5월 7일의 그 에이전트, 이번엔 방어 쪽에 섰다

2026년 5월 7일에 벌어진 장면부터 다시 떠올려보자. 중국 주하이의 누군가가 텔레그램에 명령을 한 줄 치고 손을 뗐고, 그 뒤로 AI 에이전트가 혼자 인터넷 자산 검색엔진을 두들기며 취약한 서버를 골라내고, 깃허브에서 PoC 코드를 긁어오고, 표적이 시원찮다 싶으니까 사람이 시키지도 않았는데 다른 제품으로 갈아탔어. Unit 42가 7월 31일에 공개한 그 캠페인 말이야. 자율 공격 성적은 0승이었지만, Unit 42가 남긴 문장은 성적표보다 무거웠지 — "AI 증강 공격 작전의 기술적 진입장벽은 낮고, 계속 낮아지고 있다."

그 보고서가 나온 지 사흘째 되는 날, 마이크로소프트는 똑같은 구조물을 방어자 쪽에 세워놓고 문을 열었다. 2026년 8월 3일, 프로젝트 퍼셉션(Project Perception)이 마이크로소프트 디펜더 포털 안에서 퍼블릭 프리뷰를 시작했어. 이 시스템 안에는 '레드 팀 에이전트'가 있다. 하는 일은 knaithe의 딥시크 에이전트가 했던 것과 개념적으로 거의 같아. 네 환경을 정찰하고, 공격 경로를 지도로 그리고, 병목과 값나가는 자산과 과도한 권한을 찾아낸다. 차이는 딱 하나야. 이번엔 그 정찰 결과가 익스플로잇이 아니라 티켓으로 간다는 것.

발표 자체는 7월 27일이었어. 마이크로소프트 시큐리티 총괄 부사장 하예테 갈로(Hayete Gallot)가 공식 블로그에 "AI 시대를 위한 보안 재고"라는 글을 올리면서 처음 공개했고, 첫 문장이 이랬다. "사이버보안의 물리 법칙이 바뀌고 있다." 공격 비용은 떨어지는데 지켜야 할 것의 부피·속도·복잡도는 계속 커진다는 진단이야. 그러면서 내놓은 결론이 "보안에는 새로운 사이버 스택이 필요하다"였고, 그 스택의 이름이 퍼셉션이었어.

그래서 이 글에서 뜯어볼 건 이거야. 레드·블루·그린이라는 3색 편성이 실제로 무슨 뜻인지, 마이크로소프트가 자체 개발한 첫 사이버 전용 모델 MAI-Cyber-1-Flash가 자랑하는 96%라는 숫자가 무엇에 대한 96%인지, 그리고 제일 중요한 것 — 왜 이 화려한 발표에서 정작 '자율 교정'은 빠져 있는지. 마지막 질문의 답이 이 뉴스에서 제일 정직한 부분이거든.

이 판에 올라온 이름들

첫 번째는 마이크로소프트 시큐리티 본체다. 갈로가 이끄는 조직이고 신원(Entra), 위협 보호(Defender), 컴플라이언스, 데이터 보안까지 다 들어간다. 이 조직의 진짜 무기는 모델이 아니라 위치야. 퍼셉션 발표문이 강조한 것도 그 지점이다 — 신원, 엔드포인트, 애플리케이션, 데이터, 클라우드, 그리고 AI 시스템까지 한꺼번에 본다는 것. 애널리스트 페르난도 몬테네그로가 Futurum 분석에서 짚은 것도 똑같아. 마이크로소프트의 우위는 에이전트 자체가 아니라 "기업 내부에 이미 박혀 있다는 사실", 즉 액티브 디렉터리와 Entra 신원, 윈도우 엔드포인트라는 거야. 조사 응답자 기준 정보보안 침투율이 대략 77% 수준이라는 수치도 함께 인용했지.

