회사 전체가 AI를 도입하면 SOC(보안관제센터)에 어떤 일이 벌어지는가

지난 1년간 우리는 기업 보안관제센터(SOC)에 새로운 유형의 경보가 등장해 다른 어떤 것보다 빠르게 증가하는 것을 목격했습니다. 바로 AI 도구와 에이전트가 유발한 경보입니다. AI를 겨냥한 공격이 아니라, 개발자가 코딩 에이전트를 실행하고 비기술 직원이 소비자용 AI 도구를 사내 계정에 연동하는 등 조직이 AI를 일상적으로 사용하면서 남기는 평범한 흔적들입니다.

우리는 수많은 기업 환경에서 AI 관련 활동을 검토했습니다. 이후 내용을 모두 설명하는 두 가지 수치가 있습니다. AI 관련 경보는 전체 SOC 경보의 0.43%에 불과합니다. 그리고 그 비중은 2026년 2월부터 6월까지 685% 증가하며 매달 빠르게 오르고 있습니다. AI는 현재 경보 스트림에서 작은 조각이지만 동시에 가장 빠르게 성장하는 조각이기도 합니다.

이 경보들이 보안팀의 주목을 받을 만한 이유는 양이 아니라 구성에 있습니다. AI 에이전트가 SOC에서 유발하는 모든 것을 세 가지 범주로 분류하면 다음과 같습니다: 실제 공격, 위험, 노이즈—그 비율은 94.1% 노이즈, 5.8% 실질적 위험, 0.02% 실제 공격입니다. 즉, 조사한 데이터 전반에서 AI 에이전트를 활용한 실제 공격은 극히 드뭅니다. 현재까지 SOC에서 AI가 치르는 비용은 침해 사고가 아닙니다. 위험해 보이지만 거의 항상 그렇지 않은 경보의 홍수, 그리고 그 경보들이 묻어버리는 조용하고 작은 실제 노출들입니다.

이 글은 익명 처리된 사례와 함께 세 가지 범주 각각을 살펴봅니다. 모든 고객명, 호스트명, 사용자명, 식별자는 제거되었으며, 위협 지표(indicator)는 비활성화(defang)되었습니다.

경보 스트림의 새로운 형태

기업 내 AI 도입은 하나의 행동이 아니라, 동시에 도착하는 두 가지 매우 다른 행동입니다.

첫 번째는 기술적인 측면입니다. 개발자들은 셸을 생성하고, 자격증명 저장소를 읽고, 네트워크 터널을 열고, 패키지를 다운로드하며, 보안 도구를 실행하는 코딩 에이전트를 설치합니다—모두 정당한 작업이지만, 탐지 엔진에는 침입 초기 단계와 구분이 되지 않습니다. 이것이 시끄러운 절반이며 데이터를 지배합니다.

두 번째는 직원들이 서드파티 AI 애플리케이션에 OAuth 동의를 부여하고, 정보를 공유하며, 문서를 생성형 AI 도구에 붙여넣는 경우입니다. 이것이 조용한 절반입니다. 엔드포인트 탐지를 거의 유발하지 않지만, 데이터가 외부로 나가는 지점이기도 합니다.

두 절반 모두 같은 곳, 즉 SOC에 도달하며 첫눈에 모두 우려스러워 보입니다. 신호와 노이즈를 분류하는 것이 전체 작업입니다.

수치로 보기

AI는 전체 볼륨에서 작은 비중을 차지하지만 빠르게 성장하고 있습니다**.** 검토한 약 1,690만 건의 SOC 경보 중 약 73,000건(0.43%)이 AI 관련이었습니다. 단독으로 보면 안심할 수 있을 만큼 작습니다.

월별 AI 관련 경보 건수(당사 시스템 기준).

증가세는 단조롭습니다. 매 전체 월이 이전 월보다 높고, 2026년 5월에는 급격히 가속되었습니다. 지역별 보고가 안정적인 기간(2월~6월) 동안 볼륨은 685% 증가했습니다. 0.43%라는 수치는 오늘의 최저선으로 이해해야 하며, 상한이 아닙니다. 현재 볼륨에 맞춰 AI 경보 처리 인력을 배치한 팀은 한 분기 안에 인력 부족에 시달릴 것입니다.

