Artemis, 공격 재구성을 위해 구축된 사이버 방어 모델 Orion-1을 공개

의심스러운 로그인은 침입의 시작일 수도 있고—익숙하지 않은 장소에서 작업하는 직원일 수도 있습니다. 어려운 부분은 이후에 무슨 일이 일어났는지, 어떤 시스템이 관여했는지, 그리고 증거가 누군가의 접근을 차단할 정당성을 제공하는지를 파악하는 것입니다. Artemis Security는 방어 작업에 특화된 모델이 이러한 결정을 보다 효과적으로 내릴 수 있다고 기대하고 있습니다.

이 회사는 Orion-1을 발표했습니다, 기업 시스템 전반에 걸쳐 위협을 조사하고 명시된 신뢰도로 판정을 내리는 사이버 방어용 독점 기반 모델입니다. 이는 고객이 정의한 자율성 한도 내에서 대응을 권고하거나 실행할 수 있습니다. Orion-1은 Artemis 플랫폼을 통해 선정된 고객을 위한 비공개 미리 보기 형태로 제공되며, 일반 공개는 아닙니다.

이번 발표는 보안 팀에게 실질적인 질문을 제기합니다: 특화된 AI가 산재된 증거를 방어 가능한 사고 서술로 연결하면서, 행동 권한을 통제할 수 있을까요?

신호에서 방어 가능한 공격 서술까지

Artemis는 Orion-1이 최초 신호부터 위협을 처리하고, 영향을 받은 시스템 전반에 걸쳐 조사를 진행하며, 결론에 도달하고, 대응을 제안하거나 수행한다고 설명합니다. 의심스러운 이벤트를 인식하는 것과 사고를 이해하는 것은 서로 다른 작업이기 때문에 이 구분이 중요합니다.

특이한 아이덴티티 제공자 로그인, 클라우드 권한 변경, 새로운 메일함 규칙이 포함된 가상의 시나리오를 생각해 보십시오. 각 사건은 무해한 설명이 있을 수 있습니다. 그러나 이들이 함께 나타나면 서비스 간에 침해된 계정이 이동하고 있음을 나타낼 수 있습니다. 유용한 방어자는 동일한 행위자가 이러한 사건들을 연결하는지 여부를 판단하고, 사건 순서를 파악하며, 대안 설명을 검증해야 합니다. 간결한 요약만으로는 이러한 질문을 해결할 수 없습니다.

Artemis의 Orion-1에 대한 기술 소개는 조사, 위협 사냥, 탐지 엔지니어링, 복구와 같은 수백만 건의 작업을 기반으로 방어 작업을 위한 사후 학습을 설명합니다. 회사는 해당 교육에 고객 데이터가 사용되지 않았다고 밝혔습니다. 또한 초기 접근이 실패할 경우 조사 방향을 전환할 수 있는 모델에 대해서도 설명합니다.

이러한 공개는 의도된 전문성을 설명하는 데 도움이 되지만, 기본 모델 아키텍처, 파라미터 수, 또는 기반 모델 계통을 밝히지는 못합니다. 따라서 기반 모델이라는 라벨은 방어 사후 학습에 대한 보다 구체적인 설명과 함께 해석해야 하며, Artemis가 처음부터 완전히 새로운 범용 모델을 훈련했다는 증거로 간주해서는 안 됩니다.

벤치마크 리드—실제로 측정하는 것

Artemis는 Orion-1을 Claude Opus 5.5, GPT-6 Sol, Grok 4.7, Kimi K3와 비교했으며, 탐지, 조사, 공격 재구성, 위협 사냥, 활동 상관관계의 다섯 가지 방어 작업에서 평가했습니다. 회사에 따르면 Orion-1은 이러한 작업들에서 최첨단 성능을 보였습니다.

가장 눈에 띄는 결과는 공격 재구성과 관련된 것으로, 공격자의 행동을 발생 순서대로 배치하는 것입니다.

차이는 22.5점수 포인트입니다. 이는 공급업체가 보고한 벤치마크 점수이며, 실제 공격 차단 비율을 독립적으로 산출한 것이 아닙니다. 또한 이 결과가 모든 사이버 보안 사용 사례에서 우월성을 입증하는 것은 아닙니다.

Artemis는 이 평가를 Decision-Grade Readiness, 즉 DGR이라고 부릅니다. 이는 수천 개의 작업을 실제 정답, 비교 가능한 시작 신호 및 환경 컨텍스트와 함께 설명하며, 비교되는 모델에 대해 동일한 범위의 소스와 허용된 행동을 포함합니다. 이 평가는 공격과 유사한 정상적인 시나리오를 포함하고, 의사결정을 뒷받침하는 증거를 평가합니다.

이 설계는 중요한 문제를 해결합니다: 모든 것을 악의적으로 라벨링하는 시스템은 경계하는 듯 보이지만 사용 불가능한 대기열을 만들 수 있습니다. 정상적인 경우를 정확히 인식하는 것이 방어 역량의 일부이며, 시간 순서는 제시된 설명이 실제 기록에 부합하는지 여부를 드러낼 수 있습니다.

남은 질문은 이 벤치마크가 특정 조직에 얼마나 잘 적용되는가입니다. 공개된 출시 자료는 헤드라인 비교를 독립적으로 재현할 만큼 충분한 세부 정보를 제공하지 않습니다. 구매자는 작업 구성, 점수 규칙, 반복 실행 변동성, 모델 구성 및 익숙하지 않은 환경에서의 성능에 대한 가시성을 얻으면 도움이 될 것입니다. 종합 점수만으로는 가장 큰 실패가 침입 누락, 불필요한 격리, 혹은 불완전한 증거 중 어느 것인지를 파악할 수 없습니다.