두 번째는 MDASH다. 이게 이번 발표의 숨은 주인공인데, 마이크로소프트가 2026년 5월 12일 시큐리티 블로그에서 먼저 공개했던 물건이야. 취약점을 찾아내고 검증하고 고치는 에이전트형 시스템인데, 100개가 넘는 전문 에이전트를 준비(Prepare)·스캔(Scan)·검증(Validate)·중복 제거(Dedupe)·증명(Prove) 파이프라인으로 굴린다. 당시 마이크로소프트가 내세운 문장이 인상적이야 — "하네스가 일을 하고, 모델은 하나의 입력일 뿐이다." 단일 모델로 코드를 훑는 접근법은 파일을 가로지르는 패턴이나 복잡한 취약점 체인을 놓친다는 주장이지. 실제로 이 시스템은 윈도우 네트워킹 스택에서 취약점 16개를 찾아냈고, 그중 4개가 tcpip.sys와 ikeext.dll의 치명적(Critical) 원격 코드 실행이었어. 5월 12일 패치 화요일에 배포된 것들이야.

세 번째가 MAI-Cyber-1-Flash. 마이크로소프트 AI를 이끄는 무스타파 술레이만과 갈로가 공동 명의로 7월 27일 발표한, 사이버보안 전용으로 처음부터 사내에서 만든 모델이다. 마이크로소프트 AI 공식 소개에 따르면 MAI-Thinking-1 계열에서 나온 "작고 코드에 치우친 보안 모델"이고, 기술 사양을 정리한 MarkTechPost 리포트 기준으로는 총 1,370억 파라미터에 활성 50억인 희소 MoE 구조, 컨텍스트 25만 6천 토큰, 텍스트 전용이야. 이름의 'Flash'가 말해주듯 프론티어 모델이 아니라 값싸고 빠른 실무형이라는 뜻이고, 실제 배치 전략도 그래. MDASH 작업의 최대 90%를 이 모델이 처리하고, 제일 어려운 10%만 GPT-5.4로 에스컬레이션한다.

네 번째는 채점표를 쥔 쪽, CyberGym이다. UC 버클리의 다운 송(Dawn Song) 교수 연구진이 2025년 6월 arXiv에 올린 벤치마크(arXiv:2506.02548)로, 188개 실제 소프트웨어 프로젝트에서 나온 1,507개 실제 취약점을 다룬다. 문제 형식은 잔인해. 취약점 설명 텍스트와 코드베이스만 주고, 그 취약점을 실제로 재현하는 PoC를 만들어내라는 거야. OSS-Fuzz가 찾아낸 실제 사례들에서 뽑아왔지. 논문이 나올 당시 최상위 조합조차 성공률이 20% 언저리였고, 이 벤치마크를 돌리는 과정에서 제로데이 34개와 불완전 패치 18개가 새로 발견됐어. 여기서 96%가 나온다는 건 1년 남짓 만에 이 영역이 얼마나 뒤집혔는지를 보여주는 숫자야.

다섯 번째는 비교 대상으로 호명당한 앤트로픽의 Claude Mythos다. 4월 7일에 프리뷰로 공개된 사이버보안 특화 프론티어 모델인데, 앤트로픽 자체 레드팀 보고서 기준으로 CyberGym 취약점 재현 83.1%(Opus 4.6은 66.6%)를 기록했고, 파이어폭스 취약점 테스트에서 작동하는 익스플로잇을 181회 만들어냈어. 너무 세다는 판단 때문에 일반 공개를 안 하고 '프로젝트 글래스윙'이라는 이름으로 40개 안팎의 조직에만 열어뒀지. 영국 AI 안전연구소가 별도 평가를 낸 것도 이 모델이야. 마이크로소프트가 굳이 "Mythos 대비 +12점"이라고 쓴 건, 지금 사이버 모델 판에서 기준점이 어디인지를 드러내는 문장이기도 해.

