LLM으로 위협 행위자 가설 갱신·탐지

ai.euno.news 자동 뉴스 요약

대규모언어모델(LLM)로 위협 행위자의 행동 가설을 만들고, 이를 계속 갱신되는 논리적 시그니처로 운용하는 ‘애드버서리 브레인(Adversary Brain)’ 기법이 공개됐다. 10월 26일 arXiv에 제출된 논문은 침해지표(IoC) 하나가 아니라 여러 활동의 배열을 캠페인이나 위협 행위자의 탐지 조건으로 삼는다. 사람이 매번 정황을 다시 해석하지 않아도 관측 데이터로 가설을 지속해서 검증한다는 구상이다.¹

기존 탐지 규칙과의 차이는 시그니처가 겨냥하는 단위에 있다. 논문은 YARA가 파일을, Sigma가 로그 한 줄을 대조한다면 애드버서리 브레인은 캠페인 또는 위협 행위자의 활동 패턴을 대조한다고 설명한다. 예컨대 특정 도메인 하나를 악성으로 판정하는 데 그치지 않고, 공격 과정에서 함께 나타나는 행동과 인프라의 관계를 논리적 구조로 묶는다. 이 구조 자체가 탐지 규칙이자 위협 인텔리전스 모델이 된다.

설계의 바탕은 경쟁 가설 분석(ACH·Analysis of Competing Hypotheses)이다. ACH는 여러 설명을 증거와 비교하는 정보 분석 기법인데, 논문은 한 번에 소수의 가설을 다루던 방식을 수천 개 규모로 확장하고 연속 탐지에 투입하겠다고 제안한다. LLM은 산문 형태의 위협 보고서를 애드버서리 브레인으로 변환하고, 새 데이터가 패턴과 맞는지 판단하며, 기존 가설을 최신 상태로 유지하는 순환 과정에 쓰인다.

완성된 패턴만 찾는 것도 아니다. 일부 행동이 기존 애드버서리 브레인과 맞으면 새로운 명령제어(C2·Command and Control) 도메인 같은 값도 후보로 찾아낼 수 있다는 게 논문의 설명이다. 이미 알려진 IoC를 재탐지하는 수준을 넘어, 아직 확인되지 않은 지표를 조사 가능한 가설로 바꾸려는 시도다.

다만 공개된 초록에는 탐지 정확도, 오탐률, 처리 규모를 입증할 실험 수치나 기존 기법과의 정량 비교가 제시되지 않았다. LLM의 판단 오류가 논리적 시그니처의 품질에 어떤 영향을 미치는지도 이 자료만으로는 확인할 수 없다. 현재로서는 동료평가를 거친 확정적 성과가 아니라, arXiv에 처음 제출된 설계 제안으로 보는 편이 정확하다.

읽기 목록은 이 브라우저에 저장됩니다.