kt클라우드가 보안관제에 AI를 넣었더니, 분석 8단계가 2단계로 줄었다

AI 때문에 생긴 보안 문제를 AI로 줄이겠다는 얘기

• kt클라우드가 CISO코리아 2026에서 AI 기반 보안관제 사례를 공유함

  • 발표 주제는 AI 기반 보안관제의 자동화된 탐지·분석 체계와 운영효율화였음
  • 강영익 kt클라우드 CISO가 실제 이상징후 분석 사례를 중심으로 설명함

• 출발점은 기업 내부 AI 사용이 너무 빠르게 퍼지고 있다는 점임

  • 비개발자도 AI로 코드를 짜고 프로그램을 만드는 바이브 코딩이 늘고 있음
  • IT 부서 통제를 벗어난 섀도우 IT도 같이 확산되는 중임
  • 업무 내용이 외부 서버에 무단 노출되는 식의 보안 사각지대가 커진다는 게 문제임

• 공격자도 AI를 쓰기 때문에 방어자가 대응할 시간이 줄어든다는 지적도 나옴

  • 공격 자동화와 코드 생성이 쉬워지면 보안팀이 분석하고 대응할 수 있는 시간이 짧아짐
  • 반대로 내부 보안관제는 수많은 인프라에서 쏟아지는 로그를 사람이 계속 봐야 하는 구조였음

kt클라우드의 방향은 자율과 통제의 분리

• kt클라우드는 자율과 통제의 균형을 보안 철학으로 잡았다고 설명함

  • 임직원의 생산성, 편의성, 유연성은 자율 영역으로 열어둠
  • 핵심 서비스, 서버, 네트워크 같은 영역은 강하게 통제하는 구조임

• 바이브 코딩은 AI 플레이그라운드라는 가두리 환경으로 유도함

  • 임직원이 안전하게 AI 기반 개발을 할 수 있도록 통제된 환경을 제공한다는 의미임
  • 여기에 7단계 개발 프로세스 가이드를 붙여 보안 위험 요소를 사전에 통제 영역 안으로 끌어들였다고 설명함

• 관제 쪽에서는 로그 분석 흐름을 크게 줄였음

  • 분산된 대량 로그를 단일 허브로 통합함
  • 이상징후 검증 시나리오에 로컬 LLM과 상용 LLM을 도입함
  • 그 결과 복잡한 분석과 반복 조회 절차가 기존 8단계에서 2단계로 줄었다고 밝힘

AI가 선임 관제 분석가 역할을 일부 떠안음

• kt클라우드는 AI가 상시 선임 관제 분석 인력처럼 동작한다고 봄

  • 경험이 낮은 초급 인력도 중급 이상 수준의 분석 품질을 유지할 수 있었다는 설명임
  • 보안관제에서 자주 문제가 되는 숙련도 편차를 줄였다는 점이 꽤 실무적임

• 자연어 기반 시나리오 검증도 중요한 포인트임

  • 별도 자동화 개발을 매번 하지 않아도 자연어로 빠르게 검증·운영할 수 있게 됐다고 설명함
  • 보안팀이 반복 조회와 분석 절차에 묶이는 시간을 줄이는 효과를 노린 셈임

DDoS 방어에도 머신러닝을 붙임

• kt클라우드는 DDoS 방어 체계에 머신러닝 기반 모델을 적용함

  • 반복 학습을 통해 AI 정탐률을 계속 높였다고 설명함
  • 기존 방식과 비교한 검증에서 미탐 0건을 달성했다고 밝힘

• 오탐 감소는 운영 효율과 직결됨

  • 분석 대상 오탐이 98.6% 줄었다면, 관제 인력이 쓸데없는 경보를 확인하는 시간이 크게 줄어듦
  • 보안관제에서 경보 피로감은 실제 대응 지연으로 이어지기 때문에 이 수치는 꽤 중요함

• 결론은 AI를 통제 밖 위험으로만 보지 말고, 통제 가능한 보안 운영 도구로 넣자는 쪽임

  • 강 CISO는 통제로 혁신을 억누르는 게 아니라 완벽한 통제 아래 자율을 꽃피우는 것이 진짜 보안이라고 설명함
  • 말은 좀 멋있게 포장됐지만, 실무적으로는 AI 사용을 막기보다 안전한 운영 경계 안에 넣자는 얘기임

---

기술 맥락

• kt클라우드가 선택한 건 AI 사용을 금지하는 방식이 아니라 통제된 환경으로 흡수하는 방식이에요. 바이브 코딩이나 섀도우 IT는 이미 현장에서 생기고 있으니, 보안팀이 모르는 곳에서 쓰게 두기보다 AI 플레이그라운드 안에서 쓰게 만드는 게 더 현실적이거든요.

• 보안관제에 LLM을 붙인 이유는 로그 양과 분석 절차가 사람 손으로 감당하기 어려워졌기 때문이에요. 기존에는 여러 시스템을 오가며 조회하고 검증해야 했던 절차가 있었고, kt클라우드는 이를 단일 허브와 자연어 기반 시나리오 검증으로 8단계에서 2단계까지 줄였다고 설명해요.

• 로컬 LLM과 상용 LLM을 함께 언급한 점도 중요해요. 보안 로그에는 민감한 정보가 섞일 수 있어서 모든 분석을 외부 모델에 보내기 어렵거든요. 내부에서 처리해야 할 데이터와 외부 모델을 써도 되는 작업을 나누는 접근이 현실적인 선택이에요.

• DDoS 탐지에서 머신러닝을 쓴 건 반복 패턴을 계속 학습해 오탐을 줄이려는 목적이에요. 보안관제에서는 미탐도 위험하지만 오탐이 너무 많아도 사람이 지쳐서 진짜 공격을 놓칠 수 있어요. 그래서 미탐 0건과 오탐 98.6% 감소라는 수치가 운영 관점에서 꽤 크게 읽혀요.