센티넬원, AI 보조 위협 헌팅으로 하루 고객 침해 감지 28건… 1년 만에 2,200% 급증
원콘(OneCon) 2026 사전 행사 세션, 라스베이거스, 2026년 10월 20일
센티넬원은 고객 콘퍼런스 '원콘(OneCon)' 개막 저녁 행사를 통해 지난해 행사에서 선보인 AI 보조 위협 헌팅 프로그램의 구체적인 수치를 공개했다. 스티븐 스톤 최고고객책임자(CCO)는 이 수치들을 공개하며 1년 전 무대에서 약속했던 사항들을 되짚어보는 책임 경영의 일환이라고 설명했다. 주요 제품 및 전략 발표는 10월 21일로 예정되어 있으며, 제품 리더십과 토머 제이거틴 최고경영자(CEO)가 발표를 맡을 예정이다. 이날 세션은 비교적 범위가 좁았으며, 재무적 지표보다는 운영 지표 위주로 공개되었다. 그럼에도 이번 발표는 투자자들에게 센티넬원의 최신 AI 기능이 실제 운영 환경에서 어떻게 작동하고 있는지 보여주는 드문 정량적 관측 기회를 제공했다.
기저는 낮지만 빠르게 규모를 키우는 AI 보조 헌팅
핵심 데이터 포인트는 지난해 12월 1일 공식 가동된 AI 보조 헌팅 기능이 현재 하루 28차례 고객에게 침해 활동을 통보하고 있다는 점이다. 스톤 CPO는 이 방식을 통한 악성 활동 적발 능력이 첫 분기에 380%, 6개월 차에 1,400%, 그리고 1년 전체로는 2,200% 증가했다고 밝혔다. 그는 초기 수치들이 갖는 의미가 제한적이라는 점에 대해서도 솔직하게 인정했다. 그는 "무언가를 구축해 본 사람이라면 알겠지만, 첫 번째 버전에서는 0에서 1로 넘어가는 과정일 뿐"이라며, "이는 진정으로 의미 있는 수치가 아니다"라고 말했다. 그가 고객에게 진정으로 중요한 수치로 꼽은 것은 하루 28건의 알림이다.
스톤 CPO는 또한 센티넬원이 지난 1년 동안 고객을 위해 1,400만 건이 넘는 '진양성(true positive) 탐지'를 식별했으며, 이는 50% 증가한 수치라고 밝혔다. 그는 이를 조직당 엔드포인트의 약 16% 성장률과 비교하며, 이는 센티넬원 자체의 설치 기반과 일치한다고 설명했다. 따라서 탐지 볼륨은 보호 대상인 표면적보다 약 3배 빠르게 증가하고 있는 셈이다. 그는 이러한 성장의 원동력으로 회사의 자율형 모델을 꼽았다. 이어 센티넬원이 2014년에 출원한 첫 번째 특허가 자율형 멀웨어 탐지 모델을 다루고 있었다고 언급하며, 다른 기업들이 AI 전환에 어려움을 겪는 동안 이러한 역사적 배경이 회사에 선발 주자로서의 우위를 제공한다고 주장했다. 다만 회사는 이러한 기능들과 연계된 매출, 마진, 혹은 부착률(attach-rate) 데이터를 제공하지 않아, 기술적 진전이 재무적 성과로 어떻게 이어질지는 여전히 미지수로 남아 있다.
React2Shell: 출시 48시간 만의 스트레스 테스트, 그리고 윈도우 환경의 한계 인정
스톤 CPO는 'React2Shell' 취약점을 새로운 헌팅 엔진의 첫 번째 실제 테스트 사례로 꼽았다. 지난 12월 3일 CVSS 점수 10.0으로 공개된 이 취약점은 인증이나 사용자 조작 없이 단 한 번의 조작된 HTTP 요청만으로도 시스템 침해를 가능하게 했다. 센티넬원은 취약점 공개 이틀 전에 AI 보조 헌팅 기능을 출시했다. 스톤 CPO는 회사가 12월 9일 한 고객사에서 첫 번째 React2Shell 활동을 감지했으며, 이를 포착한 최초의 메커니즘이 바로 AI 보조 헌팅이었다고 밝혔다. 해당 헌팅 엔진은 웹 익스플로잇의 일반적인 형태를 인식하도록 구축되어 있었다.
스톤 CPO는 취약점에 대해 이례적일 정도로 직설적으로 밝혔다. 그는 "리눅스(Linux)와 맥(Mac)에서는 초기부터 강력한 커버리지를 확보하고 있다는 것을 알았지만, 윈도우(Windows)에서는 실질적인 난관에 부딪혔다"며, 회사가 "반드시 보완해야 할 취약점들이 있었다"고 덧붙였다. 그는 또한 AI와 인간의 논쟁을 저울질하는 투자자들이 심각하게 받아들여야 할 점을 짚었다. 첫 번째 경보는 일상적인 모의해킹(penetration testing)처럼 보였으며, 무언가 잘못되었다고 판단한 것은 수년간의 모의해킹 경험을 가진 인간 헌터였다. 그는 "우리는 기술적 해답을 가지고 있고 모든 것이 보편적이며 기계 주도적이라고 말하기를 좋아한다. 하지만 우리가 이 사업을 시작한 방식은 결코 그렇지 않았다"며, "우리에게는 수년간 모의해킹을 지켜본 전문가가 있었고, 그 전문가는 '이건 뭔가 잘못됐다'는 것을 직감할 수 있었다"고 말했다.
