SKT·업스테이지 보안 AI 상호 레드티밍 계획…제품 실증은 앞으로

SK텔레콤과 업스테이지가 10월 7일 서울 중구 SKT타워에서 정보보호 기업 6곳, 대학 3곳과 업무협약을 맺고, 10월 8일 총 11개 기관이 참여하는 독자 AI 사이버보안 협의체 출범을 알렸다. 보안기업은 SK쉴더스·시큐아이·안랩·라온시큐어·지니언스·파이오링크, 대학은 고려대·숭실대·부산대다. 협의체는 SK텔레콤의 A.X K 계열과 업스테이지의 솔라(Solar)를 보안 업무에 맞게 개발하려 한다.

현재 완료된 단계는 협약과 협의체 출범이다. 두 모델이 서로 공격·평가하는 상호 레드티밍, 대학의 독립 평가, 참여사 제품에서의 공동 실증은 앞으로 진행할 계획이다. AI 한편의 출시 단계 분석도 새 보안 기능의 제공 시점과 제품별 적용 범위는 발표되지 않았다고 짚었다. 이번 협약으로 이용자가 곧바로 쓸 수 있는 보안 AI 제품이 출시된 것은 아니다.

협의체는 두 모델을 어떻게 개발하나

협력 구조는 보안기업의 현장 자료를 모델 학습에 연결하고, 대학 평가와 제품 실증으로 이어지는 방식이다. 참여 기업들은 악성코드·취약점 분석과 보안관제에서 쌓은 데이터와 경험을 제공한다. SK텔레콤과 업스테이지는 각각의 모델을 개선하고, 대학은 개발 주체와 별도로 안전성과 성능을 살피는 역할을 맡는다.

학습 목표도 단계에 따라 다르다. 사전학습에서는 보안 데이터를 바탕으로 모델의 기초 지식을 넓히고, 사후학습에서는 실제 업무 수행 능력을 높이려 한다. 후자의 대상에는 소프트웨어 취약점 분석과 패치, 관제센터의 사고 대응, 보안 도구의 안전한 활용이 포함된다. 보안 용어를 아는 수준을 넘어 현장의 상황을 이해하고 판단하는 모델을 만들겠다는 구상이다.

두 회사는 각자의 차기 모델에 서로 다른 자료를 보강할 계획이다. SK텔레콤은 A.X K3에 보안 분야 데이터를 학습시키고, 대중 대상 AI 서비스를 안전하게 운영하기 위한 자료도 더하려 한다. 업스테이지는 대용량 코드와 장기간 로그를 분석하도록 설계하는 차기 솔라 모델에 취약점 탐지·분석용 데이터를 집중적으로 반영한다.

참여 보안기업의 전문 분야도 구체적이다. 시큐아이는 방화벽, 라온시큐어는 자율 모의침투, 지니언스는 보안 솔루션 운영 자료와 사후학습 데이터셋, 파이오링크는 자율 공격 검증과 탐지 규칙 생성 기술을 협력에 연결한다. 이 역할 분담은 모델을 개발하고 시험하기 위한 것이며, 각 기업 제품에 들어갈 AI 기능의 목록까지 정한 것은 아니다.

170억 건과 2.5PB가 가리키는 것

유경상 SKT AI CIC장이 “보안 AI의 수준은 결국 모델이 얼마나 넓고 깊게 추론하느냐에 달려있다”고 말한 SK텔레콤 발표에는 SK쉴더스의 시큐디움이 하루 170억 건 규모의 위협 이벤트를 분석하고, 안랩이 2.5PB 이상의 보안 데이터를 보유한다는 설명도 담겼다. 앞의 숫자는 보안관제 플랫폼의 하루 처리 규모이고, 뒤의 숫자는 다른 참여사가 가진 데이터의 용량이다.

두 수치는 A.X K나 솔라가 찾아낸 공격의 건수가 아니다. 실제로 두 모델의 학습에 투입된 데이터량이나 학습을 마친 모델의 탐지 성적도 나타내지 않는다. 기업이 이미 처리하거나 보유한 자료의 규모를 두 모델이 앞으로 활용할 수 있는 협력 기반으로 제시한 것이다.

이벤트 건수와 데이터 용량은 단위부터 다르다. 시큐디움에서 분석하는 이벤트가 모두 학습 자료가 되는지, 안랩이 보유한 자료 중 어떤 부분을 정제해 제공할지도 공개되지 않았다. 따라서 두 숫자를 더하거나 나란히 놓아 모델의 탐지 능력을 비교할 수는 없다. 데이터의 양과 실제 위협을 구별하는 정확도는 별도로 평가해야 하는 항목이다.

