Palo Alto Networks가 Console을 샀다, 보안 대응이 자연어 작업으로 바뀐다

Palo Alto Networks는 2026년 9월 1일 AI 네이티브 운영 플랫폼 Console 인수를 완료했다. Palo Alto Networks의 공식 발표 는 Console을 Cortex에 결합해 보안 신호 조사, 작업 우선순위 지정, 대응 실행을 돕겠다는 방향을 제시했다. 다만 이 발표는 통합 기능의 정식 출시나 현재 고객에 대한 즉시 제공을 뜻하지 않는다.

Reuters의 9월 1일 보도 도 인수 사실과 자연어로 에이전트 워크플로를 구성해 문제를 탐지하고 수정하게 한다는 회사 설명을 전했다. 따라서 제목의 ‘보안 대응이 자연어 작업으로 바뀐다’는 말은 이미 모든 Cortex 기능이 전환됐다는 뜻이 아니라, 이번 인수로 Palo Alto Networks가 추진하는 제품 방향을 가리킨다.

Console이 더하는 것은 자연어에서 실행까지의 연결이다

Console의 핵심은 자연어 질문에 답하는 대화형 검색이 아니라, 사용자가 표현한 운영 목표를 조사와 행동이 포함된 워크플로로 바꾸는 데 있다. 담당자가 목표를 입력하면 에이전트가 요청을 해석하고 관련 맥락을 수집한 뒤 필요한 절차를 실행하고 결과를 남기는 구조다.

보안 운영에 대입하면 작업 단위가 개별 화면이나 티켓에서 ‘해결할 목표’로 이동한다. 지금은 경보 확인, 신원 정보 조회, 업무 애플리케이션 활동 점검, 대응 실행과 기록이 서로 다른 단계와 도구에 흩어질 수 있다. Console이 제시하는 모델은 이 단계들을 하나의 요청 아래 묶어 에이전트가 이어서 처리하도록 하는 것이다.

예를 들어 의심스러운 계정 활동을 조사하고 위험한 세션에 필요한 조치를 제안하라는 문장을 입력하는 상황을 생각할 수 있다. 에이전트는 허용된 시스템에서 계정과 활동 맥락을 모아 판단 자료를 만들고, 정해진 권한 안에서 다음 작업을 구성할 수 있다. 이는 공개된 기능 방향을 설명하는 조건부 예시일 뿐, 해당 시나리오가 현재 Cortex에서 상용 기능으로 제공된다는 의미는 아니다.

신원·SaaS·보안 도구의 맥락을 한 작업에 모은다

Console의 가치가 자연어 입력에만 있는 것은 아니다. Network World가 설명한 작동 구조 에 따르면 Console은 고객의 신원 시스템, SaaS 애플리케이션, 보안 도구와 기타 핵심 시스템에 연결되며, 요청 이해에서 맥락 수집, 워크플로 실행, 결과 기록까지 이어간다. 같은 보도는 거래 금액이 공개되지 않았다고 전했다.

이 연결 범위는 조사와 대응을 한 흐름으로 묶기 위한 조건이다. 보안 제품이 경보를 포착해도 계정의 권한, 최근 업무 활동, 관련 자산의 상태를 다른 시스템에서 찾아야 한다면 분석가는 여러 화면을 오가며 관계를 다시 구성해야 한다. 에이전트가 허가된 범위의 정보를 함께 조회하면 반복적인 자료 수집을 줄이고 조치 전에 필요한 맥락을 모을 수 있다.

그러나 시스템 연결이 곧바로 신뢰할 수 있는 자동 대응을 보장하지는 않는다. 에이전트가 각 서비스에서 읽을 수 있는 데이터와 변경할 수 있는 자원, 요청자가 위임할 수 있는 권한을 구분해야 한다. Palo Alto Networks는 이번 발표에서 지원할 구체적인 연동 제품, 데이터 경계, 인증 방식이나 권한 모델을 공개하지 않았다.

기존 SOAR와 겹치지만 출발점은 다르다

Cortex에는 이미 XSOAR를 포함한 보안 오케스트레이션·자동화 체계가 있으므로 Console 인수를 자동화의 첫 도입으로 볼 수는 없다. 기존 SOAR는 여러 보안 제품을 연결하고, 미리 정의한 조건과 분기 및 플레이북에 따라 경보 보강과 대응 절차를 실행한다. Console이 강조하는 변화는 자동화의 존재보다 사용자가 자동화 작업을 만드는 출발점에 있다.

