데이터 플랫폼 강자로 알려진 Databricks가 'Lakewatch'라는 새 AI 보안 제품을 내놓으며 보안 시장에 본격 진입했습니다. 핵심은 두 스타트업( Antimatter, SiftD.ai ) 인수로 "에이전트형 SIEM"의 뼈대를 빠르게 세웠다는 점인데요. 이 변화가 왜 SIEM 가격 구조와 운영 방식까지 흔들 수 있는지, 그리고 실무자는 무엇을 준비해야 하는지 정리해봅니다.1
Databricks Lakewatch란? '오픈·에이전트형 SIEM'의 등장
Lakewatch는 한마디로 "보안 데이터를 레이크하우스에 모으고, AI 에이전트로 탐지·조사를 자동화하는 SIEM"을 표방합니다. 기존 SIEM이 보안 로그 중심이었다면, Lakewatch는 보안·IT·업무 데이터까지 한데 묶어 더 넓은 맥락에서 이상 징후를 찾겠다는 접근이 눈에 띕니다.2
재미있는 포인트는 '데이터를 덜 넣는' 관행을 정면으로 비판한다는 점입니다. 기존 모델은 대개 데이터 유입(ingestion)이나 저장량이 비용을 밀어 올려, 기업이 로그를 과감히 버리게 만들었죠. Lakewatch는 오픈 포맷과 레이크하우스 구조를 앞세워 "버리지 말고 오래 들고 가며 분석"하는 쪽으로 방향을 틀려 합니다.2
또한 프라이빗 프리뷰 단계지만, Adobe·Dropbox 같은 초기 고객 사례가 공개됐고2, 경쟁 구도가 "Splunk류 SIEM vs 데이터/AI 플랫폼 기반 SIEM"으로 재편될 가능성도 커졌습니다.3
왜 스타트업 2곳을 샀나: Antimatter와 SiftD.ai의 역할
이번 인수의 의미는 '기능 보강'이 아니라 '핵심 부품 조립'에 가깝습니다. Antimatter는 AI 에이전트가 기업 내부에서 움직일 때 중요한 인증·권한(Authorization) 문제를 탄탄하게 만드는 쪽에 강점이 있는 팀으로 소개됩니다.2 보안 운영에 에이전트가 들어오면 "똑똑한 자동화"만큼이나 "그 자동화가 뭘 할 수 있는지의 통제"가 중요해지니, 기반 공사가 먼저였던 셈이죠.
SiftD.ai는 Splunk 검색 경험을 만들었던 인물들이 포함된 팀으로 알려졌습니다. 특히 Splunk가 사랑받는 이유 중 하나가 '검색/질의 경험'인데, 그 DNA를 Lakewatch에 이식해 보안 분석가가 데이터를 더 빨리 훑고 규칙을 만들 수 있게 하려는 의도가 읽힙니다.4 요약하면 Antimatter가 "에이전트 보안의 자물쇠"라면, SiftD.ai는 "탐지·헌팅의 돋보기" 역할에 가깝습니다.
SIEM 비용 구조가 바뀐다: '저장 과금'에서 '작업 과금'으로
Lakewatch가 던지는 가장 큰 도전장은 가격 모델입니다. Databricks는 Lakewatch를 데이터 저장량이 아니라 "소프트웨어가 수행한 작업량(컴퓨팅)" 기반으로 가격을 매기겠다고 밝혔습니다.4 이게 왜 파괴적이냐면, 보안팀의 꿈은 "필요할 때 과거 데이터를 끝까지 되감기"인데, 그 꿈을 막는 1순위가 늘 비용이었기 때문입니다.
또 하나, 이 방식은 보안 도구에서만 로그를 받는 SIEM을 넘어 Slack·Workday 같은 업무 시스템 데이터까지 엮어 보안 사건의 전후 맥락을 더 잘 보게 해줍니다.4 즉, 경보(alert)를 '한 줄짜리 빨간불'이 아니라 '상황극 대본'으로 바꿔주는 방향입니다.
투자자 관점에서도 파장이 있습니다. 에이전트가 보안 운영을 더 많이 자동화하고, 데이터가 한곳으로 모이면 기존 "좌석당(per-seat) 라이선스"나 "엔드포인트 중심 모델"이 압박받을 수 있다는 불안이 시장에 반영되기도 했습니다.5
Anthropic·Genie·Agent Bricks: '사람의 질문'이 운영이 되는 방식
Lakewatch는 Databricks의 Genie(자연어 기반 분석/에이전트 경험)와 Agent Bricks(에이전트 구축 프레임)를 엮어 "질문→조사 플로우 실행"에 가깝게 가려 합니다.2 보안 실무에서 이게 먹히는 지점은 명확합니다. 지금도 가장 비싼 자원은 '경험 많은 분석가의 시간'이고, 그 시간을 갉아먹는 게 경보 홍수와 반복 작업이니까요.
여기에 Anthropic의 Claude 모델 협업이 들어갑니다. 서로 다른 시스템에서 온 신호를 엮어 상관관계를 찾는 데 추론형 모델을 쓰겠다는 구상이고, Anthropic이 Databricks를 자사 보안 데이터 기반으로도 활용한다는 점이 신뢰 신호로 작동합니다.24
다만 "자동 대응"은 달콤하지만 위험합니다. Databricks도 향후 자동 대응 기능을 더하겠다고 했는데4, 실제 도입 시에는 권한 설계(무엇을 자동으로 할 수 있는가), 감사 로그, 오탐 처리 프로세스가 먼저 갖춰져야 운영 사고를 막을 수 있습니다.
시사점
Lakewatch가 던진 메시지는 단순합니다. "보안은 도구 싸움이 아니라 데이터 구조와 자동화 설계 싸움"이라는 것. 그리고 Databricks는 그 싸움을 데이터 레이크하우스와 에이전트로 다시 짜려 합니다.12
실무자가 지금 할 일은 거창하지 않습니다. 첫째, 우리 조직의 보안 데이터가 어디서 끊기고(버려지고) 있는지부터 지도처럼 그려보세요. 둘째, SIEM 평가 기준에 '질의/헌팅 경험'과 '에이전트 권한 통제' 항목을 넣어야 합니다. 셋째, 비용 비교는 저장량이 아니라 "유지해야 할 보안 데이터의 시간축(보관 기간)과 실제 분석 작업량" 기준으로 다시 계산해보는 게 유리합니다.
AI가 공격을 빠르게 만든 만큼, 방어도 결국 "데이터를 더 보고, 더 빨리 연결하는 쪽"이 이깁니다. Lakewatch는 그 판을 크게 흔드는 신호탄입니다.
참고
1Databricks bought two startups to underpin its new AI security product
2Databricks Enters Security Market with Launch of Lakewatch: New Open, Agentic SIEM
3Databricks Expands Into Cybersecurity with AI-Driven Lakewatch Platform - Security Boulevard
4Databricks enters cybersecurity market with Lakewatch launch, bulking up ahead of IPO
5FinancialContent - SentinelOne and Varonis Systems Stocks Trade Down, What You Need To Know
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.