현장 자료가 필요한 이유는 보안 업무의 입력이 서로 다르기 때문이다. 악성코드 분석 기록은 의심 파일의 성격을 판단하는 데 쓰이고, 관제 기록은 이어지는 이벤트 가운데 대응할 상황을 가려내는 일과 연결된다. 취약점 분석 자료는 수정이 필요한 문제를 설명하는 데 도움이 될 수 있다. 이런 자료가 모델 학습에 어떻게 반영되고 어떤 결과로 이어지는지는 후속 평가에서 드러나야 한다.

두 모델의 상호 레드티밍과 대학 평가

협의체가 예고한 상호 레드티밍은 A.X K와 솔라가 서로를 공격·평가해 취약 사례를 찾는 방식이다. 발견한 사례를 다시 학습 자료로 활용해 양쪽 모델의 방어 역량을 높이겠다는 계획이다. 여기서 공격은 실제 시스템 침해를 뜻하지 않는다. 모델의 약한 응답이나 안전장치의 허점을 드러내기 위한 시험을 가리킨다.

SK텔레콤은 A.X K2 개발 때 구축한 자체 레드티밍 자동화 체계 SERT를 이 협력에 확장 적용할 계획이다. 업스테이지는 위험한 요청에 응하지 않도록 모델을 조정하는 정렬 체계를 보안 기능 강화에 활용한다. 각 회사가 가진 체계를 상호 시험에 연결하겠다는 설명이며, 두 모델 사이의 새 시험 결과가 공개됐다는 뜻은 아니다.

대학별 검증 과제도 나뉜다. 고려대는 실행 파일 분석 능력과 공격 방어력을, 숭실대는 보안 성능 평가 기준과 안전장치 우회 공격에 대한 대응력을 살핀다. 부산대는 차기 모델과 경량 모델의 성능·안전성을 검증한다. 모델을 만드는 회사 밖의 기관이 시험 설계와 평가에 참여하도록 한 구조다.

상호 레드티밍과 독립 평가는 맡는 일이 다르다. 전자는 모델의 취약 사례를 찾아 개선에 쓰는 과정이고, 후자는 개선된 모델이 정해진 조건에서 어떻게 작동하는지 살피는 과정이다. 평가 주체와 과제는 제시됐지만 새 보안 모델의 독립 평가 결과는 아직 공개되지 않았다. 공격을 얼마나 막았는지, 어떤 유형에서 약점이 남았는지도 발표되지 않았다.

보안 제품에는 어떤 기능을 실증하나

참여 기업들은 각자의 보안 제품·서비스에 A.X K와 솔라를 적용해 실제 운영 환경에서 공동 실증을 추진한다. 발표된 업무에는 아직 패치가 나오지 않은 제로데이 취약점의 분석과 실시간 보안관제가 포함된다. 이미 운영 중인 보안 업무에 모델을 연결해 성능과 안전성을 확인하려는 단계다.

취약점 분석에서는 모델이 문제를 찾아 설명한 뒤 수정 작업에 도움이 되는지 살필 수 있다. 관제에서는 이어지는 경보와 기록을 해석한 결과가 사고 대응에 맞는지가 중요하다. 협의체는 실증 과정에서 얻은 분석·대응 경험을 다시 학습에 반영할 계획이다. 어떤 모델이 어느 업무에서 얼마나 정확했는지는 아직 제시되지 않았다.

제품 실증 결과는 모델 자체의 안전성 평가와도 구별된다. 시험에서 취약한 응답을 줄인 모델이라도 실제 관제 환경에서는 정상 활동을 공격으로 잘못 판단하거나 공격을 놓칠 수 있다. 제품에 연결한 뒤에는 이런 오탐·미탐과 대응 결과를 해당 운영 조건에서 살펴야 한다. 발표된 참여사 데이터 규모만으로 그 결과를 미리 판단할 수 없다.

제품별 적용 범위, 일반 이용자의 접근 방법, 출시일과 요금은 공개되지 않았다. 다음에 확인할 구체적인 결과는 대학의 독립 평가와 참여사 제품에서 나온 실증 데이터다. 그때 어떤 기능이 어느 제품에 적용됐는지와 실제 환경에서의 탐지·대응 결과가 함께 제시돼야 이용 가능성과 성능을 판단할 수 있다.

함께 읽기: