Investing.com — SentinelOne(S)은 2026년 10월 22일 라스베이거스에서 열린 OneCon 2026 발표에서 사이버보안의 다음 단계는 인공지능(AI)과 인간 전문가의 협력에 달려 있다고 강조했다. 회사는 이 방식이 이미 위협 탐지 성과를 높이고 있다면서도, 공격용 AI 도구로 인해 공격 속도와 빈도가 증가하고 있다고 경고했다.
핵심 내용
- SentinelOne은 2024년 12월 출시 이후 AI 지원 위협 헌팅의 악성 활동 탐지 성과가 2,200% 향상됐다고 밝혔다.
- 현재 AI 지원 헌팅만으로 하루 약 28건의 침입 알림을 찾아낸다고 밝혔다.
- 경영진은 AI 기반 공격은 탐지하기 쉬운 편이어서 AI가 공격자보다 방어자에게 더 유리하다고 주장했다.
- SentinelOne은 React2Shell 취약점을 자사의 7단계 탐지 전략을 시험한 주요 사례로 제시했다.
- 회사는 AI 에이전트와 인간 전문가가 24시간 협력하는 체계를 전략의 핵심으로 설명했다.
전략: AI와 인간 분석가의 협력
스티브 스톤 최고고객책임자(CCO)는 SentinelOne의 핵심 경쟁력이 AI 자체가 아니라 AI 모델과 전문 분석가를 결합하는 방식에 있다고 말했다. 목표는 보안팀이 소수 인력의 초과 근무에 의존하는 ‘영웅 모드’에서 벗어나, 반복 업무는 기계가 처리하고 사람은 복잡한 판단에 집중하는 지속 가능한 운영 체계로 전환하는 것이라고 설명했다.
- AI 에이전트는 피로 없이 하루 24시간 작동할 수 있다.
- 인간 전문가는 분석과 의사결정에 더 많은 시간을 쓸 수 있다.
- 회사는 이러한 역할 분담으로 보안팀이 더 빠르고 폭넓게 대응할 수 있다고 밝혔다.
- 스톤은 이 방식이 사이버보안 운영 인력의 경력을 더 지속 가능하게 만들 수 있다고 말했다.
스톤은 이 작업에 참여하는 사내 전문가로 헌팅팀을 이끄는 Luko, AI 지원 헌팅을 주도하는 Brian Kearns, 모델을 개발하는 Sagi Shoshani, 탐지 전문가 Matan Weinstein을 소개했다.
위협 환경: 공격은 빨라지고 패턴은 더 뚜렷해져
스톤은 위협 환경이 빠르게 변하고 있다고 말했다. 그는 영국 정부의 평가를 인용해 최첨단 AI 모델의 공격 역량이 4개월마다 두 배로 증가하고 있다고 설명했다. 지난 OneCon 이후에는 이러한 모델의 공격 역량이 세 배로 커졌다고 덧붙였다.
- AI 기반 공격은 이제 국가 지원 조직뿐 아니라 위협 환경 전반에서 나타난다.
- 소규모 조직과 개인 공격자, 정부도 AI 지원 공격 방식을 사용하고 있다.
- 스톤은 AI 에이전트가 기계처럼 빠르게 움직이고 은밀성에는 상대적으로 덜 신경 쓰는 경우가 많아 이러한 공격은 “탐지하기 매우 쉽다”고 말했다.
- 그는 AI의 활용으로 공격자보다 방어자가 더 큰 이익을 얻는다고 주장했다.
스톤에 따르면 회사가 하루에 확인하는 침입 알림 가운데 약 28건은 AI 지원 헌팅으로만 발견된다. 실제 위협을 정확히 식별한 탐지 건수인 진양성 탐지는 전년 대비 50% 증가했으며, 지난 역년에는 1,400만 건 넘게 확인됐다고 밝혔다.
재무 및 운영 현황
회사는 이번 발표에서 통상적인 실적 보고를 하지는 않았다. 대신 탐지 업무 규모와 고객 환경의 성장 속도를 보여주는 운영 지표를 제시했다.
- 진양성 탐지 건수는 전년 대비 50% 증가했다.
- 지난 역년에 확인된 진양성 탐지는 1,400만 건을 넘었다.
- 일반적인 조직의 엔드포인트 수는 약 16% 증가하며, SentinelOne 고객 환경에서도 비슷한 증가세가 나타난다고 밝혔다. 엔드포인트는 PC와 서버 등 네트워크에 연결된 기기를 뜻한다.
