사이버 보안에서 에이전트형 AI란 무엇인가?

에이전트형 AI 시스템은 자율성과 통제를 균형 있게 유지할 수 있도록 내장된 사람 감독 기능과 함께 설계되는 경우가 많습니다.

사이버 보안용 에이전트형 AI에 대한 Microsoft의 접근 방식에서는 사람 운영자가 시스템 동작을 모니터링하고 안내할 수 있는 협업 모델로 설계합니다.

일반적인 예는 다음과 같습니다.

• 투명한 추론. Microsoft 시스템은 권장 사항과 함께 지원용 맥락과 근거를 제공해 분석가가 시스템 출력과 의사 결정 경로를 이해하도록 돕습니다.

• 승인 및 조정. Teams는 시스템 작업을 검토하고 승인하거나 거부하거나 세부 조정할 수 있습니다. 또한 피드백을 반영해 결과를 계속 개선할 수 있습니다.

• 감사 가능한 제어. 활동은 역할 기반 액세스, 감사 로그, 워크플로 보호 기능 같은 엔터프라이즈 보안 제어로 관리되어 책임성과 규정 준수 요구 사항을 지원합니다.

에이전트형 AI는 에이전트형 루프라는 프로세스 덕분에 변화하는 조건에 동적으로 대응하고, 맥락에 따라 동작을 조정할 수 있습니다. 에이전트가 목표를 달성할 때까지 이 단계를 반복하는 순서입니다.

인지 → 추론 → 계획 → 실행 → 학습

• 인지. 시스템은 로그, 경보, 사용자 활동, 위협 인텔리전스, 연결된 도구와 시스템의 데이터 등 환경에서 정보를 수집합니다.
• 이유. 이후 정보를 분석하고, 패턴을 찾고, 위험을 평가하고, 데이터가 맥락상 무엇을 의미하는지 판단합니다.
• 계획. 시스템은 목표에 따라 원하는 결과를 달성하기 위한 행동 순서를 만듭니다.
• 실행. 에이전트는 도구, 시스템, 워크플로와 상호 작용해 디바이스 격리, 티켓 열기, 경보 에스컬레이션, 추가 증거 수집 같은 작업을 수행합니다.
• 학습. 시스템은 행동 결과를 평가하고, 피드백과 새 데이터, 이전 결과를 사용해 앞으로의 결정과 대응을 개선합니다.

에이전트형 AI를 효과적으로 사용하려면 팀은 단일 에이전트 시스템과 다중 에이전트 시스템 중 무엇을 사용할지도 정해야 합니다. 단일 에이전트 시스템은 하나의 에이전트가 작업과 결정을 관리합니다. 워크플로 범위가 비교적 좁고 결정이 중앙 집중식일 때 잘 맞습니다. 워크플로가 복잡하거나 다양한 전문 지식이 필요하면, 조직은 보통 사이버 보안을 위해 여러 개의 특화된 AI 에이전트가 함께 공통 목표를 향해 움직이는 다중 에이전트 시스템을 구성합니다.

자율 기능이 있어도 사람의 감독은 여전히 중요합니다. 많은 조직은 민감하거나 위험도가 높은 작업에 사람 개입형 점검 단계와 승인 관문을 사용해 거버넌스, 책임성, 운영 통제를 유지합니다.

전통적인 자동화, 생성형 AI, 에이전트형 AI의 차이는 핵심 차원별로 비교하면 더 분명해집니다.

안타깝게도 기업 및 정부만이 빠른 속도로 AI를 채택하는 것은 아닙니다. 위협 행위자들은 에이전트형 시스템을 사용해 사이버 공격의 속도와 규모를 키우고 있습니다. 그 결과 다음과 같은 여러 사이버 보안 과제가 생기거나 더 심해지고 있습니다.

