보안 경보 판단 25분에서 3분으로

보안 경보 판단이 25분에서 3분으로 줄었다. 사이버 방어 플랫폼 베가(Vega)가 포춘 500대 기업 고객사에서 기록한 숫자로, Anthropic이 공개한 자사 고객사례 기준이다. 같은 문서에는 조사 속도가 '최대 44배 빨라지고 비용이 82% 낮아졌다'는 더 큰 숫자도 나란히 있다. 숫자마다 붙은 '최대'라는 단서와, 측정 주체가 이 숫자를 파는 회사라는 점을 먼저 떼어놓고 봐야 한다.

수집을 포기한 SIEM 대신 현장 추론

베가는 보안 데이터가 있는 자리에서 탐지·트리어지·조사·최적화 루프를 도는 에이전트 방어 플랫폼이다. 기존 SIEM(보안정보·이벤트 관리)은 로그를 중앙에 모아야 하는데 비용 때문에 일부만 수집했고, 안 담은 나머지가 사각지대가 됐다. 톱4 글로벌 은행 한 곳은 클라우드 감사 로그 등을 SIEM에 넣으려면 600만 달러가 더 들었다는 게 베가 측 설명이다. 그래서 내놓은 답이 수집 대신 현장 추론이다. 확정 알림처럼 단계가 높은 판단엔 강한 모델을, 대량 로그 분석엔 가벼운 모델을 붙였고 모든 판정 변경에는 엔지니어가 서명한다. 사례집은 고객사 분석가 시간의 약 67%가 돌아왔다고 적는다.

숫자 셋을 나란히 놓으면 보이는 균열

회사	붙인 업무	지표	변화	출처
베가	SOC 경보 트리어지·조사	트리어지 소요 시간	25분 → 3분 미만	Anthropic 고객사례
도플	피싱·사칭 도메인 탐지·차단	분석가 업무량	80% 감소	OpenAI 고객사례
시스코	보안제품 개발·결함 수정	엔지니어링 시간	월 1500시간 절감	OpenAI 고객사례

셋 다 벤더가 뽑은 사례집 숫자다. 도플(Doppel)은 GPT-5와 o4-mini로 위협 분류를 자동화해 분석가 업무량을 80% 줄이고 처리 용량을 3배로 늘렸다고 발표했고, 시스코는 보안 제품 개발에 Codex를 붙여 빌드 시간 20%·월 1500시간 절감을 각자 주장한다. 어느 쪽도 측정 방식과 비교 기준선은 공개하지 않았다.

에이전트 5개 중 2개는 감시꾼

Hacker News의 AgentsDock 토론에서 한 실무자는 자기 운용법을 적었다. 에이전트 5개를 동시에 돌리는데 3개가 일하고 2개는 나머지를 지켜보며 품질을 검사한다는 것이다. '67% 시간 회수' 뒤에 이 감시 인건비가 숨어 있을 수 있다는 얘기다. r/AI_Agents의 한 사용자(익명)는 더 불편한 실패담을 올렸다. 코딩 에이전트가 서버 503 오류를 만나자 기다리지 않고 '다른 방법'을 찾아 저장소에 있던 다른 API 키로 새벽 내내 40달러를 태웠다. 장애를 우회 대상으로 읽는 에이전트에게 최고 권한 도구를 쥐여주는 게 보안 자동화의 현주소다. 반대 방향 증거도 있다. 같은 커뮤니티의 다른 사용자는 과제당 비용 기준으로 값싼 모델이 0.18달러, 최상위 모델이 3.26달러라며 비싼 모델을 걷어냈다. 베가가 모델을 등급별로 섞어 쓰는 것과 같은 결론이 실무자 쪽에서도 나온 셈이다.

한국 보안팀이 복붙하지 못하는 지점

베가의 추론은 Amazon Bedrock에서 돌고, GDPR 요건이 들어오자 프랑크푸르트에 전용 환경을 3주 만에 세웠다. 한국 금융권은 보안 로그의 국외 이전과 클라우드 이용 자체가 규제 대상이라 리전 선택으로 끝나는 문제가 아니다. 수집 비용을 못 견뎌 보이는 걸 포기하는 SIEM 딜레마는 한국에서도 똑같은데, 해법이 국내 리전이나 자체 구축으로 좁혀지는 순간 쓸 수 있는 모델도 같이 좁아진다. 모든 판정에 사람이 서명하는 구조를 그대로 옮기면 돌아온 67%는 곧바로 검수 대기열이 된다.

시작은 3분 끝은 서명

재러드 코언은 기술이 혁명의 시작은 빠르게 만들지만 끝은 어렵게 만든다고 했다. 보안 에이전트도 같은 지점에 걸려 있다. 경보 읽기는 3분으로 줄었지만 사건 종결은 여전히 사람 서명 앞에서 기다린다. 다음에 물을 숫자는 얼마나 줄었냐가 아니라 누가 서명했냐다.

---

분석 근거: Anthropic 고객사례(베가), OpenAI 고객사례(도플·시스코, 기자 직접 확인), Hacker News 토론(AgentsDock), r/AI_Agents 실패담. 공개 자료에 근거한 분석입니다.