- AI 지원 헌팅 출시 후 첫 3개월 동안 악성 활동 탐지 성과는 380% 증가했다.
- 출시 6개월 후 증가율은 1,400%에 달했다.
- 출시 1년 후에는 2,200%에 달했다.
SentinelOne은 이 수치에 고객 환경의 확대와 모델 개선에 따른 위협 탐지 능력 향상이 모두 반영돼 있다고 설명했다. 활동 데이터를 더 많이 분석하고 전문가들이 모델을 다듬을수록 시스템의 성능도 개선된다는 것이 회사의 메시지다.
7단계 탐지 체계
스톤은 SentinelOne의 ‘7단계 탐지·헌팅 전략’을 소개했다. 각 단계가 함께 작동하며, 헌팅에서 발견한 새로운 공격 패턴을 실제 고객 환경에 폭넓게 적용할 수 있는 탐지 기능으로 발전시킨다고 설명했다.
- 공격자의 명령·제어 활동을 추적하는 침해지표(IOC) 기반 탐지. 지표가 바뀌면 효과가 떨어질 수 있어 취약한 탐지 방식으로 분류된다.
- 특정 위협을 식별하도록 설계된 시그니처.
- 자율 탐지 모델. 회사에 따르면 2014년 창립 및 첫 특허 출원 때부터 플랫폼의 핵심이었다.
- 위협 정보 기반 헌팅.
- 실시간 헌팅.
- 과거 데이터에 대한 소급 헌팅.
- 2024년 12월 1일 출시한 AI 기반 위협 헌팅.
스톤은 헌팅은 새로운 위협을 탐색하는 작업이고, 탐지는 폭넓은 배포를 목적으로 구축된 기능이라고 설명했다. 헌팅으로 새로운 위협과 예외적인 사례를 찾으면 엔지니어가 이를 플랫폼의 탐지 기능으로 전환한다는 점에서 두 작업은 상호 보완적이다.
React2Shell: 탐지 체계를 시험한 주요 사례
발표에서 다룬 주요 사례 중 하나는 CVSS 점수 10.0의 치명적 취약점인 React2Shell이다. 이 취약점은 2024년 12월 3일 공개됐다. 스톤은 이를 지난 1년간 가장 빠르게 대규모 악용이 진행된 사례라고 말했다.
- SentinelOne은 취약점 공개 직전인 2024년 12월 1일 AI 지원 헌팅을 출시했다.
- AWS는 공개 약 12시간 뒤 첫 악용 사례를 관측했다.
- CISA는 첫 악용 약 36시간 뒤 해당 취약점을 ‘알려진 악용 취약점’ 목록에 추가했다.
- SentinelOne은 고객 환경에서의 첫 탐지가 2024년 12월 9일 이뤄졌다고 밝혔다.
- 첫 탐지에 사용된 방식은 AI 지원 위협 헌팅이었다.
스톤은 당시 Linux와 Mac 시스템에서는 탐지 범위가 탄탄했지만 Windows에서는 상대적으로 약해, 이 사례가 탐지 체계의 대응력을 시험하는 계기가 됐다고 말했다. SentinelOne은 7단계 체계를 이용해 공격의 전반적인 양상을 파악한 뒤 탐지 기능을 강화했다.
그는 Google Threat Intelligence가 이 취약점을 악용한 중국 기반 위협 조직을 최소 5곳 확인했다고 말했다. SentinelOne의 조사에서는 첫 주에 주요 위협 조직이 최소 7곳 확인됐다. 회사는 첫 30일 동안 여러 위협 조직의 표적이 된 피해 시도 대상 8곳을 식별했다.
취약점 대응 방식
SentinelOne은 공격 패턴의 범위가 넓고 계속 변하고 있었기 때문에 처음에는 정식 배포된 탐지 기능보다 헌팅을 활용했다고 밝혔다. 분석가들은 의심스러운 활동과 합법적인 모의 침투 테스트를 비교해 실제 공격과 정상 활동을 구분했다.
- AI 모델과 전문가 검토를 함께 활용해 악성 행위와 승인된 테스트를 구별했다.
- 위협 정보가 쌓이면서 7개 탐지 범주를 모두 강화했다.
- 이후 헌팅 결과를 플랫폼에서 정식으로 사용할 수 있는 탐지 기능으로 전환했다.