구성은 추세만큼이나 불균형합니다. AI가 생성한 경보의 거의 전부가 노이즈입니다.

이 연구에서 우리는 AI 관련 경보 모집단을 조사하고 각 경보를 기반 활동별로 분류했습니다. 실제 공격은 확인된 침해입니다. 보안 위험은 침해는 아니지만 실질적 노출(예: 권한 보호 기능이 비활성화된 상태로 실행 중인 코딩 에이전트)입니다. 노이즈는 AI 에이전트가 존재하기 전에 작성된 탐지 규칙을 발동시킨 정당한 활동입니다. 이 기준으로 AI 관련 경보의 거의 전부가 노이즈(94.1%)이며, 소수는 실질적 보안 위험(5.8%), 실제 공격은 극히 일부(0.02%)입니다.

최종 분류에 따른 AI 관련 경보의 세부 분류.

두 번째 측정치는 사람이 개입하지 않은 채 프로덕션 환경에서 동일한 경보들이 처리된 방식입니다. 경보가 자동화된 트리아지(triage, 위협 우선순위 분류) 플랫폼에 도달하면 두 가지 별도의 결정이 내려집니다.

• 평결(verdict)은 해당 활동이 얼마나 위험해 보이는지를 나타냅니다: 양성(benign), 의심(suspicious), 악성(malicious) 중 하나입니다.
• 79.8%가 양성 평결을 받았습니다.
• 대응(response)은 다음에 무슨 일이 일어나는지를 나타냅니다: 경보는 억제(자동으로 닫혀 분석가가 보지 않음), 후속 조치 플래그 지정, 또는 사람에게 에스컬레이션 중 하나입니다.
• 81.7%가 자동으로 억제되었습니다.

AI 관련 모집단 중 5.4%만이 실제로 사람 분석가에게 에스컬레이션되었으며, 나머지는 후속 조치 플래그로 처리되었습니다.

높은 심각도 경보가 반드시 실제 위협을 의미하지는 않습니다. 예를 들어, 특정 고객 한 곳에서 발생한 단일 탐지가 Windows 바이너리(Expand.exe)를 측면이동 도구 전달(lateral-tool-transfer)로 플래그 지정한 "critical" 평결 경보 전체의 55%를 차지했습니다. 확인해 보니 개발자의 코딩 에이전트가 셸 환경을 설정하는 중이었고, 해당 동작은 이 유형의 작업에서 정상적이었습니다.

모든 SOC에 동일하게 적용되는 교훈은 이것입니다: AI 활동에 대한 심각도 레이블은 액면 그대로 받아들이는 것이 아니라 의심을 갖고 읽어야 합니다.

범주 1: 실제 공격

실제 공격은 AI 도입에 의해 가능해지거나 그 위에서 이루어지는 실제 침해 또는 공격자 작전입니다. 이것은 모든 임원이 가장 먼저 묻는 범주이며, AI 생성 경보의 약 0.02%로 가장 작습니다.

이 경보 범주에서 탐지된 실제 위협 중 조직 자체의 AI 에이전트로 인해 발생한 침해는 하나도 없었습니다. "AI 에이전트가 mimikatz 실행", "코딩 도구에서 역방향 셸", "자격증명 탈취" 등의 경보는 조사 결과 모두 개발자의 정당한 작업이거나 탐지 오작동으로 해소되었습니다. 이에 대해서는 노이즈 섹션에서 다시 다룹니다.

실제였던 것은 AI를 통해서가 아니라 AI를 타고 벌어진 공격입니다: AI 브랜드명을 미끼로 활용하는 실시간 피싱 캠페인. 여러 고객사에서, 그리고 연구 기간 동안 신규 고객사로 확장하면서, AI 업계의 가장 큰 이름을 주제로 한 악성 이메일을 관찰했습니다. 이 미끼가 통하는 이유는 AI 도입으로 이 브랜드들이 익숙해지고 해당 브랜드의 알림이 일상적인 것이 되었기 때문입니다. 직원들은 이제 이 제품들로부터 이메일이 오길 기대하며, 이것이 바로 공격자가 노리는 점입니다.

