기술 요약: 산업용 IoT 보안을 위한 뉴로-에이전틱 제어 프레임워크 (Neuro-Agentic Control Framework)

1. 문제 정의

운영 기술(OT) 및 산업용 인터넷 사물인터넷(IIoT) 시스템에 대한 사이버 공격은 점점 더 심각한 재정적 손실과 물리적 안전 위험을 초래하고 있습니다. 기존의 규칙 기반 모니터링은 현대적 산업 배치 환경의 복잡하고 밀집된 환경을 대응하기에는 불충분합니다. 대규모 언어 모델(LLM)은 의사결정 지원을 위한 강력한 의미론적 추론 능력을 제공하지만, '환각(hallucination)'(사실과 다르거나 물리적으로 불가능한 출력을 생성하는 현상) 성향은 폐쇄 루프 제어 시스템에 수용 불가능한 안전 책임을 초래합니다. 반대로, 기존의 시계열 예측 모델은 복잡한 대응 전략을 수립하는 데 필요한 의미론적 추론 능력이 부족한 경우가 많습니다. 따라서 LLM의 추론 능력을 활용하면서도, 사이버 물리 시스템(CPS)의 치명적인 실패를 방지하기 위해 그 행동을 물리적 실체에 엄격히 근거하도록 하는 프레임워크가 절실히 필요합니다.

2. 방법론

본 논문은 의미론적 추론과 물리적 제어를 분리하는 2단계 아키텍처인 **뉴로-에이전틱 제어 프레임워크(Neuro-Agentic Control Framework)**를 제안합니다. 이 시스템은 두 가지 주요 에이전트로 구성된 폐쇄 루프로 작동합니다:

• 아키텍트 (Architect, LLM 플래너): Gemini 2.5 Flash-Lite를 활용하는 이 에이전트는 의미론적 추론기 역할을 합니다. 이 에이전트는 문맥 데이터(센서 트렌드, 고장 예측 시간, 검색 증강 생성(RAG)을 통해 검색된 운영 매뉴얼)를 수신하여 후보 제어 전략을 생성합니다. 이러한 전략은 액션 유형, 크기(예: 배수율), 지속 시간을 정의하는 구조화된 JSON 객체 형태로 출력됩니다.
• 센티널 (Sentinel, 물리 엔진): Times-Series Foundation Model인 TimesFM을 활용하는 이 에이전트는 결정론적인 물리적 진실(ground-truth) 역할을 합니다. 이 에이전트는 내부 가중치를 업데이트하지 않으며, 시간적 역학에 대한 사전 학습된 지식을 사용하여 미래의 시스템 상태를 예측합니다.

핵심 메커니즘: 역사실적 물리 주입 (Counterfactual Physics Injection)

핵적인 혁신은 역사실적 물리 주입 메커니즘입니다. LLM은 파운데이션 모델의 가중치를 직접 수정할 수 없으므로, 프레임워크는 LLM의 의미론적 명령을 예측된 시계열 내의 수치적 섭동(perturbation)으로 변환합니다.

• 시스템은 LLM이 제안한 행동(예: 배수 밸브 열기)의 효과를 시뮬레이션하기 위해 예측된 호라이즌(horizon)에 누적 선형 주입을 적용합니다.
• 배수율 $\mu$와 지속 시간 $\delta$에 대해, 수정된 예측값 $\hat{y}'_t$는 다음과 같이 계산됩니다:
  • $t < \delta$ 인 경우: $\hat{y}'_t = \hat{y}_t + \mu \cdot (t + 1)$ (누적 배수 효과).
  • $t \geq \delta$ 인 경우: $\hat{y}'_t = \hat{y}_t + \mu \cdot \delta$ (최종 배수 레벨 유지).
• 이를 통해 센티널은 제안된 행동이 실행되기 전에 그 물리적 결과를 예측할 수 있습니다.

환각 거부 전략 (Hallucination Rejection Strategy)

프레임워크는 결정론적인 환각 거부 알고리즘을 채택합니다. 행동이 실행되기 전, 센티널은 아키텍트가 제안한 모든 후보 전략의 결과를 시뮬레이션합니다.

• 안전 검증: 만약 시뮬레이션된 행동이 베이스라인보다 나쁜 시스템 상태를 초래할 경우(예: 오버플로 상황에서 양(+)의 크기를 가진 '채우기' 행동, 또는 레벨을 임계치 아래로 낮추는 데 실패하는 행동), 해당 행동은 거부됩니다.
• 최적화: 시스템은 유효한 모든 후보 중에서 예상 리스크(최대 피크 레벨)를 최소화하는 최적의 행동 $a^*$를 선택합니다. 만약 모든 후보가 안전하지 않거나 효과가 없다면, 시스템은 "모니터링(Monitor)" 상태로 기본 설정됩니다.