주변 플랫폼이 중요한 이유

Orion-1은 더 큰 보안 플랫폼 내에서 작동합니다. 이 컨텍스트는 발표를 이해하는 데 핵심이며, 모델의 추론은 제공된 정보와 도구에 의존합니다.

Artemis의 Environment Intelligence 기능은 사용자, 계정, 장치, 리소스 및 AI 에이전트를 매핑하고, 이들의 관계와 조직 내 역할을 파악합니다. 회사는 신원 제공자, 인사 시스템, 자산 기록, 서비스 관리 시스템 및 내부 지식 베이스 등 다양한 소스에서 이 컨텍스트를 구축한다고 밝혔습니다. 고객은 조직 컨텍스트를 수정하고 사례 판결을 검토할 수 있습니다.

실질적으로 이는 조사관에게 기대 행동에 대한 기준을 제공하려는 시도입니다. 승인된 변경 창 동안 관리자가 수행하는 특권 행동은 휴면 계정이 수행하는 동일한 행동과는 다른 의미를 가질 수 있습니다. 중요한 질문은 해당 활동이 조직의 역할과 관계에 부합하는가 여부가 됩니다.

이는 장점과 동시에 의존성을 만들게 됩니다. 자산 인벤토리가 오래되었거나 관계가 잘못 표시된 경우, 모델은 잘못된 전제에서 추론할 수 있습니다. 따라서 환경 모델을 정확하게 유지하는 것은 시스템 운영의 일환이며, 단순히 온보딩 작업에 그치지 않습니다.

회사의 investigation documentation은 활동 타임라인과 쿼리, 질문, 결론 및 지원 텔레메트리 기록을 보존한 사고 사례를 설명합니다. 또한 분석가 판결 수정이 이후 조사에 반영되는 방식과 Jira 및 ServiceNow와 같은 도구와의 통합도 기술하고 있습니다.

분석가에게 의미 있는 개선점은 콘솔 전반에 걸쳐 조각을 수동으로 조합하는 대신 일관되고 검토 가능한 사례를 받는 것입니다. 검토자에게 핵심은 결론을 증거로 추적하고 추론이 시작되는 지점을 확인할 수 있는 능력입니다. 증거 인용은 조사를 감사하기 쉽게 만들지만, 모든 해석이 자동으로 정확해지는 것은 아닙니다.

자율성은 권한 결정이다

Artemis는 조사 능력과 행동 권한을 구분합니다. 출시 자료에서는 고객이 설정한 자율성을 설명하고 있으며, 고위험 행동에 대해서는 기본적으로 인간 승인이 필요하다고 명시하고 있습니다.

플랫폼의 response capabilities에는 세션 취소, 호스트 격리, 메일함 규칙 비활성화 또는 도메인 차단과 같은 행동이 포함됩니다. Artemis는 영향 미리보기, 지원 증거, 감사 기록 및 행동 및 커넥터별로 달라질 수 있는 자율성 설정을 제공한다고 설명합니다.

이러한 세분화는 단일 자율 온·오프 스위치보다 더 유용합니다. 보안 팀은 정의된 조건 하에 좁고 되돌릴 수 있는 행동을 허용하면서 비즈니스에 중요한 개입은 승인을 보류할 수 있습니다. 적절한 경계는 영향을 받는 시스템, 오탐 비용 및 복구 가능성에 따라 달라집니다.

표시된 신뢰도 역시 해석이 필요합니다. 신뢰도 값은 관련 사례 전반에 걸쳐 관찰된 정확성과 일관되게 연결될 때만 유용합니다. 팀은 텔레메트리가 누락되거나 모순될 때 신뢰도가 여전히 유용한지, 그리고 시스템이 충분한 증거가 부족함을 인식하는지를 검토해야 합니다.

기술적으로 되돌릴 수 있는 행동이라도 실제로는 되돌릴 수 없는 결과를 초래할 수 있습니다. 접근 권한을 복구한다고 해서 중단 중에 손실된 시간을 회복할 수는 없습니다. 따라서 대응 품질을 평가할 때는 속도와 함께 운영상의 영향을 고려해야 합니다.

프라이빗 프리뷰가 입증해야 할 사항

Orion-1의 가장 큰 강점은 분산된 신호에서 증거 기반 의사결정으로 가는 경로를 단축한다는 점입니다. 재구성 점수는 회사가 보고한 바에 따르면 전문성을 나타내는 유망한 지표이며, 환경 컨텍스트와 행동 제어와의 통합은 단일 보안 챗봇보다 더 실질적인 출시라고 할 수 있습니다.

프리뷰에서는 이러한 장점이 고객별 사고와 정상 활동에서도 유지되는지를 입증해야 합니다. 유용한 측정 항목으로는 놓친 위협, 잘못된 에스컬레이션, 분석가 검토 시간, 증거 완전성 및 제안된 격리의 결과가 포함됩니다. 팀이 결론을 재구성 없이 검증할 수 있을 때 조사 속도가 가장 크게 향상됩니다.

현재 Orion-1은 방어 작업, 즉 시퀀스 이해, 설명 검증 및 적절한 다음 단계 선택을 위해 AI를 훈련시키려는 집중적인 시도입니다. 그 의미는 점수가 출시 차트에 어떻게 위치하는가가 아니라, 실제 환경에서 그 작업이 얼마나 일관되게 검증을 견디는가에 달려 있습니다.