다음은 Claude, Codex 등에 의해 실제 공격(또는 침투 테스트)을 나타내는 도구나 명령이 실행된 것을 발견한 사례들입니다. 따라서 조사자는 에이전트가 왜 이러한 도구를 실행했는지, 그리고 에이전트를 악용한 실제 공격의 일부였는지도 의문을 가져야 합니다.

• Anthropic이 비즈니스 맥락에서 미끼로 사용됩니다. 해당 경보에서 이메일 제목은 "RE: Anthropic 계약 승인 및 결제"이며, 분석에 따르면 발신자가 Anthropic과의 계약/인보이스를 언급하며 대규모 결제 요청을 정당해 보이게 만듭니다. 즉, Anthropic은 발신자나 위협의 출처가 아니라 인보이스 사기 이야기를 뒷받침하기 위해 사용된 구실입니다.
• 이메일이 가짜 Google/Gemini Ads 초대 미끼를 사용해 정당하고 신뢰할 수 있어 보이게 합니다. 비즈니스 관련 워크스페이스 초대처럼 보이며 수신자가 공식 Gemini Ads 환경처럼 보이는 곳에 연결하거나 참여하도록 유도하지만, 발신자 및 회신 주소 인프라는 Google과 관련이 없고 의심스러운 도메인 gemini-advertisers[.]com에 의존하며, 사용자를 악성 사이트로 유도하기 위한 브랜드 사칭 시도임을 나타냅니다.
• 이메일이 OpenAI("OpenAI Partner Summit 2026")를 사칭하지만 noreply-zoomevents@zoom.us에서 발송됩니다. URL은 정당한 zoom.us 인프라를 사용하지만, 콘텐츠와 등록 절차가 사기성 초대에 신뢰성을 부여하는 데 악용되고 있습니다.

OpenAI를 사칭한 피싱 이메일

기기 코드(Device code) 피싱

• AI IDE인 Cursor가 정상적인 코딩 활동에서 안전하지 않은 저수준 시스템 작업으로 이동한 것으로 보입니다: 디버깅 또는 문제 해결 작업을 완료하려는 과정에서 에이전트가 프로세스 메모리에서 비밀을 노출할 수 있는 알려진 자격증명 덤프 기법(comsvcs.dll을 통한 MiniDump)을 사용했습니다. 부모-자식 프로세스 체인 Cursor.exe → powershell.exe → rundll32.exe, 임시 .ps1 스크립트, 메모리 덤프 명령은 IDE가 개발을 돕기 위한 자동화된 작업 시퀀스를 시작했지만 엔드포인트에서 심각한 자격증명 접근 위험을 초래하는 방식으로 실행되었음을 보여줍니다.

세 가지 사례 모두에서 주목할 패턴이 있습니다: 더 자세히 들여다볼수록 "공격"이 맥락 속으로 사라졌습니다. 이것이 AI 시대 트리아지의 정의적 특성입니다.

범주 2: 안전하지 않은 사용

AI 관련 경보의 약 5.8%가 우리가 가장 주목할 만하다고 생각하는 경보입니다. 이 경보들은 반드시 침해는 아니지만(아직은) AI 도구의 안전하지 않은 사용을 탐지합니다. 공격자 개입 없이, 지시받은 대로만 행동하는 에이전트가 조직이나 사용자를 실질적으로 노출시키는 행동을 하는 순간입니다.