• 규모 챌린지. 보안 팀은 경보량이 너무 많고, 데이터 복잡성은 커지고, 분석가도 계속 부족한 상황에 자주 직면합니다.
• 속도 챌린지. 사이버 공격자는 점점 더 운영을 자동화하는 반면, 많은 방어자는 여전히 수동 분류와 인시던트 응답 프로세스에 의존합니다.
• 안정성 및 정확도 챌린지. 야간 근무와 반복 작업이 오래 이어지면 분석가 피로와 번아웃으로 이어질 수 있습니다. 그러면 일관성이 떨어지고 사람의 실수 위험이 커집니다.
• 복원력 챌린지. 현대 조직은 클라우드 플랫폼, 엔드포인트, ID, 애플리케이션, 타사 서비스가 포함된 하이브리드 환경에서 운영합니다. 이렇게 공격 표면이 넓어지면 운영 위험이 커지고 사이버 공격자에게 더 많은 기회가 생깁니다.

사이버 보안에서의 에이전트형 AI는 보안 팀이 완전한 수동 보안 운영(SecOps)으로는 감당하기 어려울 만큼 복잡하고 빠르게 변하며 서로 연결된 환경에서 더 효과적으로 일하도록 돕습니다. 이것은 AI 시스템 자체를 보호하는 데 초점을 맞춘 더 넓은 에이전트형 AI 보안과는 다릅니다.

보안 팀을 대체하기보다, 에이전트형 AI는 사이버 보안 운영 전반에서 곱셈 효과를 내며 다음과 같은 이점을 제공합니다.

• 탐지 및 대응 평균 시간(MTTD/MTTR) 단축. 에이전트형 AI는 경고를 조사하고, 신호를 연관 분석하며, 대응 조치를 빠르게 조율해 팀이 탐지 및 대응 시간을 줄이도록 도와줍니다.
• 분석가의 피로를 줄이고 고부가가치 업무에 더 많은 시간 확보. 에이전트형 AI는 반복적이고 시간이 많이 드는 작업을 처리해 경고 피로를 줄이고, 분석가가 더 전략적인 조사와 의사 결정을 하도록 도와줍니다.
• 일관되고 반복 가능한 분류 및 대응. 에이전트형 AI는 사고 전반에 워크플로와 프로세스를 일관되게 적용해 수동 작업에서 생기는 변동을 줄이고 운영 신뢰성을 높입니다.
• 24시간 가동과 유연한 확장성. 사람으로 구성된 팀과 달리, 에이전트형 AI는 계속 작동하면서도 경고, 이벤트, 데이터를 대량으로 처리할 수 있습니다. 추가 인력이 필요하지 않습니다.
• 신호 대비 잡음 비율 및 우선순위 지정 개선. 에이전트형 AI는 대량의 컨텍스트 데이터를 분석해 가장 중요한 위협을 식별하고, 불필요한 경고를 줄이며 우선순위 지정을 개선합니다.
• 복원력 강화와 선제적 위험 관리. 에이전트형 AI는 환경을 지속적으로 모니터링하고, 잠재적인 취약점을 식별하며, 조직이 위험을 줄이고 운영 복원력을 시간이 지나면서 높이도록 돕는 선제적 보안 조치를 지원합니다.

여러 사용 사례는 사람이 에이전트와 함께 보안을 강화할 수 있는 방법을 보여줍니다.

보안 팀은 수동으로 조사할 수 있는 수보다 더 많은 경고를 자주 받습니다. 그래서 효과적인 대응을 위해 우선순위 지정이 꼭 필요합니다.

에이전트의 역할:

• 위협 인텔리전스, 자산 컨텍스트, 사용자 행동 데이터로 경고를 보강합니다.
• 위험도와 신뢰도 점수를 기준으로 사고의 우선순위를 지정합니다.
• 조사나 해결을 위한 다음 단계를 추천합니다.

분석가의 역할:

• 고우선순위 인시던트를 검토합니다.
• 조사 결과와 에스컬레이션 결정을 검증합니다.
• 복잡하거나 민감한 조사를 처리합니다.

보안 팀은 방대한 양의 위협 데이터에 의존합니다. 그래서 관련 있고 실행 가능한 인사이트를 빠르게 추출하기가 어렵습니다.

에이전트의 역할:

• 여러 소스에서 위협 인텔리전스를 수집하고 요약합니다.
• 실시간 상황 인식과 빠른 보고를 제공합니다.
• 여러 환경의 위협 활동을 상호 연관 분석합니다.

분석가의 역할:

• 전략적 위험과 위협 추세를 해석합니다.
• 인텔리전스의 관련성과 영향을 검증합니다.
• 대응 우선순위와 계획을 안내합니다.

숨겨진 위협이나 새로 나타나는 위협을 식별하려면 크고 복잡한 데이터 집합 전체에 걸친 지속적인 분석이 필요합니다.

에이전트의 역할:

• 헌팅 가설을 생성하고 데이터 원본을 쿼리합니다.
• 대규모 데이터 집합을 반복 분석해 의심스러운 활동을 찾아냅니다.
• 새로 나타나는 위협을 찾기 위해 백그라운드에서 지속적으로 헌팅합니다.

분석가의 역할:

• 조사 결과를 검증하고 비즈니스 영향을 판단합니다.
• 고급 또는 표적형 사이버 공격 활동을 조사합니다.
• 위협 헌팅 전략과 우선순위를 다듬습니다.

보안 인시던트에 대응하려면 검색, 조사 및 포함 활동 간에 빠른 조정이 필요합니다.

에이전트의 역할:

• 증거 수집과 사고 문서화를 자동화합니다.
• 타임라인을 작성하고 사이버 공격 활동을 요약합니다.
• 분석가의 승인을 받아 차단 작업을 완료합니다.
• 엔드포인트를 보호하고 취약성 해결 워크플로를 자동화하는 데 도움말

분석가의 역할:

• 고위험 대응 작업을 승인합니다.
• 복구와 원상 복구 작업을 총괄합니다.
• 사고 후 커뮤니케이션과 검토를 조율합니다.

조직은 위협 행위자에게 악용되기 전에 보안 취약점을 식별하고 우선순위를 정해야 합니다.

에이전트의 역할:

• 위험 수준과 위험에 노출된 자산의 가치를 기준으로 취약성의 우선순위를 정합니다.
• 클라우드, 엔드포인트, ID 환경 전반의 노출을 식별합니다.
• 해결 경로와 완화 조치를 추천합니다.

분석가의 역할:

• 비즈니스 위험을 기준으로 해결 우선순위를 정합니다.
• 권장 작업을 검증합니다.
• 패치 적용과 위험 감소 작업을 조정합니다.

ID 활동을 모니터링하는 것은 무단 액세스를 탐지하고 권한 오용을 방지하는 데 매우 중요합니다.

에이전트의 역할:

• 비정상적인 로그인 및 액세스 패턴을 탐지합니다.
• 위험한 권한과 권한 상승 위험을 식별합니다.
• ID 관련 위협을 지속적으로 모니터링합니다.

ID 및 액세스 관리자의 역할:

• 고위험 액세스 이벤트를 검토합니다.
• 정책 또는 권한 변경을 승인합니다.
• 잠재적인 내부자 위협이나 계정 침해 활동을 조사합니다.

보안 팀은 진화하는 위협에 발맞추기 위해 탐지 로직을 계속 만들고 다듬어야 합니다.

에이전트의 역할:

• 탐지 로직을 작성하고 테스트합니다.
• 탐지 범위를 검증하고 누락된 부분을 찾습니다.
• 거짓 양성을 줄이기 위한 조정 개선 사항을 제안합니다.

분석가의 역할:

• 탐지 업데이트를 검토하고 승인합니다.
• 탐지를 조직의 우선순위에 맞춥니다.
• 장기적인 보안 아키텍처와 전략을 총괄합니다.

민감한 데이터를 보호하려면 지속적인 모니터링, 분류, 보안 정책 적용이 필요합니다.

에이전트의 역할:

• 데이터 손실 방지와 내부자 위험을 조사하고 우선순위를 정합니다.
• 환경 전반의 민감한 데이터 위험을 자동으로 검색하고 분석합니다.
• 정책 위반과 규정 준수 격차를 식별합니다.

데이터 보안 관리자 역할:

• 고위험 데이터 노출 이벤트를 검토합니다.
• 규정 준수 및 거버넌스 요구 사항을 판단합니다.
• 해결 및 정책 적용 결정을 총괄합니다.

사이버 보안의 에이전트형 AI는 팀이 데이터를 분석하고, 경고를 보강하고, 전체 환경에서 취약성과 위협에 대응하도록 도울 때 가장 큰 가치를 제공합니다. 이를 위해 조직은 API를 사용해 보안 에이전트를 이미 사용 중인 도구에 연결합니다. 예를 들어 SOAR, XDR(확장된 탐지 및 대응), CSPM(클라우드 보안 형상 관리), IAM(ID 및 액세스 관리), SIEM(보안 정보 및 이벤트 관리), EDR 도구, 그리고 티켓팅 솔루션이 있습니다. 이 기능을 통해 에이전트형 AI 시스템은 정보를 검색하고, 워크플로를 조정하고, 작업을 트리거하고, 시스템을 실시간으로 업데이트할 수 있습니다.

자동화는 팀의 시간을 많이 절약해 주지만, 의도하지 않은 작업을 막으려면 여전히 통제와 책임성을 유지하는 것이 중요합니다. 보안 팀은 보통 위험이 높은 결정은 분석 도구가 검토하도록 하면서, 위험이 낮은 작업에는 더 큰 자율성을 허용합니다. 어느 경우든 데이터 거버넌스와 액세스 제어를 설정해 AI가 승인된 시스템과 데이터에만 상호 작용하도록 하는 것이 중요합니다.

에이전트형 AI로 가장 큰 성과를 내는 보안 팀은 목표 달성 수준을 평가하는 측정 도구를 마련합니다. 이 도구를 통해 구현 방식을 조정하고 개선하는 데 필요한 정보를 얻을 수 있습니다.

주요 성공 메트릭은 다음과 같습니다.

보안 운영의 효과를 판단하는 데 도움이 되는 데이터는 다음과 같습니다.

• MTTD 및 MTTR.
• 자동으로 선별되거나 종료된 알림 수.
• 가양성 비율 감소.
• 인시던트를 조사하고 해결하는 데 걸린 시간.

이 메트릭은 리더십이 에이전트형 AI가 보안 팀의 업무 시간 사용 방식을 어떻게 바꾸고 있는지 파악하는 데 도움이 됩니다.

• 수동 조사와 분류 작업에서 절감한 분석 도구 시간.
• 분석 도구의 개입이 필요한 경고의 에스컬레이션 비율.
• AI 지원 워크플로를 사용하는 새 분석 도구의 온보딩 소요 시간.
• 반복적이거나 가치가 낮은 작업 감소.

리더는 다음과 같은 메트릭을 통해 보안 개선이 조직 전체에 미치는 영향도 확인할 수 있습니다.

• 보안 사고당 비용.
• 환경, ID, 엔드포인트, 클라우드 리소스 전반의 적용 범위
• 전반적인 규정 준수 상태와 감사 대응 준비도.
• 시간이 지날수록 운영 위험 노출 감소.

에이전트형 시스템은 자율성 수준이 다르기 때문에, 안전하게 배포하려면 거버넌스, 투명성, 제어가 필수입니다.