실제로 뭘 열었나 — 그리고 뭘 안 열었나

먼저 구조. 마이크로소프트 런 문서 기준으로 퍼셉션은 '플레이북'이라는 단위로 움직인다. 플레이북은 에이전트 팀에게 목표 묶음을 할당하고 워크플로 전체를 오케스트레이션하는 재사용 가능한 템플릿이야. 자연어로 "지금 이 알림 좀 봐줘"라고 채팅을 치면 퍼셉션이 알맞은 플레이북을 골라 입력값을 미리 채우고 인라인으로 돌린다. 디펜더 포털 안에 Overview·New Chat·Sessions·Agents·Playbooks라는 다섯 개 구획이 생기고, 관리자는 어떤 에이전트를 켤지, 누가 세션을 실행하거나 볼 수 있는지를 지정해.

프리뷰 문서에 실제로 이름이 박힌 에이전트는 여섯 개다. 레드 팀에는 정찰 에이전트(Recon Agent) 하나. 공격자의 정찰 행동을 흉내 내서 환경을 지도화하고 공격 경로·병목·핵심 자산·설정 오류·과도한 권한을 드러낸다. 블루 팀에는 네 개가 있어. 트리아지 에이전트는 알림을 진짜/가짜로 분류하고 왜 그렇게 판단했는지 설명을 붙이고 피드백으로 학습한다. 위협 인텔리전스 에이전트는 공격 패턴과 지표를 추출해 방어법을 뽑아내고, 공격 조사 에이전트는 알림·인시던트·신호를 엮어 공격 서사 전체를 복원한다(판정, 타임라인, 기법, IOC, 영향받은 엔티티까지). 탐지 작성 에이전트는 커버리지 구멍을 찾아 새 탐지 규칙을 직접 쓴다. 그린 팀에는 포스처 우선순위 에이전트 하나 — 노출도·악용 가능성·자산 중요도로 위험을 실제 기준에 맞춰 줄 세운다.

여기서 눈에 띄는 게 비대칭이야. 블루 팀이 네 개인데 그린 팀은 하나고, 그 하나조차 '고치는' 게 아니라 '뭘 먼저 고칠지 정하는' 에이전트다. 발표문에서 그린 팀은 "교정 조치를 취하고 방어를 강화한다"고 돼 있었는데, 8월 3일 프리뷰에 실제로 들어온 건 우선순위 판단까지야. 자율 교정은 프리뷰에 없다. 마이크로소프트가 제시한 단계적 계획은 이래 — 기기 격리처럼 되돌릴 수 있는 조치는 연내에 들어오고, 호스트 패치처럼 위험한 조치는 당분간 사람 승인을 거친다. 제품 페이지도 같은 말을 한 줄로 못 박아뒀어. "영향이 큰 모든 조치는 사람의 승인 아래 있다."

그리고 과금. 퍼셉션은 SCU(Security Compute Unit) 소비 기반이다. 에이전트마다 작업 강도에 따라 SCU를 다른 속도로 먹는다고 명시돼 있어. 이 단위는 처음 보는 게 아니야. 2024년 3월 CNBC가 보도했듯 마이크로소프트는 시큐리티 코파일럿을 SCU 시간당 4달러로 매겼고, 그게 업계에서 꽤 시끄러웠던 가격 모델이거든. 몬테네그로가 리스크로 꼽은 것도 정확히 이 지점이야. "팀들이 이 루프를 대규모로 돌리기 시작했을 때 청구서가 예측 가능하게 유지되는지, 아니면 요금 충격이 도입을 늦추는지 지켜봐야 한다."

