SentinelOne의 악성코드 분석, 몇 주에서 8시간으로: AI가 넓히는 조사 범위

OpenAI가 2026년 10월 14일 공개한 SentinelOne 사례는 보안 AI의 가치를 답변 속도보다 조사할 수 있는 위협의 범위에서 설명한다. SentinelOne의 최고 AI 책임자 Gregor Stewart는 숙련 연구자가 4~6주 걸리던 정교한 악성코드 역공학 작업에 대해, OpenAI Daybreak가 약 8시간에 사람 수준의 결과를 낸다고 말했다. 이는 고객사의 경험을 담은 공식 사례 발표이지, 모든 악성코드에 적용되는 독립 벤치마크 결과는 아니다.

무엇을 줄였나

역공학은 프로그램을 분해해 어떤 동작을 하는지 이해하는 작업이다. 실행 흐름과 구성 요소를 따라가다 새로운 단서가 발견되면 앞선 가설을 다시 확인해야 한다. 원문에서 줄었다고 설명하는 시간은 이처럼 깊이 있는 분석에 관한 것이며, 보안 사고 전체의 탐지·차단·복구 시간이 일괄적으로 8시간이 됐다는 뜻이 아니다.

Daybreak는 방어자가 사이버보안 작업에 OpenAI 모델을 이용하도록 하는 프로그램이다. SentinelOne은 이를 악성코드의 동작을 파악하는 역공학에 사용한다고 밝혔다. 이번 소식은 새로운 공개 모델의 출시나 누구나 설치할 수 있는 분석 도구의 배포가 아니라, 실제 보안 연구 조직이 해당 역량을 어떻게 활용하는지에 대한 사례다. 이 발표만으로 접근 자격이나 가격, 사용 가능한 모든 모델을 단정할 수 없다.

한 샘플 다음의 일

시간 단축이 중요한 이유는 한 건을 빨리 마치는 데서 끝나지 않는다. 기존에는 인력이 제한돼 특히 중요하거나 흥미로운 소수의 위협에만 깊은 분석을 배정해야 했다. 조사 가능한 샘플이 늘면 서로 무관해 보이던 악성코드 사이의 공통 구성 요소를 비교할 기회도 늘어난다.

원문은 두 개의 다른 샘플에서 같은 구성 요소를 발견하면 고객 조사에서 더 확인할 단서를 얻을 수 있다고 설명한다. 다만 공통 코드가 있다는 사실만으로 같은 공격자라고 확정할 수는 없다. 공유 라이브러리나 재사용된 도구일 수도 있기 때문이다. AI가 만든 연결 가설은 분석가가 검증할 출발점으로 다루는 것이 타당하다. 이는 사례의 의미를 해석한 것으로, 원문이 별도의 귀속 판정 정확도를 입증했다는 뜻은 아니다.

자동화와 책임

Stewart는 결과에 대한 책임은 여전히 팀에 남는다고 강조한다. 소프트웨어의 근본 동작을 바꾸지 않는 국소적인 수정은 자동화에 더 적합할 수 있지만, 아키텍처를 바꾸는 결정에는 사람이 살펴볼 필요가 있다는 설명이다. 처리 속도가 빨라져도 변경 승인과 운영 책임까지 모델에 넘기는 구조는 아니라는 점이 중요하다.

보안 조직이 이 사례를 평가할 때도 분석 초안 생성, 근거 확인, 수정 승인, 배포를 서로 다른 단계로 나눠 보는 편이 좋다. 자동 생성된 설명이 실제 코드 동작과 맞는지 확인하는 과정과, 수정이 정상 기능을 해치지 않는지 확인하는 과정은 별개다. 이 구분은 독자를 위한 운영상 해석이며 SentinelOne의 비공개 내부 절차를 확인한 내용은 아니다.

숫자를 읽는 조건

4~6주와 약 8시간은 회사 관계자가 소개한 경험치다. 공개 원문에는 비교에 사용한 전체 샘플 수, 난이도 분포, 동일 조건의 대조 실험, 오류율과 재작업 시간 같은 세부 정보가 제시되지 않는다. 따라서 이를 보편적인 생산성 배수나 특정 보안팀의 인력 감축 비율로 바꾸어 읽으면 안 된다. 사람 수준이라는 표현 역시 공개된 공통 평가표의 통과 점수로 제시된 것은 아니다.

원문은 더 많은 구성원이 부족했던 보안 전문성에 접근해 직접 문제를 조사할 수 있게 됐다고 소개한다. 앞으로 개발 단계에서 보안 문제를 해결하도록 이 역량을 코드 작성에 연결하고 싶다는 구상도 담겼다. 현재 사용 사례와 향후 희망을 구분해야 하며, 모든 개발자가 이미 같은 기능을 제공받는다는 발표로 확대할 수 없다.

도입 전에 물을 것

독자의 조직이 비슷한 체계를 검토한다면 대표 악성코드 집합에서 분석 시간뿐 아니라 잘못된 결론, 놓친 동작, 검토 비용을 함께 측정할 필요가 있다. 고객 데이터와 실행 파일을 외부 서비스에 제출할 수 있는지도 계약·법무·보안 정책에 따라 먼저 확인해야 한다. 이 사례에는 구체적인 데이터 보관 조건과 요금표, 설치 명령이 포함되지 않았으므로 이를 추측해 사용 가이드로 제시하지 않는다.

이번 발표의 핵심은 연구자 한 명을 대체했다는 이야기가 아니다. 제한된 시간에 더 많은 위협을 조사하고 샘플 사이의 관계를 찾을 여지가 커졌다는 것이다. 그 가능성을 실무 성과로 바꾸는 조건은 속도 수치 하나가 아니라 근거의 품질, 사람이 책임지는 승인 경계, 조직의 데이터 처리 조건이다.

출처