Cyware, 공유 위협 인텔리전스를 일일 우선순위로 전환하는 Last Mile AI Agents 출시

위협 권고는 몇 초 만에 소규모 공익사업자에게 전달될 수 있다. 하지만 그 내용이 중요한지, 또 어떻게 대응해야 할지 판단하는 데는 훨씬 더 오랜 시간이 걸릴 수 있다. Cyware는 이러한 간극을 해소하기 위해 Last Mile Agents를 선보였다. 공유된 사이버 보안 인텔리전스를 소규모 조직의 일일 우선순위로 전환하도록 설계된 새로운 AI 에이전트 제품군이다.

10월 22일 발표된 이 에이전트는 커뮤니티 또는 주 단위 허브에서 권고를 받지만 전담 위협 인텔리전스 팀은 없는 위협 정보 공유 네트워크의 회원 조직을 대상으로 한다. 모든 수신자에게 똑같은 읽을거리 목록을 제공하는 대신, Cyware는 에이전트가 각 조직의 업종, 기술 및 운영 환경을 기준으로 들어오는 정보를 평가한다고 밝혔다.

초기 출시 제품에는 Vulnerability Watch와 Threat Briefing이 포함되며, 두 제품 모두 Priority Intelligence Requirements 에이전트의 지원을 받는다. 당장 제공되는 기능은 우선순위가 반영된 지침이며, 자동 조치 실행은 Cyware가 후속 개발 계획에 포함한 기능이다.

공유된 권고를 현지 우선순위로 전환

위협 정보 공유 네트워크는 조직들이 취약점, 공격자 및 새롭게 나타나는 공격 캠페인에 관한 정보를 공유하도록 돕는다. 그러나 이러한 네트워크의 가치는 권고가 도착한 뒤 어떤 일이 일어나는지에 달려 있다. 대기업에는 해당 인텔리전스를 자사 시스템과 대조해 분석할 담당자가 있을 수 있다. 반면 소기업이나 협동조합형 공익사업자는 일상적인 IT 업무도 함께 맡는 보안 담당자 한 명에게 의존할 수 있다.

Cyware의 접근 방식은 인텔리전스 허브의 업무와 회원 조직의 업무를 분리한다. 허브는 Cyware 플랫폼을 운영하고 인텔리전스를 선별한다. 발표 내용에 따르면, 연결된 회원 조직은 직접 플랫폼을 구축할 필요 없이 각자의 우선순위에 맞게 조정된 Last Mile Agents를 사용한다.

이러한 구분은 도입 측면에서 중요하다. 각 소규모 조직이 완전한 위협 인텔리전스 운영 체계를 갖추도록 요구하는 대신, 기존 정보 공유 관계가 정보를 받는 쪽에서도 더 유용하게 작동하도록 하는 것이 이 제안의 핵심이다.

Cyware의 CTO 겸 공동 창업자인 Akshat Jain은 발표에서 “집단 방어는 마지막 전달 구간이 얼마나 강한지에 달려 있으며, 이것이 바로 그 구간을 강화하는 방법”이라고 말했다. 그는 각 조직의 환경에서 무엇이 관련성이 있는지 파악하기 위해 에이전트가 Priority Intelligence Requirements에서 출발하고, 그 맥락을 새로 들어오는 권고와 취약점에 적용한다고 설명했다.

조직의 맥락을 중심에 둔 세 가지 에이전트

Priority Intelligence Requirements(PIR) Agent가 기반 역할을 한다. 이 에이전트는 회원 조직에 중요한 요소를 파악하고, 새로 들어오는 인텔리전스를 해당 요구 사항에 지속적으로 대조한다. 실질적으로 이는 위협의 우선순위를 매기기 전에 시스템이 관련성을 판단하는 기준을 갖추도록 하기 위한 것이다.

• PIR Agent: 회원 조직의 인텔리전스 우선순위를 설정하고, 이를 활용해 새로 도착하는 권고와 취약점 정보를 평가한다.
• Vulnerability Watch Agent: 악용 활동과 심각도를 회원 조직의 환경에 비추어 평가해 ‘조치’, ‘주의’, ‘추적’으로 분류한 일일 우선순위 목록을 작성한다.
• Threat Briefing Agent: 어떤 상황 변화에 주목해야 하는지, 그리고 그것이 해당 회원 조직에 왜 중요한지 설명하는 일일 우선순위 브리핑을 작성한다.