항목 내용 확인 근거
발표일 2026년 7월 27일 (하예테 갈로, MS 시큐리티 총괄 부사장) MS 공식 블로그
퍼블릭 프리뷰 2026년 8월 3일, Microsoft Defender 포털 내 MS 공식 블로그·제품 페이지
에이전트 편성 레드(공격 경로 노출)·블루(탐지·조사)·그린(교정·강화) 3계열 폐루프 MS Learn 개요 문서
프리뷰 공개 에이전트 정찰 1 / 트리아지·위협 인텔·공격 조사·탐지 작성 4 / 포스처 우선순위 1 = 총 6종 MS Learn 에이전트 분류 문서(2026-07-31 갱신)
신규 자체 모델 MAI-Cyber-1-Flash — 사이버보안 전용 첫 사내 모델 Microsoft AI 공식 발표
모델 사양 총 1,370억 / 활성 50억 희소 MoE, 컨텍스트 256k, 텍스트 전용 MarkTechPost 기술 리포트 정리
CyberGym 점수 95.95% (MDASH + MAI-Cyber-1-Flash + GPT-5.4 구성) Microsoft AI 발표
직전 구성 대비 2026년 5월 MDASH 구성 88.45% → +7.5%p MS 시큐리티 블로그(5/12)
경쟁 시스템 발표 차트상 4개 경쟁 시스템 83.2~85.6% / Mythos 대비 +12점 Microsoft AI 발표
비용 기존 MDASH 구성 대비 약 50% 절감 (작업 최대 90%를 Flash로 라우팅) Microsoft AI 발표
벤치마크 규모 CyberGym: 188개 프로젝트, 실제 취약점 1,507개 arXiv:2506.02548, CyberGym 공식 사이트
자율 교정 프리뷰 제외. 기기 격리 등 가역 조치는 연내, 패치 등 고위험은 사람 승인 MS 단계적 롤아웃 계획, Futurum 분석
과금 SCU(Security Compute Unit) 소비 기반, 에이전트별 소모율 상이 MS 제품 페이지

표에서 제일 조심해서 읽어야 할 줄은 95.95%야. 이건 MAI-Cyber-1-Flash 단독 점수가 아니다. MDASH라는 하네스와 라우팅 로직, 그리고 오픈AI의 GPT-5.4까지 다 포함한 시스템 구성의 점수야. 마이크로소프트 스스로도 5월에 "하네스가 일을 하고 모델은 하나의 입력일 뿐"이라고 했으니 논리적으로는 일관되지만, "우리 자체 모델이 앤트로픽을 12점 눌렀다"로 요약하면 틀린 독해가 된다. 정확히는 "우리 시스템에 우리 모델을 얹었더니 시스템 점수가 7.5%p 올랐고 비용은 반토막 났다"야. 그리고 이 시스템은 여전히 가장 어려운 10%를 오픈AI 모델에게 맡긴다. 자체 모델 서사와 멀티모델 서사가 한 발표문 안에 공존하는 이유가 그거지.

누가 이득을 챙기나

가장 직접적인 수혜자는 인력이 모자란 SOC(보안 관제 센터)다. 알림 트리아지는 보안 운영에서 가장 지겹고 가장 실수가 잦은 일이야. 대부분이 오탐인데 그 대부분을 사람이 하나씩 열어봐야 하고, 지친 3교대 애널리스트가 진짜 하나를 놓치는 순간 사고가 난다. 트리아지 에이전트가 판단 근거를 붙여서 참/거짓을 분류해준다면, 그리고 공격 조사 에이전트가 흩어진 알림을 하나의 타임라인으로 엮어준다면, 이건 "AI가 사람을 대체한다"가 아니라 "1차 분류의 처리량이 올라간다" 쪽이야. 구글 클라우드도 자사 에이전트형 SOC에서 30분짜리 수동 분석을 60초로 줄인다고 홍보하는데, 방향은 같아.

두 번째 수혜자는 이미 마이크로소프트에 깊이 잠긴 조직들이다. E5를 쓰고, Entra로 신원을 관리하고, 디펜더로 엔드포인트를 보는 회사라면 퍼셉션은 새 벤더 계약이 아니라 포털 안의 새 탭이야. 이게 몬테네그로가 말한 '참호'의 실체다. 보안 제품 구매는 성능 비교표로 나는 게 아니라 조달 절차와 통합 비용으로 나거든. 에이전트는 이미 AWS·구글·시스코·크라우드스트라이크·팔로알토·센티널원이 다 내놓은 '기본 사양'이 됐고, 그러면 차별화는 에이전트가 아니라 그 에이전트가 손댈 수 있는 액추에이터의 범위에서 생긴다.

