[기술 요약] CyberCane: 정형 온톨로지 추론을 결합한 개인정보 보호형 피싱 탐지 시스템

1. 문제 정의 (Problem Statement)

의료, 금융 등 **개인정보 보호가 필수적인 도메인(Privacy-critical domains)**에서는 기존 피싱 탐지 시스템이 다음과 같은 상충하는 요구사항을 동시에 충족하지 못하는 한계가 있습니다.

• 오탐(False Positive) 최소화: 의료 현장과 같이 실시간성이 중요한 곳에서 오탐은 중요한 환자 통신을 차단하여 치명적인 결과를 초래할 수 있습니다.
• 설명 가능성(Explainability): 보안 전문가가 아닌 일반 직원이나 IT 운영자가 왜 이 메일이 피싱인지 이해할 수 있는 투명한 근거가 필요합니다.
• 규제 준수(Privacy Compliance): HIPAA와 같은 규정으로 인해 이메일 본문(민감 정보 포함)을 외부 LLM API로 그대로 전송하는 것이 금지됩니다.
• AI 생성 공격에 대한 취약성: 생성형 AI를 이용해 정교하게 만들어진 피싱 메일은 기존의 규칙 기반(Rule-based) 시스템을 쉽게 우회합니다.

2. 제안 방법론 (Methodology: Neuro-Symbolic RAG)

CyberCane은 결정론적 **기호적 분석(Symbolic Analysis)**과 확률적 **신경망 기반 RAG(Retrieval-Augmented Generation)**를 결합한 뉴로-심볼릭(Neuro-symbolic) 이중 단계 파이프라인을 제안합니다.

Phase 1: 결정론적 기호적 분석 (Deterministic Symbolic Analysis)

• 작동 방식: 이메일 메타데이터(DNS, SPF/DMARC 인증 여부, 도메인 불일치, URL 패턴, 긴급성 키워드 등)를 기반으로 가벼운 규칙을 적용합니다.
• PhishOnt 온톨로지: OWL(Web Ontology Language) 기반의 온톨로지를 사용하여 탐지된 지표들을 정형 논리로 연결합니다. 이를 통해 단순한 점수 계산을 넘어 "자격 증명 탈취(Credential Theft)"와 같은 **검증 가능한 공격 유형과 추론 체인(Reasoning Chain)**을 생성합니다.

Phase 2: 개인정보 보호형 RAG (Privacy-Preserving RAG)

• 데이터 마스킹(Redaction): Phase 1에서 경계선에 있는 메일들을 처리할 때, 외부 API로 전송하기 전 이메일 내의 개인정보(이름, SSN, 카드번호 등)를 정규표현식으로 자동 마스킹합니다.
• RAG 기반 분류: 마스킹된 텍스트를 임베딩하여 **피싱 전용 코퍼스(Phishing-only corpus)**에서 유사한 사례를 검색(HNSW 알고리즘 사용)합니다.
• LLM 추론: 검색된 사례와 Phase 1의 온톨로지 추론 결과를 LLM(GPT-4o-mini)에 전달하여, 단순 패턴 매칭이 아닌 문맥적 근거를 포함한 다층적 설명을 생성합니다.

3. 주요 기여 (Key Contributions)

1. 뉴로-심볼릭 아키텍처: 규칙 기반의 정확성과 LLM의 문맥 이해력을 결합하여, 규칙을 우회하는 AI 생성 피싱 공격을 효과적으로 탐지합니다.
2. PhishOnt 온톨로지: 블랙박스 형태의 LLM 결과가 아닌, 정형 논리에 기반한 검증 가능한 공격 분류 체계를 제공합니다.
3. 개인정보 보호 설계(Privacy-by-Design): 민감 정보 마스킹과 피싱 전용 검색 코퍼스 활용을 통해 규제 준수와 탐지 성능을 동시에 잡았습니다.
4. 운영 유연성: 조직의 위험 허용도에 따라 정밀도(Precision)와 재현율(Recall)을 조절할 수 있는 다양한 운영 모드(Conservative, Balanced, Aggressive)를 제공합니다.

4. 실험 결과 (Results)

DataPhish 2025 및 Nazario/SpamAssassin 데이터셋을 통해 검증한 결과는 다음과 같습니다.

• 탐지 성능: AI가 생성한 위협에 대해 기존 기호적 탐지 방식보다 재현율(Recall)을 78.6%p 향상시켰으며, 정밀도(Precision)는 98% 이상, **오탐율(FPR)은 0.16%**라는 매우 낮은 수준을 기록했습니다.
• 강력한 복구 능력: Phase 1(규칙 기반)을 완전히 우회한 공격의 99.0%를 Phase 2(RAG)가 성공적으로 탐지했습니다.
• 설명력 검증: 온톨로지 정보를 결합했을 때, LLM이 생성한 설명의 근거가 실제 지표와 일치하는 비율(Groundedness)이 100%에 달했습니다.
• 경제적 가치: 의료 분야 도입 시, 사고 예방 비용 대비 운영 비용을 고려했을 때 **약 542배의 투자 대비 수익(ROI)**이 기대됨을 입증했습니다.

5. 의의 (Significance)

CyberCane은 단순히 "피싱을 잘 잡는 모델"을 넘어, **"규제가 엄격한 산업 현장에서 실제로 사용할 수 있는 보안 시스템"**의 모델을 제시했습니다. 특히, AI가 만든 정교한 피싱 공격에 대응하면서도, 개인정보 유출 위험을 원천 차단하고, 보안 요원에게 논리적인 근거를 제공한다는 점에서 차세대 보안 프레임워크로서 높은 가치를 지닙니다.