기술 요약: 사이버 보안 전문가 소형 언어 모델을 향하여

문제 정의

대규모 언어 모델(LLM)이 일반적인 애플리케이션을 혁신하고 있는 반면, 고품질의 도메인 특화 모델과 학습 데이터셋의 부족으로 인해 사이버 보안과 같은 전문 분야에서는 뒤처져 있습니다. 프런티어급 상용 모델을 보안 운영에 채택하는 것은 상당한 과제를 안겨줍니다. 엄격한 안전 가드레일은 실제 워크플로에서의 유용성을 제한하며, 컴플라이언스 요구 사항은 민감한 조직 데이터의 통합을 제한하고, 방대한 양의 보안 텔레메트리를 처리하는 비용은 매우 높습니다. 결과적으로, 프런티어 규모 모델의 오버헤드 없이 온프레미스에서 운영 가능하며, 데이터 프라이버시를 보장하고, 네트워크, 클라우드 및 애플리케이션 보안 전반에 걸쳐 깊은 기술적 추론을 제공할 수 있는 도메인 특화 소형 언어 모델(SLM)에 대한 절실한 필요성이 존재합니다.

방법론

저자들은 4B에서 20B 파라미터 범위의 사이버 보안 전문가 SLM 제품군인 CyberPal 2.0을 제안합니다. 핵심 혁신은 다단계 재구성 및 강화 프로세스를 통해 기존 SecKnowledge 데이터셋을 개선한 학습 데이터 파이프라인인 SecKnowledge 2.0에 있습니다.

SecKnowledge 2.0 파이프라인

이 파이프라인은 단순한 데이터 재구성을 넘어, 전문가 참여형 스티어링(expert-in-the-loop steering)과 LLM 기반 자동화를 통합합니다:

1. 전문가 참여형 포맷 정의: 일반적인 템플릿을 사용하는 대신, 시스템은 전문가가 특정 사이버 보안 작업을 위한 구체적인 추론 구조(포맷)를 정의하는 반자동 워크플로를 채택합니다. LLM은 작업 설명과 예시 사례를 바탕으로 후보 포맷을 생성하며, 전문가는 이를 평가하고 정제합니다. 이는 추론 과정(reasoning traces)이 전문가의 의도 및 도메인 로직과 일치하도록 보장합니다.
2. 다단계 그라운딩 및 검색: 환각 현상을 완화하고 사실적 정확성을 확보하기 위해, 파이프라인은 검색 증강 생성(RAG) 구성 요소를 포함합니다. 각 작업에 대해 시스템은 검색 쿼리를 생성하고, 관련성을 필터링하며, 벡터 데이터베이스나 웹에서 결과를 검색한 후, 외부 증거에 추론 단계를 고정하기 위해 이를 파싱합니다.
3. 적응형 추론 깊이: 학습 데이터는 복잡한 추론을 위한 긴 형태의 단계별 사고 체인(Chain-of-Thought, CoT) 예시와 가벼운 작업을 위한 간결하고 빠른 응답 지침을 모두 포함하도록 큐레이션되었습니다. 이러한 혼합 방식은 모델이 작업 난이도에 따라 추론 노력을 조절하도록 학습시킵니다.

학습 전략

모델은 Qwen3 베이스 모델(4B, 8B, 14B)과 gpt-oss-20b를 시작점으로 사용하여 미세 조정됩니다. 특히, 저자들은 (사후 학습 또는 정렬되지 않은) 베이스 모델로부터 초기화하는 것이 사후 학습된 대응 모델보다 특히 추론 중심 벤치마크에서 훨씬 더 나은 성능을 보였다는 점을 발견했습니다. 학습에는 학습률 $4 \times 10^{-5}$, 컨텍스트 길이 8192, 배치 크기 3072를 적용하여 2 에포크(epoch) 동안 진행되었습니다.

