챗봇 하나 붙여놓고 'AI SOC'라 부른다 — 진짜 자율형과 겉핥기를 가르는 6가지 능력 점검표

이미지 출처: The Hacker News

몇 년 전만 해도 보안 제품 소개서에 'AI 기반'이라는 문구가 붙으면 그 자체로 눈길이 갔음. 그런데 2026년 지금은 사정이 정반대가 됐음. SOC(보안관제) 도구치고 'AI'를 안 붙인 제품을 찾는 게 더 어려울 지경임. 문제는 그 'AI'라는 말의 무게가 제품마다 천차만별이라는 것임. 어떤 건 관제사가 하던 조사·판단을 실제로 대신 굴리는 자율형이고, 어떤 건 기존 대시보드 옆에 요약 챗봇 하나 얹어놓고 이름만 바꿔 단 수준임. 후자를 흔히 'bolt-on(볼트로 갖다 붙인)' AI라고 부름.

핵심 요약

• 2026년엔 거의 모든 관제 도구가 'AI'를 표방하지만, 실제로는 요약 챗봇을 얹은 겉핥기(bolt-on)와 조사·판단까지 대신하는 자율형이 뒤섞여 있음.
• 진짜와 흉내를 가르는 핵심은 데이터 접근 범위·자율 조사 능력·판단 근거의 투명성·학습 지속성·기존 도구 연동·측정 가능한 성과 6가지임.
• 도입 전 데모에서 '왜 그렇게 판단했는지'를 끝까지 캐물어 보면 겉핥기 제품은 금방 밑천이 드러남.

방어자 입장에서 이 구분이 중요한 이유는 단순함. 겉핥기 AI는 알림 더미를 예쁘게 요약해줄 뿐, 관제사의 손을 실제로 덜어주지 못함. 오히려 '요약을 검토하는' 새 업무만 하나 늘어남. 반면 제대로 된 AI SOC는 1차 분류부터 조사, 근거 정리까지 사람이 하던 반복 노동을 걷어내는 걸 목표로 함. 아래 6가지는 데모나 PoC(개념검증) 단계에서 두 부류를 갈라내는 기준으로 써먹기 좋음.

1. 데이터에 얼마나 깊이 닿는가

겉핥기 AI는 대개 이미 화면에 떠 있는 알림 텍스트만 읽고 요약함. 로그 원본, EDR 텔레메트리, 신원 정보, 클라우드 감사기록까지 직접 파고들지 못함. 진짜 자율형은 알림 하나가 뜨면 관련 원시 데이터를 스스로 끌어와 앞뒤 맥락을 붙임. 점검 질문: "이 판단을 위해 어떤 데이터 소스를 직접 조회했느냐"고 물었을 때 구체적 소스 목록이 나오는지 보면 됨.

2. 조사를 스스로 끝까지 굴리는가

핵심 중의 핵심임. 사람 관제사는 알림을 받으면 "이 IP가 평소에도 접속했나", "같은 계정이 다른 곳에서도 이상행동을 했나"를 연쇄적으로 파고듦. 겉핥기 AI는 이 연쇄 추적을 못 하고 첫 알림 요약에서 멈춤. 자율형은 가설을 세우고 그걸 뒷받침하거나 반증할 증거를 스스로 찾아 나감. 조사의 '다음 단계'를 사람이 매번 지시해야 한다면 아직 갈 길이 먼 제품임.

3. 판단 근거가 투명한가

이건 신뢰의 문제이자 감사(audit)의 문제임. "이 알림은 오탐입니다"라는 결론만 툭 던지는 도구는 위험함. 관제사가 그 결론을 검증할 수도, 규제 대응 때 근거를 댈 수도 없기 때문임. 좋은 AI SOC는 어떤 데이터를 보고 어떤 추론을 거쳐 그 결론에 이르렀는지를 사람이 따라 읽을 수 있게 펼쳐 보여줌. 개인적으로는 이 '설명 가능성'을 가장 먼저 확인하라고 추천함. 블랙박스 판단은 결국 신뢰받지 못해 방치되기 때문임.

4. 우리 환경에 맞춰 계속 배우는가

조직마다 '정상'의 모양이 다름. 심야에 대량 데이터를 옮기는 게 어떤 회사엔 침해 신호지만 어떤 회사엔 그냥 정기 배치 작업임. 겉핥기 AI는 이런 조직별 맥락을 학습하지 못해 오탐을 양산함. 자율형은 관제사의 피드백('이건 정상이다')을 반영해 판단을 다듬어 나감. 시간이 지날수록 오탐이 줄어드는지를 보면 진짜 학습이 도는지 알 수 있음.

5. 이미 쓰는 도구들과 매끄럽게 엮이는가

SOC는 SIEM, EDR, SOAR, 티켓 시스템이 얽힌 복잡한 생태계임. AI가 이것들 바깥에 따로 놀면 결국 '창 하나 더'에 그침. 제대로 된 제품은 기존 파이프라인 안으로 들어와 알림을 받고, 조사 결과를 티켓에 자동으로 남기고, 필요하면 대응 작업까지 연계함. 도입 비용을 따질 때 이 연동 범위를 반드시 확인해야 함.

6. 성과가 숫자로 잡히는가

마지막은 냉정한 검증임. 도입 전후로 평균 대응 시간(MTTR)이 줄었는지, 관제사 1인이 처리하는 알림 양이 늘었는지, 놓친 진짜 위협(미탐)이 줄었는지를 수치로 확인해야 함. '체감상 편해졌다'는 말은 근거가 못 됨. 벤더가 성과 지표를 측정할 방법을 함께 제시하지 못한다면, 그 제품의 AI는 마케팅 용어일 가능성이 높음.

정리하며

결국 진짜와 흉내를 가르는 건 '얼마나 똑똑해 보이느냐'가 아니라 '관제사의 반복 노동을 실제로 얼마나 덜어주느냐'임. 데모를 볼 땐 화려한 요약 화면에 홀리지 말고, 위에서 말한 6가지를 하나씩 캐물어 보길 권함. 특히 "왜 그렇게 판단했는지"를 두세 번만 더 파고들면 겉핥기 제품은 금방 말문이 막힘. 혹시 SOC 도구 도입이나 PoC를 앞두고 있다면, 이 점검표를 그대로 체크리스트 삼아 써보고 어떤 항목에서 걸렸는지 댓글로 공유해줬으면 함. 같이 기준을 다듬어 가보아요.