Sophos, 오픈AI Daybreak로 보안 조사 시간 96% 줄였다

Sophos가 오픈AI의 Daybreak로 보안 위협 조사 시간을 96% 줄였다고 10월 9일(현지시간) 밝혔다. 오픈AI가 이날 공개한 사례다. Sophos는 보안 위협을 대신 찾아내고 대응해 주는 MDR 서비스에서 사건의 52%를 AI가 처음부터 끝까지 해결했다고 설명했다. 보안 담당자가 하던 조사와 대응 업무에 스스로 일을 처리하는 AI(에이전트)를 투입한 결과다.

조사 시간, 얼마나 빨라졌나

Sophos가 내세운 변화는 사건 하나를 처리하는 시간이다. 에이전트를 쓴 사건의 평균 대응 시간은 약 38분에서 89초로 줄었다. 위협을 조사할 자료를 모으고 대응 방안을 정리하는 일에 AI를 넣었다. 분석가가 검토할 권고문을 쓰는 작업까지 맡겼다는 설명이다.

다루는 데이터의 양은 상당하다. Sophos는 62만 5천 곳이 넘는 조직을 보호하며, 다른 회사 제품과의 연동 500건이 넘는 곳에서 데이터를 받아 쓴다고 밝혔다. 매일 쌓이는 수조 건의 보안 기록 가운데 실제로 조사할 사건은 1,000~2,000건으로 추린다. AI는 이렇게 추려진 사건의 조사와 대응에 참여한다.

AI는 어디까지 맡나

작업의 중심에는 MDR을 포함한 보안 시스템 Sophos Fusion이 있다. Daybreak로 만든 에이전트는 사건별 고객 정보와 탐지 결과를 모은다. 침해 흔적을 보여 주는 지표와 위협 정보도 함께 수집한다. 보안 분석가가 사건을 판단할 때 필요한 자료를 챙겨 두는 역할이다.

자료를 모은 뒤에는 조사 순서를 정하는 단계가 이어진다. 계획을 담당하는 모델이 조사 절차를 만들고, 분석가가 검토할 대응 권고를 작성한다. 다른 에이전트는 대응 작업의 일부를 직접 실행할 수 있다. 자료 정리에서 대응 권고 작성, 일부 실행까지가 Sophos가 소개한 활용 범위다.

대응 권한은 누가 정하나

고객이 정한다. 고객은 보안 사건에 대응하는 방식을 세 가지 중에서 고를 수 있다. 고객이 직접 조치하거나, Sophos와 협의해 대응하거나, Sophos에 대응 권한을 넘기는 방식이다. AI가 실행할 수 있는 조치도 고객이 정한 권한 범위 안에 머문다.

사람과 에이전트에는 같은 권한 범위가 적용된다. Sophos는 피해를 남길 수 있는 조치에는 사람의 감독이 필요하다고 설명했다. 에이전트에 맡기기 어렵다고 판단한 사건은 사람에게 넘긴다. AI가 사건을 끝까지 처리할 때도 고객이 정한 권한 범위를 따른다.

결국 이 방식은 보안 담당자가 볼 자료와 대응 방안을 AI가 미리 준비하고, 허용된 범위에서 실행에도 손을 대는 구조다. 앞으로 지켜볼 점은 어떤 유형의 사건에서 같은 효과가 나는지, 위험한 대응을 사람이 검토하는 절차가 실제로 어떻게 돌아가는지다.