세 번째, 조금 덜 눈에 띄지만 실질적인 수혜자는 오픈소스 프로젝트 유지보수자들이다. MDASH 계열 시스템이 실제로 하는 일은 코드베이스에서 취약점을 찾아 재현까지 해내는 거야. 구글 딥마인드의 CodeMender가 6개월 만에 오픈소스 프로젝트에 보안 수정 72건을 업스트림했다는 사례가 이미 있고, 빅슬립은 SQLite 취약점(CVE-2025-6965)을 공격자보다 먼저 찾아 막았지. 자동 취약점 발견이 방어 쪽으로 기울면 혼자 프로젝트를 떠받치던 사람들의 부담이 실제로 줄어든다.

반대로 애매해지는 쪽도 있다. 첫째는 취약점 스캐닝을 단품으로 파는 벤더들이야. 마이크로소프트가 대놓고 내세운 게 "절반 가격"이잖아. 비용 50% 절감을 광고 문구로 쓰는 순간, 같은 일을 더 비싸게 파는 제품은 갱신 협상에서 그 문장을 그대로 맞아야 해. 둘째는 재무팀이야. SCU 소비 과금은 예측이 어려운 구조인데, 하필 에이전트라는 게 "계속 돌면서 계속 찾는" 물건이거든. 시큐리티 코파일럿 때 이미 한 번 겪은 학습이라 이번엔 구매팀이 프리뷰 단계에서부터 상한선을 걸고 들어갈 가능성이 높다.

그리고 잊으면 안 되는 게, 프리뷰의 진짜 수혜자는 마이크로소프트라는 사실이야. 자율 교정을 빼놓고 프리뷰를 여는 건 겸손이 아니라 데이터 수집 전략이다. 수천 개 조직의 실제 환경에서 에이전트가 제안한 조치를 사람이 승인했는지 거절했는지가 전부 로그로 쌓이잖아. 그게 곧 "언제 자율로 풀어도 되는가"에 대한 훈련 데이터이자 근거가 된다. 연내에 기기 격리를 자동화하겠다는 로드맵은 그 데이터를 확보한 다음에야 실행 가능한 약속이야.

예전에 이런 걸 시도한 사람들은 어떻게 됐나

성공 사례부터. 자동 취약점 발견이 실제로 결과를 낸 대표 케이스는 구글이야. 딥마인드와 프로젝트 제로가 함께 만든 빅슬립은 2024년 11월에 첫 실제 취약점을 찾았고, 이후 위협 인텔리전스와 결합해 SQLite 취약점을 공격자가 쓰기 직전에 차단했어. CodeMender는 찾는 데서 그치지 않고 코드를 다시 써서 고치는 쪽으로 갔고 6개월간 72건을 업스트림했지. 여기서 배울 건 숫자가 아니라 배치 방식이야. 구글은 이걸 처음부터 "완전 자동 패치"로 팔지 않았어. 사람이 검토하는 파이프라인 안에 넣고, 실적을 쌓은 다음에 범위를 넓혔다. 마이크로소프트가 지금 하는 것과 똑같은 순서지.

또 하나의 성공은 마이크로소프트 자신의 5월 성과다. MDASH가 윈도우 네트워킹 스택에서 취약점 16개를 찾았고 그중 4개가 치명적 RCE였다는 건, 사내 최대 규모의 코드베이스에서 사람이 오랫동안 못 본 걸 시스템이 찾아냈다는 뜻이야. 게다가 통제된 테스트에서 심어둔 취약점 21개를 오탐 없이 전부 찾았다는 결과도 함께 공개했어. 벤치마크 점수보다 이런 실물 결과가 더 설득력 있는 이유는, CyberGym 같은 벤치마크는 결국 "정답이 있는 문제"인 반면 실제 코드베이스에는 정답지가 없기 때문이야.

