[AI, 통제의 경계를 넘다③] 해킹도 방어도 AI…안랩·SK쉴더스·이글루, 자동 대응 경쟁

[경제일보] 인공지능(AI)이 사이버 공격의 탐색과 실행을 자동화하면서 국내 보안기업들도 방어체계를 재설계하고 있다. 안랩은 3년간 1000억원의 AI 투자 계획을 내놨고, SK쉴더스는 클라우드 관제와 위협 대응을 고도화하고 있다. 이글루코퍼레이션은 여러 AI 에이전트가 협업하는 자율형 보안운영센터(SOC) 기술을 개발한다. 탐지 성능에 더해 경보 분석과 차단, 복구를 얼마나 빠르고 안전하게 연결하느냐가 경쟁 과제로 떠올랐다.

관제 현장에서 처리해야 할 정보량은 늘고 있다. 안랩이 공개한 자체 SOC의 월간 위협 이벤트 티켓은 2025년 1월 약 61만건에서 2026년 5월 약 114만건으로 증가했다고 밝혔다.

보안 자동화 자체가 새로 등장한 것은 아니다. 기존 관제도 정해진 규칙과 대응 시나리오를 활용해 경보를 분류하고 반복 작업을 처리해 왔다. 안랩은 지난 9월 16일 통합 브랜드 ‘안랩 AI 플러스’를 중심으로 AI 보안 플랫폼 기업 전환을 선언했다. 향후 3년간 AI 인프라와 연구개발 역량에 1000억원을 투자하고, 제품·데이터·보안 운영을 AI 중심으로 재구성한다는 계획이다.

사업은 단말 보호 플랫폼과 보안 운영 플랫폼으로 나눠 추진한다. ‘엔드포인트’는 PC와 서버 등의 보호 기능을 통합하고, ‘섹옵스’는 확장 탐지·대응(XDR), 관리형 탐지·대응(MDR), AI SOC를 연결한다. 자사와 타사 제품에서 발생하는 보안 신호를 함께 분석해 개별 경보를 하나의 공격 흐름으로 재구성하는 구상이다.

제공 방식도 서비스형 소프트웨어(SaaS)와 구독형으로 확대한다. 필요한 기능부터 도입하고 보호 범위를 늘리도록 해 지속적인 사용과 갱신으로 연결한다는 전략이다. 2035년 매출 1조원과 글로벌 매출 비중 30% 이상이 목표다. 사업보고서상 2025년 연결 매출 약 2677억원과 비교하면 매출을 약 3.7배로 키우겠다는 계획이다.

일부 적용 성과도 제시했다. 안랩은 AI SOC 일부 업무의 처리 시간을 기존 5분에서 2분으로 약 60% 단축했다고 밝혔다. 성과는 특정 업무에 한정된 것으로, 실제 고객 환경에서 어떤 업무와 조건으로 측정했는지가 검증의 기준이 된다.

SK쉴더스는 관제 운영 경험과 클라우드 보안 서비스를 결합하고 있다. 지난 2일 AWS의 ‘위협 탐지 및 대응(TDR)’ 보안 컴피턴시 획득 사실을 발표했다. AWS 환경에서 기술 전문성과 고객 사례 등을 검증하는 프로그램으로, SOC와 보안정보·이벤트관리(SIEM), 보안 오케스트레이션·자동화·대응(SOAR) 등이 대상이다.

SK쉴더스는 AWS 보안 서비스와 자체 관제 플랫폼 ‘시큐디움’을 연계해 서비스를 운영하고 있으며, AI 기술을 활용한 분석·우선순위 판단·자동 대응을 고도화할 계획이다.

공격 도구 분석도 병행한다. SK쉴더스는 10월 8일 공개한 가이드에서 오픈소스 자율형 침투테스트 플랫폼 ‘ARTEX’를 분석했다. 사람이 수행하던 모의해킹 절차를 자동화하고 이전 결과에 따라 다음 탐색 대상을 정하는 도구다. 보안 점검에 쓰일 수 있지만 공격자가 악용하면 정찰과 취약점 검증의 속도·범위를 늘릴 수 있다.

회사는 가이드에서 다룬 금융권 사고 정황에 대해 ARTEX 등 AI 기반 도구의 활용 가능성을 제기했다. 공개된 정보와 도구 분석을 바탕으로 기존 공격 과정이 자동화·고도화됐을 가능성을 짚은 것이다.

특히 관리 목록과 통제 범위 밖의 시스템·서비스·API를 뜻하는 ‘섀도 IT’를 위험으로 지목했다. 외주 시스템과 테스트 서버, 외부 연동 서비스 가운데 관리 사각지대에 놓인 자산을 식별하고 인증·권한·호출 행위를 점검하는 것이 대응의 출발점이다.

이글루코퍼레이션은 다중 AI 에이전트의 협업에 초점을 맞췄다. 회사는 6월 4일 한국인터넷진흥원(KISA)의 ‘2026년 AI 보안 유망기업 육성 지원사업’ 시제품 개발 과제 수행기관으로 선정됐다고 밝혔다. 보안 특화 언어모델과 에이전트 협업 기술을 결합해 자율형 SOC용 플랫폼을 고도화하는 과제다.

탐지·분석·대응 에이전트의 역할을 나누고 실행 절차를 정의·제어하는 업무 흐름을 개발한다. 기존 SIEM·SOAR·위협 인텔리전스 체계와 연동하는 인터페이스도 구축한다. 실제 SOC 환경에서 실효성과 업무 효율을 검증한다는 계획이다.

시장 기반은 성장하고 있다. 과학기술정보통신부와 한국정보보호산업협회의 ‘2025년 정보보호산업 실태조사’에서 2024년 정보보안 분야 매출은 7조1244억원으로 전년보다 15.9% 늘었다. 다만 같은 해 정보보안 수출액은 약 1242억원으로 15.9% 감소했다.

기업들이 제시한 투자와 개발 계획을 사업 성과로 연결하려면 기술 검증과 수익성 검증이 함께 필요하다. 경보 처리시간을 줄이더라도 AI 연산비와 데이터 관리, 전문가 검증에 드는 비용이 커지면 서비스 원가가 달라진다. 반복 매출 확대와 함께 고객당 운영비, 계약 갱신, 해외 고객 확보를 확인해야 하는 이유다.

자동 대응에는 별도의 운영 위험도 따른다. 정상 업무를 공격으로 오인해 서버나 계정을 차단하면 서비스 장애를 일으킬 수 있다. 반대로 위험 신호를 놓치면 공격자의 활동 시간을 늘려준다. 자동화 비율뿐 아니라 잘못된 차단과 놓친 위협, 복구시간도 함께 측정해야 한다.

모든 차단을 사람의 실시간 승인에 맡기면 대응이 늦어질 수 있다. 사전에 검증한 시나리오는 정해진 범위에서 자동 실행하되, 영향이 크거나 복구가 어려운 조치는 별도 승인을 받도록 나눌 필요가 있다. 안랩도 주요 조치의 사용자 승인과 권한·정책·감사를 결합하는 ‘통제된 자율성’ 원칙을 제시했다.

고객이 확인해야 할 것은 자동 대응의 구체적인 운영 조건이다. 어떤 경보를 자동 처리하고, 어떤 자산을 어느 조건에서 격리하며, 잘못 차단했을 때 누가 얼마나 빨리 복구하는지 설명할 수 있어야 한다. 세 보안기업의 AI 전략도 이러한 조건을 실제 고객 환경에서 검증하고 서비스 계약으로 제시하는 단계에서 평가받게 된다.