• 그림자 에이전트와 관리되지 않는 자동화. 에이전트형 시스템이 확장되면 조직은 관리되지 않거나 중복된 에이전트를 의도치 않게 만들 수 있습니다. 적절한 감독이 없으면 이러한 “섀도 에이전트”가 일관되지 않은 동작이나 승인되지 않은 작업을 일으킬 수 있습니다.
• 할루시네이션과 가양성. 다른 AI 시스템과 마찬가지로 에이전트형 AI도 잘못된 결론을 내리거나 데이터를 오해할 수 있습니다. 검증하지 않으면 불필요한 경고나 잘못된 작업으로 이어질 수 있습니다.
• 과도한 자동화와 통제력 상실. 자동화에 지나치게 의존하면 의사 결정 과정의 가시성이 낮아집니다. 그 결과 맥락을 놓치거나 부적절한 작업을 할 위험이 커집니다.
• 데이터 프라이버시와 액세스 제어. 에이전트형 AI 시스템은 민감한 보안 데이터에 접근해야 하므로, 권한, 데이터 경계, 최소 권한 액세스를 엄격하게 관리하는 것이 중요합니다.
• 모델 드리프트와 적대적 조작. 시간이 지나면 환경이 바뀌면서 모델 성능이 저하될 수 있습니다. 또한 사이버 공격자는 에이전트 동작에 영향을 주기 위해 입력이나 메트릭을 조작하려고 할 수 있습니다.

• NIST AI RMF(AI Risk Management Framework)는 거버넌스, 매핑, 측정, 관리 등 AI 수명 주기 전반의 AI 관련 위험을 관리하는 방법을 안내합니다.
• ISO/IEC 42001은 AI 관리 시스템에 대한 요구 사항을 정의하며, 책임 있는 AI 시스템의 개발과 사용에 중점을 둡니다.
• EU AI Act는 유럽 연합에서 운영되거나 영향을 미치는 AI 시스템에 대해 위험 기반 분류와 규정 준수 요구 사항을 도입합니다.
• 업종별 규정은 의료 데이터 보호를 위한 HIPAA(Health Insurance Portability and Accountability Act), 결제 보안을 위한 PCI DSS(Payment Card Industry Data Security Standard), 재무 보고 통제를 위한 SOX(Sarbanes-Oxley Act)처럼 특정 산업에 적용되는 고유한 요구 사항입니다.

보안 팀이 조직 전반에 에이전트형 AI for cybersecurity를 배포하고 확장할 때, 신중한 전략은 팀 간의 투명성, 책임성, 신뢰를 유지하면서 보안 성과를 높이는 데 도움이 됩니다.

조직은 보통 에이전트형 AI를 통제된 단계로 도입합니다. 먼저 위험이 낮은 지원용 사용 사례부터 시작한 뒤, 영향이 더 큰 작업으로 확장합니다. 보안 에이전트가 결정을 내리는 방식을 투명하게 보여 주는 것도 중요합니다.

명확하게 정의된 가드레일은 에이전트 동작을 안전하고 예상 가능한 범위로 제한하는 데 도움이 됩니다. 예기치 않은 동작의 위험을 줄이기 위해 팀은 사이버 보안용 AI 에이전트가 자율적으로 수행할 수 있는 작업을 정합니다. 또 영향이 크거나 민감한 작업에는 승인 워크플로를 만들고, 보안 에이전트가 분석가에게 에스컬레이션해야 하는 기준도 설정합니다.

역할 기반 액세스 제어(RBAC)는 에이전트가 해당 기능에 필요한 시스템, 데이터, 작업에만 접근하도록 제한해 의도하지 않은 활동의 위험을 줄입니다. 이 때문에 ID 팀은 사람에게 적용하듯 에이전트에도 최소 권한 원칙을 적용합니다.

에이전트 동작을 계속 확인할 수 있도록 보안 팀은 결정, 도구 사용, 결과를 포함한 모든 에이전트 작업을 기록하고 감사합니다. 이렇게 하면 사고를 조사하고, 규정 준수 요구 사항을 충족하고, 세부 조정이 필요한 구현 문제를 찾아낼 수 있습니다.

