🤖 AI

Agentic Cloud Decoys: A Deception-Driven Framework for Autonomous Intrusion Investigation

본 논문은 고충실도 클라우드 디코이와 자율형 언어 모델 에이전트를 결합하여 세션 수준의 증거를 집계하고 동적 프롬프트 생성을 활용함으로써 오탐 및 간접 프롬프트 주입 위험을 완화하며, 10개의 제어된 AWS S3 시나리오 중 9개에 대해 몇 분 내에 완전한 재구성을 달성하는 "Cloud Decoy AI Agent" 프레임워크를 제시한다.

원저자: Mohan Manivannan, Dalal Alharthi

게시일 2026-07-28

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Mohan Manivannan, Dalal Alharthi

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

인터넷을 모든 행동이 발자국을 남기는 거대하고 북적이는 도시라고 상상해 보세요. 이 도시의 디지털 버전인 "클라우드"에는 기업들이 가장 소중한 데이터를 저장합니다. 이 도시를 안전하게 지키기 위해 보안 팀은 "로그(logs)"라고 불리는 수백만 개의 아주 작은 발자국을 감시합니다. 이 로그는 누군가 문을 열거나, 파일을 집어 들거나, 복도를 지나갈 때마다 기록됩니다. 문제는 도시가 너무 거대하고 발자국이 너무 많아서, 진짜 도둑을 찾아내는 것이 마치 쿠키를 먹고 있는 사람들로 가득 찬 경기장에서 쿠키 하나를 훔치는 단 한 사람을 찾아내는 것과 같다는 점입니다. 로그는 존재하지만, 너무 시끄럽고 혼란스러워서 보안 전문가들이 실제로 무슨 일이 일어났는지 파악하는 데 며칠이 걸리기도 합니다.

이를 해결하기 위해 보안 전문가들은 "기만(deception)"이라는 기술을 사용하기 시작했습니다. 나쁜 놈을 군중 속에서 찾는 대신, 진짜 쿠키 항아리와 똑같이 생긴 반짝이는 가짜 쿠키 항아리를 놓아두는 것입니다. 그들은 정직한 직원은 절대로 그 특정 항아리를 건드리지 않을 것이라는 점을 알고 있습니다. 따라서 만약 누군가 그 항아리를 건드린다면, 보안 팀은 즉시 알 수 있습니다. "저 사람이 도둑이다!" 이 논문은 애리조나 대학교의 연구진이 작성하였으며, 새로운 질문을 던집니다. 일단 가짜 쿠키 항아리가 건드려지면, 똑똑한 컴퓨터 로봇("AI 에이전트")을 사용하여 누가 무엇을 훔쳤는지 즉시 파악하고, 소음 때문에 혼란에 빠지지 않고도 인간 탐정에게 보고서를 작성할 수 있을 것인가?

문제점: 너무 많은 발자국, 너무 많은 소음

연구진은 클라우드 보안이 현재 역설에 빠져 있다고 설명합니다. 기업이 더 많은 데이터를 수집할수록, 나쁜 놈들을 찾기는 더 어려워집니다. 공격자들은 교묘합니다. 그들은 훔친 열쇠를 사용하여 일반 직원처럼 정문으로 걸어 들어옵니다. 그들이 그렇게 할 때, 컴퓨터 로그는 마치 정상적인 사람이 업무를 수행하는 것과 똑같이 보입니다. 보안 팀은 무슨 일이 일어났는지 이해하기 위해 몇 시간, 혹은 며칠 동안 로그를 맞추어 보려고 노력하지만, 종종 피해를 막을 수 있는 기회를 놓치곤 합니다.

이 논문은 단순히 더 많은 로그를 추가하거나 더 나은 AI를 도입하는 것이 정답이 아니라고 주장합니다. 진짜 문제는 AI가 단 하나의 나쁜 사건을 찾기 위해 도시의 전체 역사를 읽도록 요청받고 있다는 점입니다. 이는 비용이 많이 들고, 느리며, 실수를 저지르기 쉽습니다.