3. 주요 기여

1. 새로운 아키텍처: IoT 시스템을 위해 의미론적 추론(LLM)과 물리적 제어(파운데이션 모델)를 명시적으로 분리하는 뉴로-에이전틱 제어 프레임워크를 제시했습니다.
2. 역사실적 물리 주입: 파운데이션 모델의 미세 조정(fine-tuning) 없이도 결정론적 검증을 가능하게 하기 위해, 의미론적 제어 행동을 미래 예측의 수치적 섭동으로 변환하는 메커니즘을 개발했습니다.
3. 결정론적 거부 전략: 최악의 리스크 최소화에 기반한 안전 계층을 통해, LLM의 환각적이고 물리적으로 유효하지 않은 제안을 자동으로 거부합니다.
4. 경험적 검증: SWaT(Secure Water Treatment) 데이터셋을 통해 프레임워크의 효능을 입증하였으며, 전통적인 딥러닝 베이스라인 모델보다 우수한 침해 방지 성능을 보여주었습니다.

4. 실험 결과

프레임워크는 세 가지 유형의 공격(급격한 스파이크, 점진적 드리프트, 높은 노이즈)을 포함한 15가지 확률적 공격 시나리오 하에서 SWaT 데이터셋을 대상으로 평가되었습니다. 성능은 LSTM 및 TCN(Temporal Convolutional Network) 베이스라인과 비교되었습니다.

• 침해 방지 (Breach Prevention):
  • 뉴로-에이전틱: 15회 시도 중 5회(33.3%) 방지.
  • LSTM: 15회 시도 중 4회(26.7%) 방지.
  • TCN: 15회 시도 중 2회(13.3%) 방지.
• 리스크 감소 (Risk Reduction):
  • 뉴로-에이전틱 프레임워크는 평균 48.51 유닛의 리스크 감소를 달성하여, LSTM(16.77 유닛)과 TCN(20.29 유닛)을 크게 상회했습니다.
  • 가장 성공적인 시도(Trial 10)에서, 프레임워크는 리스크 피크를 215.38 유닛 감소시켰으며, 이는 LSTM 베이스라인이 달성한 최대 감소량의 3배가 넘는 수치입니다.
• 안전 및 환각 (Safety and Hallucination):
  • 결정적으로, 뉴로-에이전틱 시스템은 환각되거나 물리적으로 유효하지 않은 행동을 단 한 차례도 실행하지 않았습니다. 센티널은 실행 전 모든 안전하지 않은 제안(예: 오버플로 상황에서의 양의 크기 행동)을 성공적으로 필터링했습니다.
  • 이와 대조적으로, 베이스라인들은 침해 방지에 실패하거나, 뉴로-에이전틱 시스템의 경우 거부 메커니즘을 통해 "환각된" 전략이 시스템에 적용되지 않도록 보장되었습니다.

5. 의의 및 주장

본 논문은 뉴로-에이전틱 루프가 생성형 AI의 고차원적 추론과 산업 제어의 엄격한 안전 요구 사항 사이의 간극을 성공적으로 메운다고 주장합니다. 타임 시리즈 파운데이션 모델을 "센티널"로 활용함으로써, 시스템은 LLM의 결정을 결정론적으로 검증하는 **물리 기반의 월드 모델(physics-grounded world model)**을 제공합니다.

• 안전 보장: 이 프레임워크는 LLM을 불투명하고 확률적인 예측기에서 설명 가능하고 안전 제약이 있는 플래너로 변모시킵니다. 이는 LLM을 CPS에 사용하는 데 있어 주요 장벽인 환각적 제어 행동의 실행을 방지합니다.
• 성능: 본 시스템은 LLM을 파운데이션 모델과 결합하는 것이 특히 신속하고 결단력 있는 개입(예: 급격한 스파이크)이 필요한 시나리오에서 전통적인 딥러닝 모델보다 더 나은 침해 방지 및 리스크 감소를 제공함을 입증합니다.
• 트레이드오프 (Trade-offs): 저자들은 이 접근 방식이 (LLM 생성 및 역사실적 시뮬레이션으로 인해) 제어 주기당 1.5~2.5초의 추론 지연 시간을 발생시킨다는 점을 인정합니다. 이는 전통적인 PID 제어기보다는 높지만, 대부분의 화학 및 유체 공정의 운전 시간 상수 범위 내에 있습니다.

결론적으로, 본 논문은 이 아키텍처가 지연 시간을 관리하고 다양한 환경에서 시스템을 검증한다면, 자율적이고 안전한 산업 방어를 향한 실행 가능한 경로를 제공한다고 밝히고 있습니다. 향-후 연구로는 모델 양자화를 통한 추론 지연 시간 최적화와 파운데이션 모델의 예측 호라이즌을 겨냥한 적대적 공격에 대한 강건성 테스트가 제안되었습니다.