모든 보안 경보를 LLM에 맡기면 비용이 감당되지 않는다는 문제에 인포시즈는 그래프 머신러닝으로 답했다. 인포시즈(대표 탁정수)가 그래프 기반 AI 보안 솔루션 ‘고스(GOS, Graph Optimized Security)’를 정식으로 내놓고, 국내 반도체 대기업 전사에 공급했다. 인포시즈는 온톨로지 기반 엔터프라이즈 AI 기업이다. 공급처인 이 반도체 기업의 이름은 공개되지 않았다.
GOS는 LLM이 분석하는 범위를 전체 행위 그래프의 0.068%로 좁힌 것이 특징이다. 전체 로그를 LLM에 넣는 방식이 아니다.
그래프 ML이 후보를 고르고 애널라이저 LLM이 재분석
GOS는 계정, 프로세스, 파일, 접속 로그의 관계를 그래프로 연결한다. 인포시즈가 자체 개발한 그래프 머신러닝(Graph ML)이 위협 후보를 먼저 선별하면, ‘애널라이저 LLM’이 그 후보의 위험 가능성과 행위 맥락을 2차로 분석한다. 그래프 ML이 위험 후보를 압축하고 LLM은 일부만 재검증하는 구조다.
이런 구조를 택한 이유는 두 가지다. 모든 보안 경보를 사람이 확인하거나 LLM으로 분석하면 비용과 처리량에 한계가 있다. 사전에 등록한 공격 유형과 규칙만으로는 정상 업무와 비슷한 새로운 공격을 구분하기 어렵다는 점도 있다.
상용 LLM으로 모든 로그를 분석하면 비용이 크게 늘 수 있어, 인포시즈는 LLM이 보는 범위를 전체 행위 그래프의 0.068% 수준으로 줄였다. 분석 범위 축소는 LLM 호출량과 운영 비용을 줄이기 위한 것이다.
규칙 중심 방식과 달리 업무 패턴과 데이터 관계를 분석
사전에 등록한 공격 유형과 탐지 규칙 중심의 방식과 달리, GOS는 업무 패턴과 데이터 사이의 관계를 분석해 정상 범위를 벗어난 행동을 탐지한다.
도입 부담도 낮췄다. GOS는 기존 보안 인프라를 교체하지 않고 연동할 수 있다. 로그 수집을 맡는 SIEM(Security Information and Event Management)의 로그가 GOS의 분석 대상이다. 위협으로 검증된 정보는 기존 대응 체계인 SOAR(Security Orchestration, Automation and Response)와 이어져 처리된다. SOAR는 계정 잠금, 단말 격리, 통신 차단 같은 실제 조치를 수행한다.
대기업 EDR 환경 자체 검증 결과
인포시즈는 대기업의 EDR(Endpoint Detection and Response) 환경에서 GOS를 자체 검증했다. 별도 탐지 규칙을 등록하지 않은 상태에서 미탐률은 0%였고, 분석 대상에서 제외한 정상 로그의 비율은 99.998%였다. 이는 특정 기업 환경에서 회사 측이 검증한 결과다.
탁정수 대표는 “기업 보안의 핵심은 더 많은 경보를 생성하는 것이 아니라 실제 위협을 놓치지 않는 동시에 정상적인 업무를 방해하지 않는 정확한 판단 체계를 만드는 데 있다”고 말했다.
탁 대표는 “이번 프로젝트 수주를 시작으로 대규모 보안 로그와 복잡한 업무 환경을 보유한 엔터프라이즈 기업을 대상으로 솔루션 적용을 확대할 계획”이라고 밝혔다.
인포시즈는 이 밖에 온톨로지 기반 엔터프라이즈 AI 솔루션 ‘액시엄(Axiom)’, 산업 도면을 지식 그래프로 변환하는 ‘델타플로우(DELTAflow)’도 보유하고 있다.