기술 요약: CyberAId – 금융 서비스 제공자를 위한 AI 기반 사이버 보안

1. 문제 제기

100 조 유로 이상의 자산을 관리하는 유럽 금융 부문은 보안 운영 센터 (SOC) 에서 '추론 병목 현상'에 직면해 있습니다. 높은 데이터 수집량에도 불구하고, 기업용 SIEM 은 MITRE ATT&CK 기법의 약 21% 만 탐지하며, SOC 팀의 약 3 분의 2 는 경고량에 대응하지 못합니다. 결과적으로 대부분의 침해 사고는 생성되었으나 조사되지 않은 경고에 의해 선행됩니다.

최첨단 대규모 언어 모델 (LLM) 은 고립된 사이버 보안 작업 (예: 1 일 취약점 악용, 침입 탐지) 에서 최첨단 성능을 입증했지만, 이러한 '좁은 승리'만으로는 실행 가능한 SOC 플랫폼을 구성하지 못합니다. 단일 LLM 은 기능 간 구성, 멀티 테넌트 상태 유지, 복잡한 규제 체계 (DORA, NIS2, EU AI 법) 에 대한 발견 사항 매핑, 또는 적대적 프로빙 생존을 수행할 수 없습니다. furthermore, 기존 문헌에는 금융 사이버 보안 준수 및 기관 간 연합 방어를 위한 LLM 에이전트의 구체적인 적용 사례가 부족합니다.

2. 방법론 및 아키텍처

CyberAId 는 금융 기관 내 온프레미스로 운영되도록 설계된 하이브리드 멀티 에이전트 시스템을 제안합니다. 기존 보안 도구를 대체하는 대신, 이 시스템은 전문화된 LLM 서브에이전트를 사용하여 기존 SIEM/XDR 텔레메트리에 대한 추론을 수행합니다. 아키텍처는 다음 네 가지 검증 가능한 설계 원칙에 기반합니다:

• P1. 하이브리드 그라우딩: 에이전트는 기존 SIEM/XDR 텔레메트리를 기반으로 추론합니다. LLM 레이어는 교차 영역 종합, 규제 매핑, 자연어 상호작용을 처리하는 반면, 기존 도구는 고처리량 수집 및 결정론적 탐지를 제공합니다. 출력은 탐지 규칙 및 SOAR 플레이북으로 SIEM 에 다시 유입됩니다.
• P2. 전문화 및 구성: 전문 지식은 고유한 시스템 지시사항, 지식 파티션, 도구 세트를 가진 전문 서브에이전트 간에 분할됩니다. **메인 에이전트/중앙 라우터 에이전트 (CRA)**가 이러한 전문가들을 조정하여 발견 사항을 집계하고 충돌을 해결합니다.
• P3. 연합 지식: 기관들은 원시 고객 데이터가 아닌 축적된 에이전트 지식 (플레이북, 기술, 행동 기준) 을 공유합니다. 이는 안전한 다자간 계산 및 차동 프라이버시를 활용하여 소규모 기관이 대규모 참여자로부터 탐지 역량을 계승할 수 있도록 합니다.
• P4. 아키텍처 신뢰: 신뢰는 계층적 인간 개입 (HITL) 게이트를 통한 제한된 자율성, 보안 컨텍스트 객체로 범위 설정된 파티션된 검색 증강 생성 (RAG), 그리고 부가 전용 감사 로그를 통해 설계됩니다. 이는 EU AI 법 제 14 조 및 DORA 보고 타임라인과 부합합니다.

플랫폼 구성 요소

플랫폼은 공유 런타임 (예: LangGraph) 내에서 운영되며 다음을 포함합니다:

• 메인 에이전트/CRA: 사고 분류 및 배신 계층으로 작용하며, 사고 심각도 평가를 수행하고 사고 추론 연쇄 (chain-of-thought) 출처와 함께 권장 사항을 종합합니다.
• 보고 기능: CRA 를 경유하지 않고 규정 준수 보고 (예: DORA 4 시간 통지) 를 위한 직접적이고 저지연 쿼리 경로를 제공합니다.
• 전문 서브에이전트:
  • 위협 인텔리전스 에이전트 (TIA): 관찰 결과를 MITRE ATT&CK 에 매핑하고 캠페인을 상관관계 분석합니다.
  • 취약점 평가 에이전트 (VAA): 비즈니스 영향도에 기반하여 조치 우선순위를 지정합니다.
  • 규정 준수 검증 에이전트 (CVA): 규정 (DORA, NIS2, GDPR 등) 에 대한 실시간 인식을 유지하고 감사 준비 증거를 생성합니다.
  • 행동 분석 에이전트 (BAA): 커널 수준 텔레메트리를 사용하여 내부자 위협 및 편차를 탐지합니다.
  • 사고 대응 에이전트 (IRA): 격리 플레이북을 생성하고 격리를 조정합니다.
  • 포렌식 분석 에이전트 (FAA): 법적 증거력을 위한 사건 타임라인을 재구성합니다.
  • DevSecOps 및 코드 분석 에이전트 (DCA): CI/CD 파이프라인에서 안전한 코딩 정책을 시행합니다.