이제 실패 쪽. 첫 번째 교훈은 가격에서 나온다. 시큐리티 코파일럿이 2024년 4월 정식 출시되면서 SCU 시간당 4달러라는 소비 과금을 들고 나왔을 때, 업계 반응은 "기능은 인상적인데 예산 편성이 안 된다"였어. 보안 예산은 원래 연간 고정으로 잡히는데 소비 과금은 사고가 터진 달에 폭증하는 구조라 정확히 반대거든. 퍼셉션이 같은 단위를 쓴다는 건 같은 마찰을 다시 겪는다는 뜻이고, 이번엔 에이전트가 자율로 돌아가니 변동성이 더 크다.

두 번째 실패 교훈은 자동 조치의 폭발 반경이다. 2024년 7월 크라우드스트라이크 팰컨의 결함 있는 콘텐츠 업데이트가 전 세계 윈도우 기기를 한꺼번에 부팅 불능으로 만들었던 사건, 그거 악성 공격이 아니었어. 보안 제품이 자동으로 밀어넣은 변경 하나가 항공사와 병원을 멈춰 세운 거야. 자율 교정이라는 건 본질적으로 그런 권한을 AI 판단에 위임하는 일이다. 마이크로소프트가 "가역적 조치부터, 패치는 승인 후"라고 선을 그은 건 이 사건 이후 업계가 공유하게 된 상식의 반영이야. 되돌릴 수 있는 조치와 되돌릴 수 없는 조치를 같은 자동화 등급에 놓지 않는 것.

세 번째는 바로 어제 해커뉴스에서 벌어진 논쟁이다. JFrog 리서치가 올린 'SQLite Critical CVEs or LLM Slop?'이 8월 3일에 686점을 받았는데, 요지는 AI가 자동 생성한 취약점 보고서 상당수가 실제로는 심각하지 않거나 근거가 부실하고, 그게 CVE 데이터베이스의 신뢰도를 갉아먹고 있다는 거야. 이건 퍼셉션 같은 시스템에 정확히 겨눠진 경고이기도 해. 자동 취약점 발견의 진짜 병목은 '찾는 능력'이 아니라 '찾은 게 진짜인지 증명하는 능력'이거든. MDASH 파이프라인에 Validate와 Prove 단계가 따로 있는 이유가 그거고, CyberGym이 설명이 아니라 재현 PoC를 요구하는 이유도 그거야. 숫자가 96%든 88%든, 실무에서 평가받는 건 오탐 하나가 개발팀 이틀을 태우느냐 아니냐지.

경쟁자들은 어디를 때릴까

크라우드스트라이크는 이미 같은 자리에 서 있다. 샬럿 AI 계열로 에이전트형 SOC를 밀고 있고, SOC를 바꾸겠다며 에이전트 일곱 개를 한꺼번에 내놨어. 거기에 노코드 에이전트 개발 플랫폼인 AgentWorks와 오케스트레이션·거버넌스 계층인 Agentic SOAR을 붙였지. 액센츄어·딜로이트·크롤·세일즈포스·텔레포니카 테크 같은 파트너 생태계까지 깔았고. 마이크로소프트와의 차이는 명확해. 크라우드스트라이크는 "네가 직접 에이전트를 만들어라"고 하고, 마이크로소프트는 "우리가 만든 플레이북을 켜라"고 한다. 커스터마이징 자유도 대 통합 편의성의 오래된 대결이야.

구글은 다른 축으로 온다. Wiz 인수, 제미나이, 맨디언트, 구글 시큐리티 오퍼레이션스를 묶어 에이전트형 방어를 밀고 있고, 트리아지·조사 에이전트로 분석 시간을 30분에서 60초로 줄인다는 주장을 내놓고 있어. 구글의 진짜 무기는 위협 인텔리전스 쪽이야. 구글 클라우드 위협 인텔리전스 팀은 공격자들이 AI를 취약점 익스플로잇과 초기 침투에 어떻게 쓰는지를 계속 문서로 공개하고 있는데, 이건 마이크로소프트가 흉내 내기 어려운 자산이라기보다는 둘 다 강한 영역이지. 그래서 이 싸움은 "누가 더 좋은 에이전트를 만드나"가 아니라 "누가 더 빨리 실제 공격 데이터를 에이전트에 먹이나"로 간다.