전통적인 플레이북은 실행 조건, API 호출, 예외 처리와 승인 단계를 사전에 비교적 명시적으로 설계한다. Console의 에이전트 모델은 사람이 자연어로 목표를 표현하면 소프트웨어가 관련 맥락을 찾고 필요한 절차를 구성하는 데 더 큰 비중을 둔다. 계획대로 통합된다면 분석가는 모든 변형을 플레이북으로 먼저 작성하기보다 목표와 제약을 제시하고 에이전트가 만든 조사·실행 과정을 감독하는 역할을 맡을 수 있다.

두 방식은 완전한 대체 관계라기보다 결합되는 편이 현실적이다. 반복적이고 조건이 명확한 작업에는 검증된 플레이북의 예측 가능성과 감사 용이성이 유리하다. 반면 사건마다 조회 대상과 판단 경로가 달라지는 조사에는 자연어 기반 에이전트가 유연성을 더할 수 있다. 최종 제품에서 Console의 워크플로와 기존 Cortex 자동화가 어떻게 역할을 나눌지는 아직 발표되지 않았다.

자동 조치와 사람 승인의 경계는 공개되지 않았다

자연어로 대응을 요청할 수 있다는 사실과 모든 조치를 무인 실행해도 된다는 판단은 별개다. 증거 조회, 맥락 수집, 경보 분류처럼 시스템 상태를 바꾸지 않는 작업과 계정 잠금, 접근권한 회수, 단말 격리처럼 사용자나 서비스에 직접 영향을 주는 작업은 위험 수준이 다르다.

실제 제품에서는 에이전트가 조사와 조치 제안까지만 수행한 뒤 사람이 승인하는 방식, 위험도가 낮은 작업만 자동 실행하는 방식, 사전 허가된 범위에서 복구까지 마치는 방식을 구분할 수 있다. 이는 Console 통합 제품의 확정 사양이 아니라 공개된 기능 방향에서 필요한 통제 지점을 분석한 것이다. 기본 자동 실행 범위나 고객이 승인 문턱을 설정하는 방법은 공개되지 않았다.

기록 역시 단순한 작업 요약보다 넓은 의미를 가져야 한다. 자연어 요청이 실제 변경으로 이어진다면 최초 요청, 조회한 정보, 선택한 행동, 승인 여부와 실행 결과가 감사 가능한 형태로 남아야 한다. Console이 수행한 작업을 문서화한다는 흐름은 확인됐지만, Cortex가 기록을 어떤 형식과 기간으로 보존하고 기존 사건 관리 기능과 어떻게 연결할지는 후속 제품 정보가 필요하다.

인수는 끝났지만 Cortex 제품화는 이제부터다

현재 확정된 것은 Palo Alto Networks가 9월 1일 Console 인수를 마쳤고, Console의 AI 네이티브 운영 기술과 팀을 Cortex의 에이전트 역량 강화에 투입한다는 점이다. 자연어로 운영 목표를 표현하고 기업 시스템의 맥락을 이용해 조사와 행동을 연결한다는 방향도 확인됐다.

반면 거래 금액, Console 기술이 들어갈 구체적인 Cortex 제품, 라이선스 체계, 미리보기와 정식 출시 일정은 알려지지 않았다. 지원 연동 대상, 데이터 접근 통제, 사람의 승인 단계, 자동 조치 한도와 감사 기록 사양도 현재 공개된 자료만으로 판단할 수 없다.

이번 인수의 의미는 ‘에이전틱 보안’이라는 이름보다 실제 통합 방식에서 판가름 난다. 자연어로 입력된 목표가 검증 가능한 조사 결과와 통제된 실행으로 이어지는지, 기존 플레이북을 보완하는지, 영향이 큰 변경 앞에서 사람에게 결정권을 돌려주는지가 핵심이다. 다음 확인 지점은 Cortex에 적용될 기능의 범위와 제공 일정, 그리고 에이전트의 운영 권한을 관리할 구체적인 설계다.