스톤 CPO는 이러한 유형의 탐지가 프로덕션 환경의 탐지가 아닌 '헌팅' 형태로 배포되는 이유를 설명했다. 웹 익스플로잇의 광범위한 형태를 인식하는 도구는 그의 표현을 빌리자면 엔드포인트에서 "폭발"하여 "고객들을 경보 속에 파묻히게" 만들 것이기 때문이다. 헌팅을 통해 찾아낸 결과물들은 정제되어 프로덕션 수준의 탐지로 전환되며, 이는 다시 헌팅 레이어가 새로운 활동을 추적할 수 있도록 여유를 제공한다. 센티넬원은 첫 30일 동안 도메인 정찰(deeper intrusions로 이어지도록 설계된 것으로 보인다고 스톤 CPO가 설명한 활동)과 가상화폐 채굴을 포함한 활동 전반에 걸쳐 8명의 고객 대상 피해 시도를 식별했다. 센티넬원 자체 조사에 따르면 첫 주 동안 이 취약점을 악용한 주요 위협 그룹은 최소 7개에 달했다. 스톤 CPO는 AWS가 첫 공격 발생 후 약 12시간 만에 중국 기반 그룹을 보고했다고 언급했으며, CISA가 이 취약점을 '알려진 악용 취약점 목록(Known Exploited Vulnerabilities list)'에 올린 것은 첫 악용 발생 36시간 만이었다고 덧붙였다.
SectopRAT이 보여준 덜 화려한 사용 사례
세 번째 사례는 의도적으로 평이한 것이었다. 센티넬원이 7년 동안 추적해 온 브라우저 세션 및 가상화폐 지갑 탈취 악성코드인 'SectopRAT'은 몇 달마다 새로운 전달 패키지를 장착해 나타난다. 가장 최근의 패키지는 가짜 클로드(Claude) 데스크톱 설치 프로그램으로 위장하고 있었다. 스톤 CPO는 이 경우 AI 보조 헌팅이 핵심 탐지 수단은 아니었다고 밝혔다. 이는 정적 규칙, 행동 탐지, 그리고 약 50개의 알려진 명령통제(C2) 지표가 여전히 변종들을 잡아내고 있는지 확인하는 품질 관리 레이어 역할을 했다. 회사는 또한 특정 멀웨어보다는 행동 자체를 겨냥한 DLL 사이드 로딩 헌팅 팩을 구축했다. 이는 이 기술의 단기적 가치가 새로운 위협의 발견만큼이나 기존 커버리지를 유지하는 데에도 있음을 시사한다.
위협 환경: 공격용 AI 역량 3배 증가, 머신 스피드로 움직이는 공격자들
스톤 CPO는 약 3개월 전에 발표된 영국 정부의 평가를 인용하며, 최첨단(frontier) 모델의 공격용 사이버 역량이 4개월마다 두 배씩 증가하고 있다고 밝혔다. 그의 계산에 따르면, 그 역량은 지난 원콘 이후 세 배로 늘어났다. 그는 공격자들의 AI 활용이 더 이상 예측의 영역이 아니라고 강조했다. 그는 "그것은 내년의 일이 아니라 작년의 일"이라며, 개인, 소규모 그룹, 그리고 정부에 의해 이미 활용되고 있다고 언급했다.
그는 AI 기반 취약점 발견이 주된 문제라는 시각에 대해서는 선을 그었다. "취약점을 찾는 것은 공격자들에게 결코 병목 현상인 적이 없었다"며, 방어자들이 20년 전에는 취약점과 익스플로잇 면에서 '수십' 개 뒤쳐져 있었고, 2년 전에는 100개, 지금은 1,000개 뒤쳐져 있다고 추산했다. 그의 견해에 따르면 더 큰 변화는 "역사상 처음으로 공격자들이 말 그대로 머신 스피드(machine speed)로 움직이는 것을 목격하고 있다는 점"이다. 그는 다만 절제된 긍정적 측면도 제시했다. AI 기반 공격은 에이전트들이 회피 기동에 덜 체계적이고, 프롬프트가 공격자들로 하여금 "자신이 하고 싶은 바를 말 그대로 작성하도록" 강제하기 때문에 탐지하기 더 쉬울 수 있다는 설명이다.
방어자의 우위 주장과 플랫폼에 대한 시사점
스톤 CPO는 도구만으로는 전문가 없이 불충분하다고 강조하면서도, 이것이 "내가 생각하기에 공격자보다 방어자에게 실제로 더 이득이 되는 첫 번째 기술"이라고 감히 평가했다. 이러한 프레임워크는 재출시된 위협 서비스, 웨이파인더(Wayfinder) 오퍼링, 퍼플 AI(Purple AI), 그리고 에이전틱 조사(agentic investigations)를 둘러싼 센티넬원의 마케팅 전략을 뒷받침한다. 스톤 CPO는 에이전트가 직원처럼 할당된 업무를 수행하며 24시간 내내 가동되어 분석가들을 반복 업무에서 해방시킬 수 있다고 말했다. 이러한 주장은 타당하며 회사의 지표들과도 일치하지만, 여전히 솔루션을 판매하는 벤더 임원진의 시각일 뿐이다. 주목할 점은 이번 세션에서 독립적인 벤치마크, 헌팅 엔진의 오탐(false-positive) 비율, 그리고 고객사 수준의 경제적 효과는 제시되지 않았다는 것이다. 투자자들은 이러한 운영상의 성과가 플랫폼 비즈니스의 지속적인 성장으로 이어질 수 있다는 증거를 내일의 제품 로드맵과 제이거틴 CEO의 발언에서 찾게 될 것이다.