AI, 사이버 방어 환경을 혁신하다

30년 경력의 베테랑 보안 전문가 케빈 만디아는 인공지능으로 인해 전체 보안 환경이 근본적인 변화를 겪을 것으로 예상하며, Armadin과 함께 업계 최전선으로 복귀했습니다.

AI는 일반적으로 70명의 인력이 필요할 작업을 마이크로초 만에 수행하며, 이는 현대 사이버 위협의 전례 없는 속도와 규모를 보여주는 변화입니다.

AI 전환은 '쓰나미'처럼 작용하여 만디아가 이 분야에 다시 뛰어들게 만들었으며, 이는 이전 시대와 '사과와 오렌지'를 비교하는 것과 같은 상황을 만듭니다.

Armadin은 공격자가 기업 네트워크의 악용 가능한 위험을 악용하기 전에 'Armadin Red'를 사용하여 이를 식별하는 이중 자율 방어 전략을 사용합니다.

이 회사의 접근 방식은 미래 보안에 '선량한 사람들'이 AI 기반 공격 사이버 대포를 만들어 네트워크 복원력을 테스트해야 한다는 생각에 기반을 둡니다.

궁극적인 목표는 Armadin Blue로 알려진 자동화된 '방어막'을 만들어 위협을 선제적으로 막고 악의적인 행위자보다 최소 5분 이상의 중요한 리드를 유지하는 것입니다.

케빈 만디아에 따르면, 'AI 속도 줄이기' 운동은 중요한 요점을 놓치고 있습니다. 기존의 오픈 모델은 이미 사이버 시스템 내에서 악용 가능한 위험을 찾을 수 있습니다.

그는 취약점 발견은 구조화된 문제이므로 AI 최적화에 매우 적합하며, 공격에 필요한 도구는 이미 널리 사용 가능하다고 지적했습니다.

GPU의 가용성이 증가하고 사용이 더욱 익명화되어 범죄 운영을 용이하게 함에 따라 AI 기반 사이버 범죄가 확대될 것으로 예상됩니다.

덜 기술적인 공격자들이 진입 장벽이 낮아짐에 따라 더 높은 성공률을 달성하고 더 숙련되어 보이는 현상이 나타나며, 이는 일종의 평준화 역할을 합니다.

이러한 공격 능력의 민주화는 방어팀이 출처를 식별하기를 점점 더 어렵게 만들고, 정교한 국가 행위자와 개별 공격자 사이의 경계를 모호하게 합니다.

AI 모델의 광범위한 사용은 공격의 출처를 식별하려는 노력을 복잡하게 만들어 사이버 보안 포렌식에 새로운 과제를 제기합니다.

범죄 조직은 고급 AI 기능이 없더라도 무작위 스캐닝을 지속적으로 사용하여 취약점을 탐색하고, 취약한 네트워크에 끊임없이 압력을 가합니다.

이러한 만연한, 보이지 않는 공격 세력은 방어 태세가 반응적 조치를 넘어 진화해야 할 필요성을 만듭니다.

그는 '선량한 사람들'에 의한 선제적 테스트가 필수적이며, 필연적인 위협에 견딜 수 있도록 방어 시스템에 중요한 훈련을 제공한다고 강조했습니다.

만디아에 따르면, 전통적인 침투 테스트는 주로 이미 알려진 취약점을 스캔하고 코드 위생을 평가하며, 진정한 악용 가능성을 증명하는 데 실패합니다.

반면, AI 기반 접근 방식은 단순한 표면적 검사를 넘어 사용자 정의 애플리케이션 내의 논리적 오류를 발견하는 데 중점을 둡니다.

Armadin은 악용 가능성에 대한 구체적인 검증을 제공하여, 만디아가 단순히 '위생 도구'라고 설명하는 Tenable, Rapid7, Qualys와 같은 레거시 도구를 괴롭히는 오탐을 효과적으로 제거하는 것을 목표로 합니다.

만디아는 침투 테스트를 기본적인 위생 단계로, 레드 팀을 실제 적대적 공격 시뮬레이션으로 구분하며, AI가 이전의 비용 및 인적 자원 한계를 극복하여 지속적인 레드 팀 활동을 가능하게 한다고 강조했습니다.

AI와 자율 에이전트를 통해 기업은 이전에 높은 비용과 인적 자원 제약으로 인해 제한되었던 레드 팀 활동을 지속적으로 수행할 수 있습니다.

침투 테스트는 자율 AI 에이전트가 그 기능을 대신하면서 시간이 지남에 따라 단계적으로 폐지되어 보다 동적이고 철저한 보안 평가를 제공할 것으로 예상됩니다.

만디아는 '탐지 및 대응' 루프의 수동 감독으로 인해 보안 운영이 수천 개의 측면 이동을 실행하는 자율 에이전트의 속도를 따라갈 수 없다고 관찰합니다.

그는 AI가 사이버 보안의 예방, 탐지 및 대응 단계를 점점 더 지배하여 실시간 운영에서 인간의 감독을 배제할 것이라고 예측했습니다.