보완 기술

이 시스템은 모델에 구애받지 않으며 다음과 통합됩니다:

• 파티션된 RAG: 운영 텔레메트리, CTI 피드, 규제 코퍼스를 포괄하는 보안 컨텍스트로 범위 설정된 벡터 저장소를 쿼리합니다.
• 디지털 트윈: 안전한 환경에서 자율적 적대적 검증 (레드 팀링) 을 위한 선택적 기능입니다.
• eBPF 텔레메트리: 엔드포인트 (ATM, POS) 의 행동 탐지를 위한 저오버헤드 커널 수준 가시성입니다.
• 양자 토큰 인증: 위조 불가능한 토큰을 사용하는 고가치 거래 흐름을 위한 통합입니다.
• 기술 기반 적응: 에이전트는 업데이트 및 정제가 가능한 구성 가능한 버전 관리 '기술' (프롬프트 템플릿, 도구 바인딩, 규제 매핑) 을 로드합니다.

3. 주요 기여

본 논문은 네 가지 주요 기여를 제시합니다:

1. 포지셔닝: 고립된 LLM 성공과 운영 SOC 요구 사항 간의 격차를 해소하기 위해 금융 부문을 위한 하이브리드 LLM 에이전트/SIEM-XDR 사이버 보안에 대한 입장 제시.
2. 아키텍처: 제한된 자율성 하에 운영되는 메인 에이전트/CRA, 보고 기능, 전문 서브에이전트를 특징으로 하는 상세한 멀티 에이전트 런타임 아키텍처.
3. 방법론 스택: 파티션된 RAG, 연합 기관 간 지식 공유, 그리고 선택적 기능 팩 (디지털 트윈, eBPF, 양자 인증) 의 조합.
4. 검증 프레임워크: 플랫폼을 종단 간으로 실행하도록 설계된 네 가지 대표적인 금융 사용 사례.

4. 검증 사용 사례

본 논문은 서로 다른 에이전트 하위 집합 및 규정 후크를 활용하는 네 가지 구체적인 검증 사용 사례를 개요로 제시합니다:

• UC-1: 계층적 고객 사칭 탐지 (프라이빗 뱅킹): 주문 이메일의 언어적 편차 및 구조적 이상을 탐지하기 위해 LLM 기반 콘텐츠 분석을 사용합니다. 연합 학습 및 선택적 양자 토큰 2FA 를 통합합니다.
• UC-2: 결제 서비스 제공자를 위한 자금 세탁 방지 (AML): 구조화 및 계층화를 탐지하기 위해 동적 거래 그래프를 구축합니다. 의심스러운 흐름의 안전한 재생을 위해 디지털 트윈을 사용하며 4AML 에 부합하는 보고서를 생성합니다.
• UC-3: 멀티 채널 이상 탐지 (리테일 뱅킹): 커널 수준 신호를 위한 eBPF 강화 텔레메트리를 소비합니다. 파이프라인 사고 분류를 수행하고 4 시간 DORA 창 내에서 사전 승인된 플레이북을 실행합니다.
• UC-4: 사이버 복원력 있는 고빈도 거래 (HFT): 알고리즘 저장소 및 시장 데이터 피드를 모니터링하여 편차 및 무단 접근을 감시합니다. 거래 경로를 결정론적으로 유지하면서 모니터링 경로에서 저지연 에이전트 추론을 우선시합니다.

5. 중요성 및 주장

본 논문은 금융 사이버 보안의 올바른 구성 단위가 더 똑똑한 단일 모델이 아니라 하이브리드 멀티 에이전트 시스템이라고 주장합니다. 그 중요성은 다음과 같습니다:

• 규정 준수 부합: 감사 가능성, 인간 감독, 보고 타임라인과 관련하여 특히 DORA, NIS2, EU AI 법을 명시적으로 고려하여 설계합니다.
• 집단 방어: 데이터 프라이버시를 훼손하지 않고 연합 지식 공유를 통해 지속적으로 정제된 집단 방어에 기관들이 기여하는 메커니즘을 제안합니다.
• 연구 방향: 기술 기반 에이전트 적응을 중요한 연구 최전선으로 식별합니다. 본 논문은 에이전트 역량을 구성 가능하고 서명된 버전 관리 '기술'로 취급함으로써 충돌 해결, 출처 추적, 연합 학습 루프를 통한 지속적인 정제가 가능하다고 주장합니다.

저자들은 CyberAId 가 AI 보안의 '좁은 승리'에서 기능 간 구성, 상태 유지, 금융 중요 인프라의 엄격한 요구 사항을 견딜 수 있는 플랫폼으로의 전환을 나타낸다고 결론지었습니다.