Cardinal 프로그램, 미국 유틸리티에 무료 AI 기반 보안 테스트 제공

Method Security와 Palantir Technologies는 2026년 9월 10일 Cardinal 프로그램을 발표했습니다. 이 공동 이니셔티브는 선택된 미국 지방자치단체, 유틸리티 및 핵심 인프라 운영자에게 선택적으로 참여할 수 있는 지속적인 자동 보안 평가를 무료로 제공할 것입니다.

뉴욕과 마이애미를 발행일로 한 공동 보도자료에서 양사는 Cardinal를 안전한 자동 레드팀을 통해 국가 사이버 회복력을 강화하는 이니셔티브라고 설명했습니다. 이 기관들은 일상 생활을 뒷받침하는 시스템과 서비스를 보호하지만, 이제는 점점 더 강력해지는 AI를 활용해 전례 없는 속도와 규모로 취약점을 찾아 악용하는 적대자들과 맞서고 있습니다. Cardinal는 자동 사이버 시스템, 첨단 AI, 그리고 전문가 운영자를 결합해 필수적인 미국 인프라를 보호하는 팀을 지원함으로써 이 격차를 메우려는 노력이라고 밝혔습니다.

프로그램 공식 사이트는 그 사명이 국가 핵심 인프라와 지방자치단체 조직에 지속적이고 안전하며 적대자 기반의 강화 지침을 제공하여 사이버 적을 앞서는 것이라고 명시하고 있습니다. 사이트는 이러한 기관들이 보안 자원이 부족한 경우가 많다고 설명하고, Cardinal를 미국 기술 및 보안 기업들의 기술 연합으로서 시장 전반에 공동 서비스를 제공하는 것으로 소개합니다.

“공격자들은 이미 이러한 능력을 활용하고 있습니다,” 라고 양사는 공동 보도자료에서 밝혔습니다. “방어자는 같은 일을 기다릴 필요가 없습니다.”

평가가 진행되는 방식

프로그램 하에서 Method의 플랫폼과 보안 운영자는 참여 조직의 인터넷 노출 자산을 매핑하고 탐색하며 안전하게 테스트하여 공격 경로를 식별합니다. Frontier와 오픈-웨이트 모델이 평가에 활용되며, 이는 방어자가 동일한 능력을 갖춘 공격자가 자신의 시스템에 어떻게 접근할 수 있는지를 이해하도록 돕기 위한 것이라고 양사는 말합니다.

Palantir Foundry, AIP, 그리고 사이버보안 온톨로지가 Method가 결과를 통합하고 제공하며 협업을 지원할 수 있는 안전한 인프라를 제공합니다. 보도자료에 따르면 AIP는 이러한 고위험 임무를 위한 반복 가능한 자동 평가 워크플로우의 검증을 가능하게 하며, 온톨로지는 실제 임무 영향 측면에서 결과를 맥락화하여 대응 조치를 집중하도록 돕습니다.

평가는 참가자가 정의한 범위와 참여 규칙 내에서 실제 적의 행동을 모방하며, 방해를 방지하기 위해 안전 장치와 인간 감독이 적용된다고 양사는 설명합니다. 보안 전문가가 결과를 검토하고 적 기반 강화 지침을 제공할 것입니다.

자격, 제어 및 등록

프로그램 사이트에 따르면 에너지, 교통, 통신, 공공 보건 또는 병원 운영 분야의 미국 핵심 인프라 조직과 물 또는 안전을 책임지는 모든 지방자치단체는 무료 평가 대상이 됩니다.

사이트에 따르면 무료 티어는 조직의 외부 공격 표면에 대한 반-정기적인 자동 레드팀 평가와 직접 제공되는 전략적 강화 지침으로 구성되며, 매월 보안 전문가와 협의하여 해당 지침을 검토할 수 있는 기능도 포함됩니다. 결과물은 네트워크 제어를 조정하거나 과도한 접근 권한을 제거하는 등 적 기반 강화 지침 형태로 제공되며, 이에 대한 증거도 함께 제공됩니다.

각 참여 조직은 허용 및 비허용 자산에 대한 목표 범위를 직접 설정하고, 수행 가능한 작업, 시점, 인간 승인 수준 등을 포함하는 세밀한 참여 규칙을 정의할 수 있습니다. 범위와 규칙은 등록 후 포털을 통해 참가자의 설정 및 결과를 모두 보관하는 곳에서 변경할 수 있습니다. 사이트는 참가자 결과가 접근 제어되며, 세부 내용은 지원 엔지니어를 제외하고는 공개되지 않는다고 명시합니다.

등록은 양식 제출로 시작되며, 이후 Method 엔지니어가 자격을 평가합니다. 자격이 확인된 참가자는 프로그램에 합류하기 전에 레드팀 계약서에 서명합니다.

무료 티어를 넘어서는 경우, 대기업은 동일한 모델을 기반으로 한 전용 유료 상업 프로그램을 위해 프로그램 운영 파트너와 직접 협력할 수 있다고 사이트는 밝힙니다. 정부 기관은 Cardinal를 자체 시스템이나 승인된 제3자를 위한 지속적인 평가 프로그램을 제공하는 등 보다 광범위한 보안 이니셔티브를 위한 기술 플랫폼으로 활용할 수 있으며, 이는 연방 자금이나 다른 합의된 경제 모델에 기반합니다. 양사는 현재 방어자에게 역량을 제공하면서 확장 가능한 모델을 보여주는 것이 목표이며, Cardinal가 정부 기관에 검증된 기술 수단을 제공해 그들의 임무 내 시스템에 이러한 역량을 적용할 수 있기를 기대한다고 말했습니다. 국가 사이버 회복력은 산업과 정부 간의 긴밀한 협력이 필요하다고 덧붙였습니다.

프로그램 뒤에 있는 기업들

Method는 미국 정부와 Fortune 500을 위한 자동 사이버 시스템 구축업체라고 스스로를 설명하며, 회사 웹사이트에서는 미국 정부와 핵심 기업에 사이버 회복력을 제공하는 사명을 제시하고 있습니다. 사이트는 Method가 사이버 운영자를 결정적인 우위로 무장시키는 전 영역 보안 제품을 구축한다고 밝히며, 두 가지 제품을 소개합니다: Bastion은 고객 비즈니스 맥락에서 자원과 가능한 모든 공격 경로를 매핑, 검증, 제어하고, Reaper는 자동화 및 소프트웨어 정의 명령‑통제 인프라 위에서 레드팀 작전 및 적 모의 훈련을 계획하고 실행합니다. Method는 OpenAI, Palantir, Andreessen Horowitz, General Catalyst, Blackstone을 파트너로 나열합니다.

보도자료는 핵심 시스템이나 공공 서비스를 보호하는 조직에게 Cardinal 프로그램 사이트를 통해 보안 평가를 요청하도록 권장합니다. Palantir의 미디어 연락처로 Lisa Gordon을, Method Security의 연락처로 MR Snell을 명시하고 있습니다.