분석 도구가 충분한 정보를 얻고 통제할 수 있다고 느끼면 에이전트형 AI를 더 잘 받아들입니다. 조직은 에이전트 권장 사항을 명확하고 쉽게 이해할 수 있게 만들면 신뢰를 쌓을 수 있습니다. 또한 AI가 분석 도구의 의사 결정을 대체하는 것이 아니라 보완하도록 사용할 때 더 좋은 결과를 얻습니다.

SOC(보안 운영 센터), IT, 컴플라이언스 팀은 모두 에이전트형 AI를 안전하고 효과적으로, 그리고 조직의 위험 허용 범위에 맞게 배포하는 데 중요한 역할을 합니다. 여러 분야로 구성된 팀은 조직이 운영용 사용 사례를 정의하고, 통합과 인프라를 관리하고, 규제 요구 사항을 충족하는 데 도움이 됩니다.

보안 도메인 전반에서 작동하는 완전한 에이전트형 워크플로를 구축하는 일은 여러 단계로 이뤄진 과정입니다. 조직의 운영 성숙도가 높아질수록 더 강력한 거버넌스와 감독이 필요합니다.

가장 초기 단계에서는 미리 정의된 스크립트와 워크플로를 사용해 반복적인 보안 작업을 처리합니다.

성공할 시 결과:

• 경고 보강 또는 티켓 생성과 같은 일상적인 작업의 일괄된 완료.
• 복잡도가 낮은 워크플로에서 수동 작업 감소.
• 정적 규칙과 플레이북에 대한 의존.

준비 상태 지표:

• 안정적인 SIEM, SOAR, 티켓팅 통합.
• 명확하게 정의되고 반복 가능한 보안 프로세스.
• 반복적인 분석가 작업이 많음.

이 단계에서는 AI가 가시성, 요약, 의사 결정을 개선해 분석 도구를 지원하지만, 직접 작업을 수행하지는 않습니다.

성공할 시 결과:

• AI가 생성한 요약과 인사이트로 더 빠르게 조사할 수 있습니다.
• 경고 이해도와 맥락 보강이 향상됩니다.
• 분석 도구가 모든 결정과 작업에 대해 완전한 책임을 집니다.

준비 상태 지표:

• 성숙한 데이터 파이프라인과 중앙 집중식 메트릭.
• 확립된 보안 운영 프로세스.
• 더 빠른 분류와 조사 지원이 필요함.

이 단계에서는 에이전트형 AI가 정의된 가드레일 안에서 제한적인 작업을 시작하고, 사람은 위험이 더 높은 작업에 대한 승인 권한을 유지합니다.

성공할 시 결과:

• 자동 분류, 보강, 그리고 권장되는 대응 단계
• 반복적인 조사 작업에서 분석 도구의 업무 부담을 줄입니다.
• 격리 및 대응 작업은 사람이 직접 승인합니다.

준비 상태 지표:

• 자동화 시스템을 위한 강력한 ID 및 액세스 제어.
• 명확하게 정의된 에스컬레이션 및 승인 워크플로.
• 데이터 품질과 시스템 통합에 대한 확신.

가장 성숙한 단계에서는 에이전트형 AI가 여러 도메인에서 작동하며, 정해진 범위 안에서 분석가의 개입을 최소화한 채 작업을 조율합니다. 이를 통해 조직 전체에서 엔드투엔드 보안 오케스트레이션을 수행할 수 있습니다.

성공할 시 결과:

• 여러 환경에서 지속적이고 자율적인 탐지, 조사, 대응.
• 보안, IT, ID, 규정 준수 시스템 간의 크로스 도메인 조정.
• 사람은 거버넌스, 전략, 예외 처리에 집중합니다.