주요 기여

1. SecKnowledge 2.0 파이프라인: 스키마 기반의 전문가 정의 추론 포맷과 다중 소스 문서 그라운딩을 결리한 새로운 데이터 강화 파이프라인입니다. 이 접근 방식은 표준 재구성 방식보다 더 높은 충실도와 작업에 밀착된 추론 흔적을 생성합니다.
2. CyberPal 2.0 모델 제품군: 탐지, 조사, 위협 헌팅 및 데이터 분류를 처리할 수 있도록 특화된 오픈 소스 SLM 제품군(4B–20B 파라미터)입니다.
3. 포괄적 평가: 거버넌스, 위협 인텔리전스, 침해 사고 대응 및 보안 코드 생성을 다루는 엄격한 벤치마크 세트를 통해 모델을 평가하였으며, 여기에는 프런티어 모델(예: GPT-4o, o1, o3-mini, Sec-Gemini v1)과의 비교가 포함됩니다.

결과

평가 결과, Cyber-Pal 2.0 모델은 베이스라인을 지속적으로 능가하며 프런티어급 모델들과 대등하거나 그 이상의 성능을 보여주었습니다:

• 베이스라인 성능: 다양한 벤치마크 전반에서 CyberPal 2.0 모델은 각각의 베이스 모델 대비 평균 **714%**의 성능 향상을 달了했습니다. CTIBench-RCM(근본 원인 매핑)과 같은 특정 작업에서는 **1631%**의 향상을 기록했습니다.
• 프런티어 모델 비교:
  • 근본 원인 매핑 (RCM): 20B 파라미터 모델이 1위를 차지하며 Sec-Gemini v1, o1, o3-mini, GPT-4o를 능가했습니다. 4B 모델은 2위를 기록했습니다.
  • 사이버 위협 인텔리전스 (CTI) 지식: 모델들은 Sec-Gemini v1에 이어 2위를 차지했으며, o1을 포함한 테스트된 거의 모든 다른 프런티어 모델들을 능가했습니다.
  • 효율성: 프런티어 모델의 극히 일부 크기임에도 불구하고, 20B 모델은 그들의 성능과 일치하거나 초과하였으며, 4B 모델은 Mistral Large 및 DeepSeek-v3와 같은 훨씬 더 큰 모델보다 우수한 성능을 보였습니다.
• 실제 사용 사례: 위협 보고서를 MITRE ATT&CK 기법에 매핑하거나 특정 배포 제약 조건 하에서 CVE 심각도 점수를 재평가하는 것과 같은 적용된 워크플로에서, 모델들은 베이스라인 대비 일관된 개선(예: 4B 모델의 위협-TTP 매핑 정확도 +8.75%)을 보여주었습니다.
• 보안 코드 생성: 보안 추론에 특화되었음에도 불구하고, 모델은 견고한 보안 코드 생성 능력을 유지하였으며, 패스 레이트(pass rate)가 지시 튜닝된 베이스라인과 유사하게 유지되어 전문화가 코드 안전성을 저해하지 않음을 입증했습니다.

의의 및 주장

본 논문은 CyberPal 2.0이 프런티어급 비용 없이도 보안 운영을 위한 프런티어 수준의 역량을 제공할 수 있는 컴팩트한 도메인 특화 SLM이 가능하다는 것을 입증한다고 주장합니다. 전문가 정의 추론 구조와 증거 그라운딩의 결합인 SecKnowledge 2.0 파이프라인을 활용함으로써, 저자들은 단순히 모델 크기를 키우는 것보다 고품질의 전문화된 데이터가 더 영향력이 크다는 것을 보여주었습니다.

이 연구는 기업 보안의 실질적인 제약 사항을 해결하며, 다음과 같은 모델을 제공합니다:

• 온프레미스 배포 가능: 프라이버시 및 데이터 레지던시 의무 준수.
• 비용 효율적: 방대한 보안 데이터 볼륨을 효율적으로 처리.
• 실행 가능: 위협 조사 및 대응을 위해 증거에 기반한 방어 가능한 결론 제공.

저자들은 자신들의 접근 방식이 단순한 파라미터 수가 아닌 데이터 품질과 도메인 특화 정렬을 우선시하며, 기업이 방어적 보안 운영을 위해 고급 AI를 채택할 수 있는 실행 가능한 경로를 제공한다고 강조합니다. 모델, 파이프라인 및 벤치마크는 재현성과 실질적인 도입을 촉진하기 위해 오픈 소스로 공개되었습니다.