주요 위험은 에이전트가 권한 우회 플래그(permission-bypass flag)를 사용해 실행되는 경우입니다. 이 옵션은 에이전트가 행동하기 전에 사용자에게 확인을 중단하도록 지시합니다. 많은 사용자가 에이전트가 머신을 파괴하거나 위험한 명령을 실행하지 않을 것이라고 신뢰하지만, 경험과 이제 데이터가 보여주듯, 많은 경우 에이전트는 조직과 사용자를 큰 위험에 노출시키는 명령을 시도하고 대부분 성공합니다. 특히 권한 우회 플래그를 사용해 에이전트를 실행할 때는, 에이전트가 위험한 명령을 프로그래밍 방식으로 실행하지 못하도록 막는 추가 설정(하니스(harness)라고도 함)을 함께 사용하는 것이 권장됩니다.

당사 시스템에서 확인된 권한 우회 플래그 사용 비율.

우리가 확인한 모든 샘플에서 실행은 정당한 개발자 작업이었습니다. 바로 그렇기 때문에 중요합니다. 이것은 공개된 공급망 공격에서 악용된 것과 동일한 전제 조건입니다. 해당 공격에서는 코딩 에이전트가 권한 확인 없이 실행되었기 때문에 공격자의 악성 코드가 자유롭게 실행될 수 있었습니다. 노출은 의도에 있지 않습니다. 레일이 제거된 상태로 여러 고객사에서 대규모로, 에이전트가 실행하도록 요청받은 코드가 양성이 아닌 딱 그 한 번을 기다리고 있다는 점입니다. 주목할 만하게도, 이 권한 우회 실행이 단일 최대 오탐 소스이기도 합니다.

우리가 발견한 안전하지 않은 사용의 다른 사례들:

• AI IDE가 연 역방향 터널: 한 환경에서 AI 코드 에디터가 PowerShell을 생성하고, 이것이 ngrok을 실행해 사용자 자신의 인증 토큰을 사용해 공용 인터넷으로의 명명된 역방향 터널을 열었습니다. 의도는 양성이지만 실제 위험과 노출입니다.
• 에이전트가 토큰 하나를 읽기 위해 전체 macOS 키체인을 덤프: 에이전트와 클라우드 서비스에 저장된 자격증명을 가져오기 위해 security dump-keychain > /tmp/를 실행했고, 모든 저장된 비밀을 임시 파일에 기록해 일시적으로 모두를 노출시켰습니다.
• AI 에이전트에 OAuth 접근을 허용하면 직원들이 서드파티 서비스 제공업체와 민감한 정보를 공유할 수 있게 됩니다. 그리고 그 위에 더해, 프롬프트 인젝션(prompt injection, 악성 입력으로 AI의 동작을 조작하는 기법)이나 AI 계정 침해를 통한 무단 데이터 접근 위험을 높입니다. 테넌트 전반에서 ChatGPT에 OAuth 애플리케이션 동의가 부여된 여러 경보, "새 애플리케이션 첫 로그인: OpenAI" 이벤트, 한 고객사에서는 생성형 AI 업로드에 대한 상당한 데이터 보호 경보 클러스터를 관찰했습니다. 대부분은 양성입니다. 하지만 이것이 기업 데이터가 서드파티 모델로 전송되는 표면이며, 엔드포인트 도구에는 거의 보이지 않습니다.

범주 3: 노이즈

노이즈는 AI 생성 경보의 94.1%로 가장 큰 범주이며, SOC가 익사하는지 여부를 직접 결정합니다. 여기서 노이즈는 무작위가 아닙니다. 구체적이고 진단 가능합니다: AI 에이전트가 존재하기 전에 작성된 탐지 규칙이 이제 일상적인 에이전트 작업에 높은 심각도로 발동됩니다. 이것은 SOC에서 새로운 경향이 아니며, Sophos도 이전에 보고한 바 있습니다.

가장 명확한 예는 AI 벤더 자신의 소프트웨어입니다. 코드 서명으로 검증된 정품 Anthropic Claude Desktop 설치 프로그램이 여러 고객사에서 "랜섬웨어 작업 탐지(Ransomware Operations detected)", "인코딩된 PowerShell 다운로드 및 실행(Encoded PowerShell Download and Run)" 같은 주요 EDR(엔드포인트 탐지·대응) 규칙을 유발합니다. 설치 프로그램은 정당합니다. 탐지는 설치 프로그램의 동작을 랜섬웨어 어휘로 설명합니다.