해결책: 미끼와 로봇 탐정

저자들은 Cloud Decoy AI Agent라고 불리는 시스템을 구축했습니다. 이 시스템은 두 가지 주요 부분으로 작동합니다.

미끼 (디코이): 그들은 도둑에게 매우 매력적으로 보일 수 있는 파일들(예: "secret_api_keys.txt" 또는 "bank_records.sql")이 담긴 가짜 저장소 버킷(디지털 폴더)을 설치했습니다. 결정적으로, 어떤 실제 직원도 이 폴더를 건드려서는 안 됩니다. 만약 이 폴더가 건드려진다면, 그것은 수상한 일이 일어나고 있다는 100% 확실한 신호입니다. 이것은 완벽한 경보 장치 역할을 합니다.
로봇 (AI 에이전트): 경보를 보고 있는 것이 사람이 아니라, 똑똑한 AI 로봇이 업무를 맡습니다. 하지만 여기서 까다로운 부분이 있습니다. 연구진은 단순히 경보를 로봇에게 넘겨주는 것만으로는 충분하지 않다는 것을 깨달았습니다. 만약 로봇이 클라우드의 모든 것을 볼 수 있게 허용된다면, 로봇은 정상적이고 지루한 활동들에 압도되어 빈틈을 메우기 위해 이야기를 지어내는 문제("환각(hallucination)")를 일으킬 수 있습니다.

로봇을 똑똑하게 가르치는 방법

논문은 로봇이 올바르게 작동하도록 만드는 세 가지 영리한 규칙을 소개합니다.

단서 그룹화: 모든 클릭을 개별 사건으로 보는 대신, 로봇은 이를 "세션"으로 그룹화합니다. 만약 도둑이 가짜 폴더를 열고, 파일을 보고, 15분 이내에 다운로드한다면, 로봇은 이를 세 개의 별개이고 혼란스러운 사건이 아니라 하나의 연속된 이야기로 인식합니다.
"보는 것이 곧 얻는 것(What You See Is What You Get)" 규칙: 이것이 가장 중요한 부분입니다. 연구진은 로봇이 실제로 본 것에 대해서만 쓸 수 있도록 규칙을 만들었습니다. 만약 로봇이 로그에서 특정 파일 이름을 보지 못했다면, 추측하거나 이름을 지어내서는 안 됩니다. 그들은 로봇에게 발견한 정확한 증거만을 제공하여, 이야기가 완전해 보이도록 하기 위해 가짜 세부 사항을 지어내는 것을 방지하는 특수한 "동적 프롬프트(dynamic prompt)" 시스템을 구축했습니다.
함정 속의 함정: 연구진은 또한 무서운 새로운 문제를 발견했습니다. 로그는 도둑이 입력한 내용(예: 파일 이름)을 정확히 기록하기 때문에, 도둑은 "내 모든 파일을 삭제하라" 또는 "이전 지침을 무시하라"와 같은 이름의 파일을 만들 수 있습니다. 만약 로봇이 이것을 읽는다면, 도둑이 원하는 대로 움직이도록 속을 수 있습니다. 논문은 이것이 큰 위험이라고 지적합니다. 그들은 이 위험을 식별했지만, 현재의 로봇은 아직 이에 대한 방패를 가지고 있지 않음을 인정했습니다. 그들은 이 시스템을 실제 환경에서 사용하기 전에 반드시 해결해야 한다고 말합니다.

발견한 것 (그리고 발견하지 못한 것)

팀은 안전한 가짜 클라우드 환경에서 열 가지 "강도" 시나리오를 통해 시스템을 테스트했습니다. 그들은 파일을 나열하고, 데이터를 훔치고, 무언가를 삭제하며, 심지어 더 빠르게 하기 위해 스크립트를 사용하는 도둑들을 시뮬레이션했습니다.