자율 에이전트는 수천 개의 측면 이동을 동시에 실행할 수 있어 수동 방어 전략을 쓸모없게 만들고 '풍선 터뜨리기' 시나리오에서 자동화된 예방 및 잠금의 중요성을 강조합니다.

보안 공급업체 또한 AI 네이티브 자율 방어로의 전환에서 자신들의 역할과 제공 서비스를 재평가하고, 진화하는 산업 요구 사항에 맞추려 노력합니다.

이러한 지속적인 평가에도 불구하고, 보안 팀이 미래에 채택할 명확한 구조에 대한 합의는 아직 없으며, 환경은 계속해서 빠르게 진화하고 있습니다.

기술 변화에서 반복되는 패턴은 적대적 역량에 대한 과소평가이며, AI의 경우 이는 모델의 악용 능력에도 적용됩니다.

그는 모델을 개발하는 AI 연구자와 오용 가능성을 이해하는 보안 전문가 사이의 근본적인 단절을 강조하며, 이는 현재 연구 개발의 불균형으로 이어집니다.

만디아에 따르면, 모델 개발 속도를 늦추려는 정부의 개입은 AI 혁신의 빠른 속도와 그 보안적 함의를 통제할 수 없다는 근본적인 무능력을 반영합니다.

테스트된 20개 킬체인 중 8개가 오픈 웨이트 모델과 고급 폐쇄형 모델 모두에 의해 성공적으로 완료되었으며, 이는 둘 사이의 능력 격차가 줄어들고 있음을 보여줍니다.

폐쇄형 모델이 악용 가능한 위험을 식별하는 데 더 높은 속도를 보이지만, 전반적인 최종 결과와 취약점 발견 능력은 결국 오픈 소스 및 폐쇄형 AI 시스템 간에 수렴됩니다.

이러한 수렴은 사이버 보안 도메인 내에서 다른 AI 모델 간의 능력 격차가 빠르게 줄어들고 있음을 나타내며, 이들 간의 선택은 주로 속도와 비용 문제로 귀결됩니다.

분류기는 보안 AI에서 제어와 자율성 간의 내재된 절충점을 관리하기 위해 인바운드 및 아웃바운드 트래픽을 모니터링해야 합니다. 케빈 만디아는 지나치게 결정론적인 시스템이 효과적인 위협 완화에 필요한 창의성을 제약한다고 경고했습니다.

보안에 있어서 가드레일은 필수적입니다. 분류기는 잠재적인 침해를 방지하기 위해 아웃바운드 및 인바운드 트래픽을 모두 모니터링합니다.

인간 개입 시스템은 AI의 행동이 모호할 때 최종 중재자 역할을 하며, 어떤 보안 시스템도 100% 확실성을 달성할 수 없으므로 불확실한 상황을 처리하기 위한 '일시 중지 및 에스컬레이션' 프로토콜이 중요합니다.

만디아는 전통적인 안티바이러스와 악성코드 시그니처를 초기적이고 기본적인 형태의 방어를 나타내는 보안 인텔리전스의 첫 번째 물결로 정의했습니다.

그는 Mandiant의 두 번째 물결을 침해 후 대응에서 학습하는 것에 초점을 맞춘 방법으로 설명했으며, 이는 현재 비효율적이고 반응적인 접근 방식이라고 평가했습니다.

Armadin은 침해가 발생하기 전에 내부 취약점을 선제적으로 식별함으로써 인텔리전스의 세 번째 물결을 대표합니다. 침해를 기다리는 것은 구식이고 부적절한 모델입니다.

만디아는 Mandiant에서 자신이 자비로 운영했던 과거와 오늘날 사이버 보안 환경에서 요구되는 빠르고 충분한 자금 지원을 받는 성장을 대조하며, 운영 요구 사항의 변화를 강조했습니다.

'끈기와 직관'에 의존하는 방식은 불충분하며, 사이버 보안 방어를 효과적으로 확장하기 위해서는 '제도화된 프로세스'가 필요합니다.

프로세스 관리를 깊이 이해하는 확장 가능한 리더를 고용하는 것은 빠르게 진화하는 위협 환경에서 초고속 성장을 달성하고 효과를 유지하는 데 매우 중요합니다.

만디아는 부차적인 목표에 집중하기보다 회사가 하는 일에서 세계 최고가 되어야 한다는 점을 기본적인 경쟁 전략으로 강조했습니다.

르브론 제임스와 톰 브래디 같은 스포츠 전설에 비유하며, 지배력을 유지하려면 끊임없는 노력과 지속적인 개선이 필요하다고 설명했습니다.

그는 시장 표준에 대한 끊임없는 자체 테스트가 회사가 최고 수준의 성과자로 계속해서 평가되고 재확인하는 데 필수적이라고 말했습니다.

그는 또한 분산된 팀은 효율성이 떨어지므로 엔지니어들이 더 나은 협업을 위해 같은 장소에 있는 것을 선호한다고 제안했습니다.

현재 시장 환경은 사이버 보안 부문 내에서 혁신과 성장을 위한 '일생일대의 순풍'으로 묘사됩니다.