그 아래에 에이전트 동작 오탐들이 있으며, 모두 조사 결과 개발자가 의도한 대로 도구를 사용한 것으로 확인되었습니다:

• 코딩 에이전트의 업데이트와 개발자의 에이전트 사용이 "랜섬웨어 작업 탐지"를 유발했습니다. 경보를 발생시킨 바이너리는 정당하고 서명된 소프트웨어 패키지입니다. "랜섬웨어 같아 보이는" 동작은 정상적인 Electron/Squirrel 설치 프로그램 활동과 개발자 도구 사용에서 비롯됐습니다.
• node.exe에서 시작된 프로세스가 --yolo 또는 --dangerously-skip-permissions와 함께 OpenAI Codex CLI 에이전트를 실행하면서 ClickFix, DisableTools, DLL 인젝션 탐지를 유발했습니다.
• 표준 개발자 자동화가 "PowerShell이 가능한 역방향 TCP 셸을 생성했습니다(PowerShell created possible reverse TCP shell)" 탐지를 유발했습니다. 프로세스 트리는 실제 역방향 셸이 아니라 정상적인 개발자 자동화와 일치합니다. 부모 프로세스는 powershell.exe를 생성한 서명된 OpenAI Codex 샌드박스 바이너리를 보여주며, 이것이 다시 cmd.exe, python.exe, conhost.exe를 실행했습니다. PowerShell 명령은 평문으로 양성 오케스트레이션 로직을 보여줍니다: 127.0.0.1의 localhost 포트를 확인하고, 사용 가능한 포트를 선택하며, 프로젝트 디렉터리에서 Python 스크립트를 시작하고, stdout과 stderr를 아티팩트 디렉터리의 로컬 로그 파일에 기록합니다.

오탐률이 핵심입니다. 가장 노이즈가 많은 AI 활동 탐지들에서 양성 비율은 77%에서 99%까지입니다. 여러 탐지가 AI 생성 경보에서 다섯 번 중 네 번 이상 틀립니다:

양성 AI 관련 동작에서 유발된 탐지 현황.

한 가지 예외가 규칙을 증명합니다. ClickFix 탐지는 진짜로 심각해 보이는 유일한 클러스터로, 37%만 양성입니다. 이는 이전 섹션의 권한 우회 위험과 충돌하기 때문입니다: --yolo로 실행된 코딩 에이전트에서 발동됩니다. 심지어 "진짜처럼 보이는" 노이즈도 정당한 AI 사용으로 거슬러 올라갑니다.

보안팀이 해야 할 일

분석 결과, 모든 SOC의 첫 번째 단계는 명확합니다: 일상적인 에이전트 작업에 높은 심각도로 발동되는 가장 노이즈가 많은 레거시 탐지 규칙을 조정하는 것입니다. 그 다음으로 어떤 정보를 서드파티 AI 플랫폼과 공유할 수 있는지에 대한 정책을 정의하고(다른 서드파티 플랫폼과 마찬가지로), 그 정책에 기반해 경보를 기다리기보다 권한 우회 플래그, 무단 터널, 위험한 OAuth 허용을 선제적으로 탐지합니다.

두 번째 단계는 더 어렵습니다. 트리아지 자체가 작동하는 방식을 건드리기 때문입니다. AI 도구는 사용자의 머신에서 사용자의 자격증명으로, 본질적으로 사용자를 대신해 명령을 실행합니다. 경보는 따라서 사용자에게 귀속된 행동으로 유발되며, 많은 경우 사용자는 그 행동이 일어났다는 것을 인식하지 못했습니다. AI 이전에는 사용자 지식 없이 사용자의 머신에서 실행된 의심스러운 활동이 보통 공격자가 머신을 장악했을 높은 확률을 나타냈습니다. 이제 SOC 팀은 새로운 복잡성에 직면합니다: 문제의 행동이 AI 에이전트나 도구에 의해 실행되었는지를 먼저 판단해야 합니다.