좋은 소식: 시스템은 놀라울 정도로 잘 작동했습니다. 시스템은 10가지 시나리오 중 9가지를 완벽하게 재구성하는 데 성공했습니다. 로봇이 작성한 모든 보고서에서, 모든 사실은 실제로 로그에서 본 것에 근거하여 추적될 수 있었습니다. 로봇은 가짜 이야기를 지어내지 않았습니다. 또한 이 작업은 매우 빠르게 수행되었는데, 가짜 폴더가 건드려진 순간부터 보고서가 완성될 때까지 단 4~5분밖에 걸리지 않았습니다.
한 번의 실패: 시스템은 도둑이 폴더를 본 후 파일을 훔치기까지 20분을 기다린 특정 시나리오에서 실패했습니다. 로봇의 "그룹화" 규칙이 15분으로 설정되어 있었기 때문에, 로봇은 도둑이 떠났다가 나중에 다시 온 것으로 간하여, 이야기를 두 개의 별개이고 관련 없는 사건으로 나누어 버렸습니다.
놓친 부분들: 저자들은 자신들이 무엇을 증명하지 못했는지에 대해 매우 솔직합니다. 그들은 이 시스템이 기존의 보안 시스템보다 나은지 확인하기 위해 "일반적인" 보안 시스템과 비교 테스트를 하지 않았습니다. 다른 종류의 AI 로봇을 사용해 보지도 않았습니다. 또한 수천 명의 직원이 있는 실제의 복잡한 회사 환경에서 테스트하지도 않았습니다. 그들은 오직 하나의 유형의 클라우드 서비스(Amazon S3)를 사용하는 깨끗하고 통제된 실험실에서만 테스트했습니다.

결론

이 논문은 "미끼"를 사용하여 똑똑한 로봇 탐정을 작동시키는 것이 클라우드 보안의 소음을 뚫고 나가는 아주 멋진 방법임을 시사합니다. 이는 거대하고 불가능한 검색을 작고 관리 가능한 조사로 바꿔줍니다. 로봇이 발견한 증거에 엄격히 따르도록 강제함으로써, 그들은 로봇이 이야기를 지어내는 것을 막았습니다.

하지만 연구진은 이것이 완성된 제품이 아니라 프로토타입임을 분명히 하고 있습니다. 그들은 도둑이 가짜 지침으로 로봇을 속일 수 있는 심각한 보안 구멍을 식별했으며, 아직 이를 해결하지 못했습니다. 또한 누군가가 이 시스템을 실제 회사의 비밀을 다루는 데 신뢰할 수 있기 전에 더 폭넓게 테스트해야 한다고 인정했습니다. 그러나 핵심 아이디어, 즉 가짜 쿠키 항아리와 규율 잡힌 로봇을 결합하여 사라진 쿠키의 미스터리를 풀 수 있다는 것은 우리의 디지털 도시를 안전하게 지키기 위한 유망한 새로운 방향입니다.

기술 요약: 에이전틱 클라우드 디코이 (Agentic Cloud Decoys)

문제 정의
클라우드 환경은 텔레메트리(telemetry)를 대규모로 생성하지만, 이는 역설적으로 침입에 대한 이해를 방해한다. 공격자는 정당한 신원과 연합 세션 토큰을 통해 활동하며, 일상적인 관리 행위(예: ListObjects, GetObject)와 구별할 수 없는 동작을 수행한다. 결과적으로 분석가들은 "가시성의 역설(visibility paradox)"에 직면한다. 로그는 이벤트를 기록하지만, 맥락, 신원, 의도를 재구성하는 데 소요되는 시간은 수 시간에서 수 일에 달한다. 두 가지 구조적 특성이 이러한 지연을 악화시킨다:

세분성(Granularity): 텔레메트리는 API 호출 단위로 기록되어, 단일 공격 캠페인을 수십 개의 무해해 보이는 이벤트로 파편화한다.
신원 계층화(Identity Layering): 연합 자격 증명은 휘발성 세션 토큰 뒤에 숨겨진 지속적인 주체를 모호하게 만들어, 비용이 많이 드는 교차 소스 조인(cross-source join) 없이는 추적을 어렵게 만든다.