준비 상태 지표:

• AI와 자동화를 위한 성숙한 거버넌스 프레임워크.
• 시스템 전반에서 높은 신뢰도의 메트릭과 데이터 무결성.
• 보안, IT, 규정 준수 팀 간의 강력한 기능 간 정렬.
• 감사 가능성과 감독을 바탕으로 자동화된 의사 결정에 대한 확립된 신뢰.

에이전트형 AI는 아직 도입 초기 단계이지만, 보안 전반에서 어떻게 발전할지 보여 주는 몇 가지 분명한 추세가 나타나고 있습니다.

• 자율 레드팀 활동. AI 에이전트는 점점 더 공격자 행위를 시뮬레이션하면서 방어를 지속적으로 테스트하고, 취약점을 찾아내며, 실시간으로 보안 제어를 검증하게 됩니다.
• 에이전트 루프. 보안 운영을 위한 에이전트형 AI는 더욱 연속적이고 자기 개선적인 형태로 발전합니다. 에이전트는 결과를 인식하고, 행동하고, 학습하면서 탐지와 대응을 정교하게 다듬습니다.
• AI 간 사이버 충돌. 사이버 공격자도 AI를 도입하면서, 앞으로의 사이버 교전에서는 방어용과 공격용 에이전트형 시스템이 서로 직접 경쟁하는 상황이 벌어질 수 있습니다.
• 예측 방어. 에이전트형 시스템은 사건이 발생한 뒤 대응하는 대신, 패턴, 노출 데이터, 공격자 행위를 분석해 위협을 예측하고 사이버 공격이 일어나기 전에 차단합니다.
• 협업형 AI 에이전트. 여러 특화 에이전트가 탐지, 조사, 개선, 보고 같은 작업 전반을 조율해 더 확장 가능하고 탄력적인 보안 워크플로를 만듭니다.
• 분석가의 변화하는 역할. 분석 도구는 반복적인 조사와 대응 작업에서 벗어나 에이전트 감독, 정책 설계, 전략적 위험 관리 같은 더 높은 가치의 업무에 집중하게 됩니다.

조직은 Microsoft의 통합 AI 기반 보안 플랫폼으로 디지털 자산 전반에서 위협을 탐지, 조사, 대응할 수 있습니다. 중심에는 Microsoft Security Copilot이 있습니다. 이 자연어 기반 AI 보조 보안 솔루션은 분석가가 사고를 추론하고, 위협을 요약하고, 환경 전반의 대응 작업을 조율할 수 있도록 도와줍니다. 내장된 에이전트는 이러한 기능을 Microsoft Security 솔루션 전반으로 확장합니다.

보안 팀은 경고가 너무 많고, 수동 분류가 많으며, 조사가 분산되어 있어 부담을 느끼는 경우가 많습니다. Microsoft Defender XDR에서는 에이전트형 AI가 위험도가 높은 문제의 우선순위를 정하고, 사고를 더 빠르게 조사하며, 대응 효율성을 높여 줍니다.

• Security Alert Triage Agent는 경고의 우선순위를 정해 소음을 줄이고, 분석가가 위험도가 높은 사고에 더 빨리 집중할 수 있게 도와줍니다.
• Security Analyst Agent는 사고를 조사하고, 신호를 상호 연관 짓고, 대응 작업을 추천해 SOC 워크플로를 간소화합니다.
• Threat Hunting Agent는 환경 전반을 검색해 숨겨진 위협, 의심스러운 행위, 새로운 공격 패턴을 찾아냅니다.
• Dynamic Threat Detection Agent는 활동을 지속적으로 분석하고 탐지 로직을 조정해 변화하는 위협과 이상 징후를 찾아냅니다.
• Threat Intelligence Briefing Agent는 위협 인텔리전스를 실행 가능한 인사이트로 요약해 팀이 새롭게 떠오르는 위험보다 앞서 대응할 수 있게 합니다.

이 에이전트들은 함께 엔드포인트, ID, 이메일, 클라우드 워크로드 전반에서 수동 조사를 줄이고 사고 대응 속도를 높이는 데 도움을 줍니다.