팔로알토는 조금 다른 카드가 있다. Unit 42의 5월 7일 캠페인 보고서가 그 카드야. 자율 공격 에이전트가 실제로 어떻게 움직이는지를 세션 로그 단위로 복원해 공개한 조직이 팔로알토라는 사실은, "우리는 AI 공격을 실물로 본 적이 있다"는 영업 문장이 된다. Cortex XSIAM이 SIEM·XDR·SOAR·공격면 관리·위협 인텔을 한 플랫폼으로 합쳐놓은 구조라, 마이크로소프트가 디펜더 포털 안에서 하는 걸 팔로알토는 XSIAM 안에서 한다. 다만 팔로알토는 마이크로소프트처럼 운영체제와 신원 인프라를 소유하지는 않아서, 액추에이터의 도달 범위에서는 불리해.

앤트로픽은 아예 다른 층위에 있다. Mythos는 제품이 아니라 능력이고, 40개 안팎 조직에만 여는 방식은 "이건 너무 세서 아무한테나 못 판다"는 포지셔닝이야. 이게 마이크로소프트에게는 위협이자 기회다. 위협인 이유는 최고 성능의 사이버 모델이 경쟁사 손에 있다는 것이고, 기회인 이유는 그 모델을 아무나 못 쓴다는 것. 마이크로소프트의 논리는 "가장 센 모델 하나보다, 작업마다 알맞은 모델을 붙이는 시스템이 낫다"인데, 이건 경제성 논리로는 강하지만 최상위 난이도 문제에서는 여전히 프론티어 모델을 빌려야 한다는 자백이기도 해.

마지막으로 아무도 언급 안 하는 경쟁자가 있다. 오픈소스 조합이야. Unit 42 보고서가 보여준 그대로, 공격 쪽에서는 이미 MIT 라이선스 프레임워크 하나와 값싼 모델 API 하나로 자율 루프가 돌아가고 있어. 방어 쪽이라고 다를 이유가 없다. 예산이 빠듯한 조직은 SCU 청구서 대신 자체 하네스를 짜는 선택지를 진지하게 검토할 거고, 그 선택지가 존재한다는 사실 자체가 상용 제품의 가격 상한선을 눌러준다.

그래서 실제로 뭐가 달라지나

일반 사용자한테는 당장 보이는 변화가 없어. 이건 기업이 사는 물건이고 네 계정 화면에는 아무것도 안 뜬다. 다만 간접적인 결과는 있어. 네가 쓰는 서비스가 마이크로소프트 스택 위에 올라가 있다면, 그 회사의 보안팀이 알림 더미를 파는 시간이 줄고 진짜 위협에 붙는 시간이 늘어날 가능성이 조금 생긴다. 반대로 나쁜 쪽 시나리오도 상상해볼 수 있어. 자동 격리가 연내에 켜지고 나면, 오탐 하나 때문에 네 회사 노트북이 갑자기 네트워크에서 잘려나가는 아침이 올 수도 있다는 것. 사람 승인 게이트가 왜 중요한지 체감하게 되는 건 대개 그런 날이지.

개발자와 보안 실무자한테는 지금이 프리뷰를 만져볼 시점이다. 다만 세 가지를 기준으로 보는 게 좋아. 첫째, 오탐률. 트리아지 에이전트가 붙여주는 '설명'이 진짜 판단 근거인지 아니면 그럴듯한 사후 서사인지를 직접 세어봐야 해. 어제 해커뉴스에서 'meat proxy' 글이 1,661점을 받은 맥락이 바로 이거야 — AI 출력을 검증 없이 다음 사람에게 넘기는 순간 아무 가치도 안 생긴다는 것. 에이전트가 오탐이라고 닫은 알림을 표본으로 다시 열어보는 절차를 처음부터 넣어라. 둘째, SCU 소모. 어떤 플레이북이 얼마를 먹는지 프리뷰에서 측정해두지 않으면 정식 출시 때 협상 카드가 없다. 셋째, 승인 큐의 인체공학. 에이전트가 하루에 승인 요청을 40건씩 던지면 사람은 결국 전부 승인 버튼을 누르게 돼. 자동화의 실패는 대개 기술이 아니라 이 지점에서 나온다.