회사는 이 사례를 조기에 탐지하고, 빠르게 학습한 뒤, 플랫폼의 방어 기능을 강화해 더 많은 고객에게 적용하는 운영 방식의 예로 제시했다.
SectopRAT: 오래된 위협과 달라지는 전달 방식
스톤은 지난 7년간 실제 공격에 사용돼 온 SectopRAT도 설명했다. 이 악성코드는 브라우저 세션과 암호화폐 지갑 정보를 훔치는 데 쓰인다. 몇 달마다 유포에 사용되는 포장 방식이 달라지기 때문에 장기간 탐지 성능을 유지하는 방법을 보여주는 사례라고 말했다.
SentinelOne은 7월 13일 Windows와 Linux용 정적 탐지 규칙을 업데이트하고, 쿠키 탈취 행위를 포착하도록 행위 기반 탐지를 조정했다고 밝혔다. 또한 현재 활동 중인 것으로 알려진 명령·제어 관련 침해지표 50개를 활용한 탐지도 유지했다.
- 변형된 버전과 예외적 사례를 찾기 위해 AI 지원 헌팅을 활용했다.
- 고객 환경의 지난 2주간 데이터를 대상으로 소급 헌팅을 실시했다.
- 그 결과 6건이 넘는 발견 사항이 나왔다.
- SentinelOne은 이 사례를 통해 다른 탐지 기능도 예상대로 작동하는지 점검했다.
스톤은 회사가 특정 실행 파일 패턴을 겨냥한 헌팅 규칙과, 특정 도구 대신 행위에 초점을 맞춘 DLL 사이드로딩 헌팅 규칙 묶음도 개발했다고 말했다. DLL 사이드로딩은 정상 프로그램을 악용해 악성 코드를 실행하는 방식이다. 목표는 7개 탐지 단계 전반에서 전체 공격 경로를 살펴보는 것이었다.
시장에 전한 메시지와 경쟁력
스톤은 2014년 출원한 첫 특허를 근거로 SentinelOne이 자율 탐지 분야에서 12년 앞서 있다고 말했다. 그는 여러 업체가 AI 기능을 추가하려는 현재 시장에서 이러한 이력을 회사의 경쟁력을 뒷받침하는 요소로 제시했다.
- SentinelOne은 AI 지원 헌팅을 추진하는 회사가 자사뿐인 것은 아니라고 인정했다.
- 차별점은 여러 탐지 단계와 인간 전문가의 역량을 결합하는 데 있다고 밝혔다.
- 고객에게 약속한 것과 실제 제공한 것을 투명하게 공개하고 책임지는 태도를 강조했다.
- 경험에서 얻은 교훈을 사이버보안 업계와 공유하겠다고 밝혔다.
스톤은 방어 시스템이 AI로 공격 패턴을 포착할 수 있는 반면, 공격자는 눈에 띄는 수법을 대량으로 실행하는 데 AI를 사용하는 경우가 많다고 설명했다. AI가 공격자보다 방어자에게 더 도움이 된다는 이러한 관점이 발표 전반의 바탕이었다.
향후 전망
SentinelOne은 OneCon 2026에서 소개한 작업이 더 폭넓은 개발 계획의 일부라고 밝혔다. 행사 후반에는 Chris Corde와 그의 팀이 새로운 기술 도입 계획을 발표하고, Tomer가 회사의 방향과 시장 내 입지를 설명할 예정이라고 전했다.
- 탐지 단계 전반에 AI 지원 헌팅을 계속 확대할 계획이다.
- 기계처럼 빠르게 전개되는 공격에 대응할 수 있는 속도를 유지하려 한다.
- 헌팅에서 발견한 위협을 정식 방어 기능으로 전환하는 작업을 지속할 방침이다.
- 자동화와 전문 분석가의 협업을 이어갈 계획이다.
스톤은 사이버보안팀에 지속적으로 작동하면서도 인간의 판단이 개입할 여지를 남겨두는 도구가 필요하다고 강조했다. 그는 이 운영 방식이 이미 SentinelOne의 드문 침입 활동 탐지와 일상적인 보안 업무 개선에 도움이 되고 있다고 말했다.
전체 논의와 추가적인 맥락은 아래 발표 기록을 참고하면 된다.
이 기사는 인공지능의 도움을 받아 번역됐습니다. 자세한 내용은 이용약관을 참조하시기 바랍니다.