Microsoft Sentinel에서는 Security Copilot이 분석가가 수동 조사에서 자연어 기반 프롬프트북 워크플로로 전환하도록 도와줍니다. 분석 도구는 KQL을 생성하고, 사고를 요약하고, 엔터티를 보강하고, 사용자와 디바이스를 분석하고, Logic Apps와 프롬프트북을 통해 조사 단계를 자동화할 수 있습니다.

사용자 지정 Sentinel 사고 보고 에이전트는 사고에서 조사 결과, 엔터티, 인사이트, 개선 단계를 추출할 수 있습니다. 프롬프트북은 사용자 분석도 자동화하고 결과를 사고 활동 로그에 직접 추가할 수 있습니다.

이러한 기능은 수동 쿼리 작성을 줄이고, 조사 일관성을 높이며, 반복 가능한 작업을 자동화해 분석 도구의 시간을 절약하는 데 도움이 됩니다.

Microsoft Purview에서는 Security Copilot이 데이터 보안 태세 관리, 데이터 손실 방지, 내부자 위험 관리, eDiscovery, 감사, 커뮤니케이션 규정 준수 전반에서 팀이 데이터를 보호하고 관리하도록 돕습니다.

• Data Security Triage Agent는 DLP 및 내부자 위험 경고의 우선순위를 정하고, 위험 맥락을 설명하며, 데이터 소유자와 함께 개선 워크플로를 시작할 수 있습니다.
• Data Security Posture Agent는 중요한 데이터를 찾아내고, 숨겨진 위험과 노출된 자격 증명을 식별하며, 중요도 레이블 지정 상태를 개선하고, 임원 보고용 요약을 생성합니다.

이 에이전트들은 보안 팀이 수동 분류를 줄이고, 중요한 위험의 우선순위를 더 빠르게 정하며, 데이터 보안 및 규정 준수 운영을 강화하는 데 도움을 줍니다.

Microsoft Entra에서는 Security Copilot이 팀이 위험한 사용자, 비정상 로그인, 권한 있는 액세스, ID 기반 위협을 조사하도록 돕습니다. Copilot은 ID 맥락을 요약하고, 위험 신호를 설명하며, 세션 철회, 액세스 검토, Conditional Access 정책 조정 같은 작업을 추천할 수 있습니다.

기능에는 ID 및 액세스 에이전트와 Microsoft Entra 에이전트 ID가 포함됩니다. 이를 통해 조직은 수명 주기 관리, 액세스 거버넌스, ID 보호 제어를 사용해 AI 에이전트 ID를 등록, 관리, 거버넌스할 수 있습니다.

이러한 기능은 조직이 ID 위험을 줄이고, 사람과 AI ID 모두에 Zero Trust 원칙을 적용하는 데 도움이 됩니다.

Microsoft Intune에서는 Security Copilot이 엔드포인트 및 IT 팀이 디바이스 규정 준수, 구성 드리프트, 취약성 노출, 개선 필요 사항을 이해하도록 돕습니다. Copilot은 디바이스 위험을 요약하고, 비준수 문제를 설명하고, 다음 단계를 추천하며, 팀이 더 빠르게 대응하도록 도와줍니다.

엔드포인트 관리 에이전트는 규정 준수 확인을 자동화하고, 디바이스 문제를 조사하며, 관리되는 엔드포인트 전반에서 개선 작업을 안내하는 데 도움이 됩니다.

이러한 기능은 수동 엔드포인트 조사를 줄이고, 규정 준수 운영을 개선하며, 구성 격차를 더 빠르게 해소하는 데 도움이 됩니다.

Microsoft Security Copilot과 내장된 에이전트는 함께 조직이 반응적이고 수동적인 보안 운영에서 벗어나, 보안 수명 주기 전반에서 보호, 속도, 규모를 높이는 적응형 AI 보안 방어로 전환하도록 돕습니다.