전통적인 기만 기술(honeypots)은 디코이(decoy)가 접촉되었을 때만 경보를 생성하여 높은 신호 대 잡음비(signal-to-noise ratio)를 제공하지만, 기존의 배포 방식은 이러한 경보를 인간에게 전달하여, 피하고자 했던 것과 동일한 수동 재구성을 요구한다. 디코이를 자율 에이전트와 연결하는 것은 단순한 통합이 아니다. 이는 세션 집계, 증거 경계 설정, 간접 프롬프트 주입(indirect prompt injection) 위험과 같은 구체적인 설계 과제를 제시한다.

방법론
본 논문은 고충실도 클라우드 디코이와 자율 LLM 에이전트를 결려한 Cloud Decoy AI Agent 프레임워크를 제시한다. 이 시스템은 6단계 파이프라인으로 작동한다:

디코이 리소스(Decoy Resource): 민감한 기업 자산을 모사하도록 명명된 Amazon S3 버킷이며, 현실적이지만 조작된 파일들로 채워져 있다. 이는 일반적인 IAM 신뢰 그래프를 통해 접근 가능하지만, 접근해야 할 정당한 워크플로우 상의 이유는 없다.
이벤트 탐지 및 라우팅(Event Detection & Routing): 디코이에 대한 CloudTrail 데이터 이벤트가 EventBridge를 통해 Lambda 함수로 라우팅된다. 이벤트는 피벗 튜플(pivot tuple) (소스 IP, 액세스 키, 주체, 버킷)에 의해 정규화되고 키가 지정된다.
세션 집계(Session Aggregation): 백그라운드 프로세스는 세션이 임계값( $\tau = 15$ 분) 동안 유휴 상태로 유지될 때 DynamoDB에서 SQS 큐로 세션을 플러시(flush)한다. 이를 통해 세밀한 이벤트들을 유휴 창(idle window)에 의해 경계가 지어진 일관된 세션으로 그룹화한다.
에이전트 런타임(Agent Runtime): LangGraph를 통해 오케스트레이션되는 에이전트가 세션 메시지를 소비한다. 에이전트는 모델 컨텍스트 프로토콜(MCP) 도구를 활용하여 CloudTrail 기록, IAM/STS 컨텍스트 및 S3 보안 설정을 쿼리한다.
추론 및 보고서 생성(Reasoning & Report Generation): 에이전트는 2단계 프롬프트 전략을 사용한다:
- 정적 시스템 프롬프트(Static System Prompt): 추론 프레임워크, 출력 구조 및 제약 조건(예: "지표를 조작하지 마시오")을 정의한다.
- 동적 사용자 프롬프트(Dynamic User Prompt): 에이전트가 실제로 관찰한 증거만을 사용하여 세션별로 구성된다. 누락된 필드는 환각(hallucination)을 방지하기 위해 플레이스홀더로 채우는 대신 생략된다.
출력(Output): 실행 요약, 연대기적 타임라인, 신원 분석, 공격 그래프 및 권고 사항을 포함하는 구조화된 보고서를 생성한다.

주요 기여
본 논문은 다섯 가지 구체적인 기여를 한다:

디코이 기반 세션 재구성의 정형화: 제공자 유래 필드(클라이언트 제공 데이터 제외)에서 추출된 피벗 튜플과, 이벤트를 세션 및 캠페인으로 그룹화하는 집계 연산자를 정의한다.
텔레메트리를 부분적으로 적대자가 작성한 채널로 식별: 저자들은 오브젝트 키와 유저 에이전트가 기록된 그대로 보존되는 클라이언트 선택 값이기 때문에, 로그-투-프롬프트(log-to-prompt) 파이프라인가 구조적으로 간접 프롬프트 주입에 노출되어 있다고 주장한다. 저자들은 격리 규율(quarantine discipline, 제공자 필드와 클라이언트 필드의 분리)을 명시하지만, 프로토타입이 아직 완전한 완화책을 구현하지는 않았음을 명시한다.
공격 그래프의 명시적 구축 규칙: 노드와 엣지가 관찰된 필드에 의해 지원되는 경우에만 존재하도록 하는 폐쇄 세계 조건(closed-world condition)을 정의하여, 추론되거나 환각된 연결을 방지한다.
동적 프롬프트 생성 규율: 관찰된 증거 패키지에 의해 함축된 주장만을 포함하도록 보장하는 "그라운딩 불변성(grounding invariant)"을 강제하는 2단계 조립 전략을 적용한다.
분석 비용 모델: 디코이 기반 설계에서는 사고당 비용이 디코이 상호작용 비율에 따라 선형적이며 전체 계정 텔레메트리 볼륨과는 독립적임을 입증함으로써, 조사 경제학을 환경 규모로부터 분리한다.