심각도와 관련성을 구분하는 것이 설계의 핵심이다. 심각한 취약점이라도 권고를 받는 모든 조직에 똑같이 시급한 것은 아니다. 조직은 영향을 받는 기술이 자사 환경에 포함되어 있는지, 실제 악용이 이루어지고 있는지, 그리고 해당 사안이 시간과 관련해 서로 경쟁하는 다른 요구 사항에 비해 얼마나 중요한지 파악해야 한다.

Last Mile Agents와 Cyware 기술의 연계 방식

이번 출시는 Cyware의 기존 AI 에이전트 포트폴리오를 인텔리전스 허브에서 일하는 분석가를 넘어 확장한다. 더 광범위한 Agent Hub는 회사의 보안 제품 전반에서 에이전트를 통합하며, 설정 가능한 자율성, 사람의 감독, 권한 부여 및 감사 로그 기록을 위한 제어 기능을 설명한다. 이러한 플랫폼 기능은 Cyware의 전략을 이해하는 데 맥락을 제공하지만, 이번 신제품은 회원 조직을 위한 우선순위 지정과 브리핑을 구체적으로 제공한다.

이 전략의 밑바탕에는 서로 다른 위협 정보를 활용할 수 있는 형태로 만드는 과제가 있다. Cyware Intel Exchange는 위협 인텔리전스를 교환하기 위한 구조화된 형식인 STIX 2.1로 정보를 수집하고, 중복을 제거하며, 보강하고, 정규화하는 기능을 지원한다. 또한 지표, 악성코드, 공격 캠페인 및 위협 행위자를 연결하고, 공격자의 행동을 MITRE ATT&CK에 매핑한다. 이러한 기능은 허브가 하는 일을 보여 준다. 즉, 회원 조직이 자체 우선순위에 따라 해석하기 전에 인텔리전스를 정리하는 것이다.

회사의 별도 제품인 Cyware Orchestrate는 API, 웹훅 및 사전 구축된 통합 기능을 통해 보안 워크플로를 연결한다. 여기에는 플레이북을 만들고 문제를 해결하는 데 도움을 주는 AI 기능도 포함된다. 이는 Cyware의 더 폭넓은 자동화 제품군의 일부지만, Last Mile Agents의 출시 범위와 혼동해서는 안 된다. Cyware는 이 새로운 에이전트의 자동 조치 실행을 향후 로드맵에 포함했다.

관건은 지침이 실제 업무 방식을 바꾸는지 여부다

보안 인력이 적은 팀의 경우, 유용한 AI 브리핑은 긴 권고문을 짧은 문단으로 압축하는 데 그쳐서는 안 된다. 관련성을 파악하고, 우선순위가 정해진 이유를 설명하며, 다음 결정을 더 쉽게 내릴 수 있도록 해야 한다. 따라서 조직이 명시한 요구 사항의 품질과 변화하는 환경에 맞춰 요구 사항을 얼마나 잘 조정해 나가는지가 에이전트의 실질적 가치에 중요한 요소가 될 것이다.

Cyware의 발표에는 Last Mile Agents의 성능 벤치마크, 가격 또는 측정된 고객 성과가 제시되어 있지 않다. 초기 약속은 보다 제한적이고 구체적이다. 자원이 부족한 회원사에 네트워크가 이미 배포하고 있는 정보를 바탕으로 가장 중요한 사안을 매일 파악할 수 있는 관점을 제공한다는 것이다.

PIR Agent를 기반으로 하는 Vulnerability Watch와 Threat Briefing이 처음 제공되는 에이전트다. Cyware는 자사의 AI 에이전트에 관한 웨비나도 제공하고 있다. 더 큰 기회는 집단 방어의 활용 범위를, 이를 해석할 분석가를 이미 충분히 보유한 조직 너머로 넓히는 데 있다.