사용자의 맥락과 에이전트의 맥락을 분리하고, 에이전트가 접근해서는 안 되는 자격증명과 민감한 정보로부터 멀리 유지하려면, AI 도구를 Docker 컨테이너나 가상머신 같은 접근이 제한된 격리된 환경에서 실행하는 것을 권장합니다. 격리는 에이전트가 접근할 수 있는 범위를 제한하고, 에이전트의 동작을 사용자 자신의 활동과 더 쉽게 구분할 수 있게 합니다.

SOC에 주는 시사점

세 가지 범주를 종합하면, 기업 AI 도입의 운영적 현실은 다음과 같습니다:

• 실제 공격(0.02%): 조사한 확인된 공격 중 조직 자체 에이전트에 의해 수행된 것은 없었습니다. 우리가 발견한 진짜 공격 활동은 에이전트 자체가 아니라 외부에서 AI 도입을 타고 벌어집니다—에이전트 자체가 아니라 직원들이 이제 신뢰하는 브랜드명으로 만들어진 피싱 미끼.
• 보안 위험(5.8%): 실질적이고 지속적이며 경보에서 거의 보이지 않습니다. 에이전트는 권한 보호 기능이 비활성화된 채로 실행되고, 공용 인터넷으로 터널을 열고, 저장된 비밀을 과도하게 노출시키며, 기업 데이터를 서드파티 모델로 전송합니다. 이 중 어느 것도 사고가 아니며, 모두 노출입니다.
• 노이즈(94.1%): 지배적인 비용. 오늘날 대부분의 SOC에서 가장 가치 있는 단일 조치는 새로운 탐지가 아닙니다. 개발자가 코딩 에이전트를 실행할 때 최대 심각도 경보가 생성되지 않도록 레거시 탐지 규칙을 조정하는 것입니다.

불편한 종합은 이것입니다: AI 도입이 지금까지 AI 지원 침해의 물결을 가져오지는 않았습니다. 경보의 물결—오늘은 전체 볼륨의 작은 비중이지만 6개월 만에 18배 성장했고 압도적으로 오탐—과, 그 경보들이 묻어버리는 더 작고 조용한 실제 노출들을 가져왔습니다. 모든 에이전트 행동을 잠재적 침입으로 취급하는 SOC는 오탐에 지쳐 소진되며, 그 과정에서 실제로 중요한 ngrok 터널이나 키체인 덤프를 알아채기 어려워질 것입니다.

앞에 놓인 과제는 따라서 AI 공격을 탐지하는 것보다, 매달 두 배 세 배로 늘어나는 볼륨이 그 작업을 불가피하게 만들기 전에 정상적인 AI 동작이 어떻게 생겼는지 탐지 엔진에 학습시키는 것입니다. 이 차이를 이해하는 것이 AI 도입과 함께 확장되는 SOC와 그것에 묻혀버리는 SOC를 가르는 요소입니다.

Intezer 소개

Intezer는 이 데이터가 보여주는 문제—경보 볼륨과 분석가 역량 사이의 벌어지는 간극—를 해결하기 위해 구축된 자율 AI SOC 플랫폼입니다. 개별 탐지 규칙을 하나씩 조정하는 대신, Intezer는 모든 경보를 자동으로 조사하고 엔드포인트나 이메일에서 실제로 무슨 일이 일어나는지 포렌식 수준의 분석을 적용한 뒤 사람이 신뢰할 수 있는 평결을 제공합니다. 이는 SOC가 익사하지 않고도 AI 관련 노이즈를 포함한 모든 경보를 100% 커버할 수 있음을 의미합니다.

자신의 경보 스트림에서도 같은 변화를 경험하고 있다면, intezer.com을 방문해 Intezer 플랫폼이 어떻게 처리하는지 확인하십시오.

참고: 이 기사는 Intezer의 수석 보안 연구원 겸 악성코드 분석가 Nicole Fishbein이 전문적으로 작성 및 기고했습니다.