(Synthetic Identity), 랜섬웨어, 계정 탈취처럼 기존에도 존재했던 공격 수법이 AI와 결합하면서 공격 준비부터 실행까지 더 빠르고 대규모로 진행될 수 있다는 점이다. 이에 따라 방어 측 역시 사람이 순차적으로 경보를 확인하고 조사하는 구조에서 벗어나야 한다는 것이 그룹아이비 측의 설명이다.
공격 속도 빨라졌는데 보안 데이터는 ‘사일로’…초기 신호 연결이 관건
반 더 벨데 CPO는 공격자와 방어자의 속도 차이를 AI 시대 보안의 핵심 문제로 짚었다. 그는 “공격자는 이미 AI의 속도로 움직이고 있지만, 방어자는 여전히 사람의 속도로 대응하고 있다”며 탐지가 공격 개시 이후 이뤄지는 만큼 대응 속도 자체를 바꿔야 한다고 강조했다.
문제는 속도만이 아니다. 기업 내부에서는 외부 위협 인텔리전스와 보안 시스템에서 생성되는 데이터, 사기 관련 정보 등이 서로 다른 시스템에 나뉘어 관리되는 경우가 있다. 그룹아이비는 이 같은 사일로(Silo) 구조에서는 공격자가 본격적으로 움직이기 전에 나타나는 여러 초기 신호를 하나의 맥락으로 연결하기 어렵다고 봤다.
이에 그룹아이비가 제시한 방향은 각각의 보안 데이터를 하나의 인텔리전스 체계에서 연계하는 것이다. 단일 경보만 바라보는 대신 신호(Signals), 텔레메트리(Telemetry), 위협 인텔리전스와 컨텍스트(Context)를 함께 분석해 공격자의 움직임을 더 빠르게 파악하고 향후 상황까지 예측하는 방식이다.
위협·XDR·사기 데이터 한곳으로…‘프레빈 AI’가 연결고리 맡는다
이 같은 보안 운영 모델을 구현하기 위해 그룹아이비가 ISEC 2026에서 소개한 것이 AI 기반 통합 인텔리전스 플랫폼 ‘프레빈 AI(Prevyn AI)’다.
프레빈 AI는 위협 인텔리전스(Threat Intelligence)를 비롯해 디지털 리스크 보호(Digital Risk Protection), 공격 표면 관리(Attack Surface Management), 클라우드 보안 태세 관리(CSPM), 관리형 확장 탐지·대응(Managed XDR), 엔드포인트 탐지·대응(EDR), 네트워크 트래픽 분석(NTA), 이메일 보호와 사기 방지 등 그룹아이비의 여러 보안 제품·서비스에서 만들어지는 정보를 통합해 분석한다.
핵심 기반은 그룹아이비가 축적한 ‘인텔리전스 데이터 레이크(Intelligence Data Lake)’다. 일반적인 생성형 AI처럼 공개 인터넷상의 정보만을 이용하는 것이 아니라 실제 사고 대응 경험과 디지털 범죄 조사, 침해사고대응팀(CERT) 활동, 위협 연구, 사기 분석, 탐지 시스템 등에서 확보한 데이터를 함께 활용한다는 설명이다.
이를 바탕으로 프레빈 AI는 분산된 데이터를 연결하고 추론(Reasoning), 분석(Analysis), 오케스트레이션(Orchestration), 예측(Prediction)을 수행하도록 설계됐다. 그룹아이비가 공개한 프레빈 AI 구조도 역시 외부 위협 인텔리전스와 Managed XDR, 사기 방지, 서비스 영역에서 생성된 정보를 통합 인텔리전스 엔진과 데이터 레이크로 연결하는 형태를 보여준다.
AI 에이전트가 조사하고 사람이 결정…자동화에 ‘통제’ 남겼다
프레빈 AI의 운용 방식은 AI가 어느 단계까지 개입하느냐에 따라 에이전틱 모드(Agentic Mode)와 보조 모드(Assistive Mode)로 구분된다.
에이전틱 모드에서는 위협 인텔리전스 환경에 특화된 11개의 전문 AI 에이전트가 악성코드와 취약점, 위협 행위자, 다크웹, 오픈소스 정보(OSINT), 공격 인프라 등 서로 다른 영역을 동시에 조사한다. 각 에이전트의 분석 결과는 다시 통합돼 구조화된 위협 분석 보고서로 만들어진다. 사람이 각 영역을 순차적으로 조사하는 작업을 AI 에이전트들이 병렬적으로 수행하도록 한 구조다.
보조 모드는 AI의 역할을 분석과 의사결정 지원에 맞춘다. Managed XDR 환경에서 보안 경보와 위협 인텔리전스를 연계해 사고를 분석하고 대응 권고안을 제시하지만, 실제 대응 조치는 보안 담당자의 승인을 받아야 한다. AI가 독자적으로 최종 조치를 결정하는 대신 사람이 마지막 통제권을 갖는 ‘휴먼 인 더 루프(Human-in-the-Loop)’ 방식이다.
결국 그룹아이비가 제시한 AI 보안 전략의 핵심은 사람을 보안 운영에서 빼는 것이 아니라 AI가 대규모 데이터를 기계의 속도로 분석하고, 사람은 그 결과를 토대로 최종 판단을 내리는 역할 분담에 있다.
반 더 벨데 CPO는 앞으로의 보안이 공격을 발견하는 단계에 머무르기보다 AI와 위협 인텔리전스를 활용해 공격을 더 빠르게 이해·분석하고 대응을 지원하는 방향으로 발전해야 한다고 강조했다. 그룹아이비는 프레빈 AI와 자사가 축적한 글로벌 위협 인텔리전스를 결합해 보안 분석가의 의사결정을 지원한다는 방침이다.