투자자와 정책 담당자한테는 각각 다른 신호가 있어. 투자 관점에서 제일 중요한 문장은 "비용 50% 절감"이야. 마이크로소프트가 자체 소형 모델로 프론티어 모델 호출을 90%까지 대체했다는 건, AI 제품의 원가 구조가 '어떤 모델을 쓰느냐'에서 '어떻게 라우팅하느냐'로 이동하고 있다는 뜻이다. 이건 보안만의 얘기가 아니고 모든 에이전트 제품에 해당해. 동시에 마이크로소프트가 가장 어려운 10%를 여전히 오픈AI 모델에 맡긴다는 사실은 두 회사 관계를 읽는 또 하나의 데이터 포인트고. 정책 쪽에서는 다른 질문이 남아. 레드 팀 에이전트가 자율로 공격 경로를 탐색한다는 건, 기술적으로는 공격 도구와 방어 도구의 코드가 거의 같아진다는 뜻이야. 수출 통제나 이중용도 규제를 논의할 때 "방어용이니까 괜찮다"는 구분선이 얼마나 버틸지는 단정하기 어렵다.

마지막으로 조직 담당자라면 이 뉴스를 이렇게 요약해두면 돼. 8월 3일에 열린 건 완성품이 아니라 승인 워크플로다. 자율 방어라는 단어에 흥분하기 전에, 지금 네 조직에서 "AI가 제안한 조치를 누가 무슨 기준으로 승인하는가"라는 규정이 문서로 존재하는지부터 확인해라. 그 규정이 없으면 연내에 자동 격리가 켜졌을 때 책임 소재가 공중에 뜬다. 그리고 그 규정을 만드는 건 벤더가 아니라 너다.

🥄 남은 궁금증 세 가지

— 그래서 나랑 무슨 상관이야? 개인 사용자라면 직접적인 영향은 없어. 기업이 디펜더 안에서 켜는 기능이고 소비자 제품에는 안 들어와. 다만 네가 회사에서 보안이나 인프라를 만진다면 8월 3일부터 프리뷰가 열려 있으니 직접 만져볼 수 있고, 그때 봐야 할 건 화려한 데모가 아니라 오탐률과 SCU 청구서야.

— 이게 왜 하필 지금이야? 사흘 전에 Unit 42가 자율 AI 공격 캠페인 분석을 공개했고, 어제는 해커뉴스가 AI가 뱉어낸 저품질 취약점 보고서 문제로 시끄러웠어. 공격 자동화가 실물로 확인된 시점이라 방어 자동화 발표가 가장 잘 먹히는 타이밍인 건 맞아. 다만 마이크로소프트의 MDASH 자체는 5월부터 준비돼 있었으니, Unit 42 보고서에 맞춰 급조한 대응은 아니야.

— 경쟁사보다 앞선 거야? 단정하긴 일러. CyberGym 95.95%는 마이크로소프트가 자체 발표한 시스템 구성 점수이고, 독립 검증 결과는 아직 공개되지 않았어. 게다가 그 구성에는 오픈AI GPT-5.4가 들어가 있어서 '자체 모델의 승리'로 읽으면 과장이야. 크라우드스트라이크와 구글도 이미 에이전트형 SOC를 내놨고, 진짜 차이는 벤치마크가 아니라 에이전트가 실제로 손댈 수 있는 시스템의 범위에서 갈릴 가능성이 높아.

참고 자료

수치는 발표 시점 기준이라 바뀔 수 있어.