평가 결과
시스템은 AWS S3 상에서 10가지 통제된 시나리오(열거, 검색, 다중 오브젝트 액세스, 거부된 액세스, 파괴적 삭제, 지연된 액세스)를 통해 평가되었다.

재구성 정확도: 10개 시나리오 중 9개는 완전히 재구성되었으며, 1개(지연된 액세스)는 캠페인이 세션 플러시 창에 의해 분리되어 부분적으로만 재구성되었다.
그라운딩(Grounding): 보고서 중 저자가 관찰된 아티팩트로 추적할 수 없는 주장을 포함한 사례는 없었다(그라운딩 불변성 충족).
지연 시간(Latency): 엔드 투 엔드 지연 시간은 4~5분이었으며, 이는 추론 시간이 아닌 15분의 세션 플러시 창(구성 파라미터)에 의해 결정되었다.
오브젝트 명명: 검색이 포함된 모든 시나리오에서 모든 액세스된 오브젝트 키가 명시적으로 이름 지어졌다.

의의 및 주장
본 논문은 Cloud Decoy AI Agent가 디코이를 통해 탐지 문제를 역전시킴으로써 클라우드 사고 대응의 "재구성 지연" 병목 현상을 해결한다고 주장한다. 이 연구의 의의는 세 가지 구조적 변화에 있다:

비용/정확성 경계로서의 기만: 디코이를 상류 게이트로 사용함으로써 에이전트의 조사 우주를 정의하며, 이를 통해 엄격한 증거 지평을 방어 가능하고 비용 효율적으로 만든다.
구조적 그라운딩: 2단계 프롬프트 조립은 증거의 경계를 구조적으로 강제하여, 모델이 누락된 필드에 대해 값을 환각하는 유혹을 제거한다.
적대자 작성 인식: 본 연구는 클라우드 텔레메트리가 부분적으로 적대자에 의해 작성된다는 위험을 명시적으로 식별하고, 디코이를 잠재적인 주입 표면(injection surface)으로 전환한다.

겸손 및 한계점
저자들은 평가가 입증하지 못한 바를 명확히 밝힌다:

베이스라인 또는 절제 실험 부재: 로우 로그(raw log) 베이스라인, 정적 템플릿 조건, 또는 비-디코이 트리거와의 비교가 없다.
독립적 평가 부재: 평가는 독립적인 평가자가 아닌 저자들에 의해 수행되었다.
범위: 평가는 하나의 서비스(S3), 하나의 제공자(AWS), 하나의 리전만을 대상으로 한다.
완화되지 않은 위험: 프로토타입은 간접 프롬프트 주입에 대한 완전한 완화책(클라이언트 제공 필드 정화)이나 교차 세션 상관관계(지연된 액세스 시나리오에서 실패를 일으킨 원인)를 구현하지 않는다.
디코이 회피: 시스템은 적대자가 디코이를 식별하고 회피하지 않는다고 가정한다. 디코이 핑거프린팅(fingerprinting) 또는 회피에 대한 평가는 수행되지 않았다.

저자들은 본 연구를 향후 필수적인 다음 단계(예: 정적 vs 동적 프롬프트, 이상 징[] vs 디코이 트리거 비교)를 통해 검증해야 할, 흔히 나타날 것으로 예상되는 패턴의 초기적이고 개방적으로 경계 지어진 사례로 위치시킨다.

문제점: 너무 많은 발자국, 너무 많은 소음

해결책: 미끼와 로봇 탐정

로봇을 똑똑하게 가르치는 방법

발견한 것 (그리고 발견하지 못한 것)

결론

유사한 논문