보안 리더의 고민은 이제 "AI를 쓸 것인가"가 아닙니다. 더 어려운 질문은 "어떤 보안 판단을 AI에게 맡겨도 되는가"입니다. 공격자는 더 빨라졌고, SOC 팀은 여전히 알림·로그·승인 절차 사이에서 시간을 잃고 있습니다.
이 맥락에서 Exaforce의 1억2,500만 달러 시리즈 B는 단순한 투자 뉴스 이상입니다. TechCrunch에 따르면 Exaforce는 이번 라운드로 총 2억 달러를 조달했고, 기업가치는 7억2,500만 달러로 평가됐습니다.1 중요한 건 돈의 크기보다 투자자들이 베팅한 방향입니다. SOC가 "사람이 알림을 처리하는 큐"에서 "AI가 맥락을 만들고 결정을 보조하는 시스템"으로 이동하고 있다는 신호입니다.
SOC의 병목은 알림 수가 아니라 '판단 지연'이다
많은 보안 조직은 알림이 너무 많다고 말합니다. 맞는 말이지만 절반만 맞습니다. 실제 병목은 알림 자체보다 그 알림이 의미 있는지 확인하는 과정입니다. 이 사용자는 원래 이런 행동을 하는가. 해당 권한은 정상인가. 클라우드 리소스 설정은 언제 바뀌었나. 비슷한 이벤트가 다른 계정에서도 발생했나.
Exaforce가 내세우는 차별점은 이 지점에 있습니다. 회사는 Exabots라는 AI 에이전트와 실시간 지식 그래프를 사용해 이벤트, ID, 권한, 설정, 클라우드 활동을 연결한다고 설명합니다.2 SecurityWeek도 이 플랫폼이 기존 SIEM 규칙이나 수동 쿼리에만 의존하지 않고, 데이터 의미론·머신러닝·행동 기준선·LLM을 조합한다고 정리했습니다.3
해석하자면 Exaforce의 주장은 "더 똑똑한 챗봇"이 아니라 "조사에 필요한 맥락을 미리 구조화한 운영체계"에 가깝습니다. 사고가 난 뒤 AI가 로그를 뒤지는 방식과, 수집 시점부터 관계를 만들어두는 방식은 속도와 신뢰성에서 차이가 날 수 있습니다.
실무적으로는 구매 질문도 달라져야 합니다. "알림을 요약해주나요?"보다 "우리 환경의 ID, 권한, SaaS, 클라우드 설정을 어느 깊이까지 연결하나요?"를 물어야 합니다.
AI 에이전트에게 맡길 일과 맡기면 안 되는 일
AI SOC의 위험은 자동화 자체가 아닙니다. 위험한 것은 모든 작업을 같은 수준의 위험으로 보는 태도입니다.
보안 업무는 대략 이렇게 나눌 수 있습니다.
낮은 위험: 알림 요약, 관련 로그 수집, 유사 이벤트 검색
중간 위험: 우선순위 판단, 조사 경로 추천, 자연어 기반 위협 헌팅
높은 위험: 계정 잠금, 세션 종료, 권한 회수, 네트워크 격리
매우 높은 위험: 운영 시스템 변경, 대규모 접근 차단, 자동 복구 스크립트 실행
Exaforce는 탐지, 분류, 조사, 대응까지 다룬다고 설명하며, MDR 형태로 운영 대행도 제공합니다.4 또한 "Vibe Hunting"이라는 자연어 기반 조사 기능을 통해 보안팀이 가설을 문장으로 입력해 위협을 찾을 수 있다고 소개했습니다.1
여기서 핵심은 자율성의 단계입니다. AI가 "이 알림은 낮은 우선순위"라고 말하는 것과 "이 사용자의 권한을 회수했다"는 전혀 다른 리스크입니다. 전자는 생산성 문제이고, 후자는 업무 중단·오탐 피해·책임 소재 문제입니다.
따라서 도입 조직은 처음부터 완전 자동 대응을 목표로 삼기보다, 승인 경계를 설계해야 합니다. 예를 들어 조사와 추천은 자동화하되, 권한 회수는 사람 승인 후 실행하게 할 수 있습니다. 반복적이고 되돌릴 수 있는 조치부터 자동화하고, 되돌리기 어렵거나 비즈니스 영향이 큰 조치는 사람의 판단을 남겨야 합니다.
투자 규모보다 봐야 할 구매 체크리스트
Exaforce는 고객 사례에서 평균 조사 시간 단축, 오탐 감소, FTE 절감 같은 성과를 제시합니다. 예컨대 회사 웹사이트에는 한 고객의 평균 조사 시간이 3시간에서 10분으로 줄었다는 사례가 소개되어 있습니다.4 다만 이는 벤더가 공개한 고객 사례이므로, 그대로 일반화하기보다 검증 질문으로 바꿔야 합니다.
도입을 검토한다면 다음을 확인해야 합니다.
첫째, 통합 깊이입니다. SIEM, EDR, 클라우드, ID 공급자, SaaS 로그를 단순 수집하는지, 아니면 권한·소유자·구성 변경까지 연결하는지 봐야 합니다.
둘째, 감사 가능성입니다. AI가 어떤 근거로 결론을 냈는지, 어떤 데이터에 접근했는지, 어떤 조치를 실행했는지 추적 가능해야 합니다.
셋째, 오탐 처리 방식입니다. "오탐 90% 감소" 같은 숫자보다 중요한 것은 오탐이 발생했을 때 학습·예외 처리·롤백이 어떻게 되는가입니다.
넷째, 데이터 접근 범위입니다. 실시간 지식 그래프는 강력하지만, 그만큼 많은 보안·권한·활동 데이터를 모아야 합니다. 규제 산업이나 글로벌 조직은 데이터 위치, 보존 기간, 접근 통제까지 따져야 합니다.
마지막으로 운영 모델입니다. Exaforce는 자체 운영 플랫폼과 MDR을 모두 제공합니다.4 내부 SOC 역량이 부족한 조직에는 MDR이 현실적일 수 있지만, 장기적으로는 AI 판단을 감독할 내부 책임자가 필요합니다.
SOC 분석가는 사라지기보다 역할이 바뀐다
가장 현실적인 변화는 인력 대체가 아니라 업무 재배치입니다. 1차 분류와 반복 조사는 AI가 맡고, 사람은 예외 판단, 공격 시나리오 검증, 대응 정책, 거버넌스로 이동합니다.
이 변화는 긍정적일 수 있습니다. 숙련 분석가가 하루 종일 알림 큐를 비우는 대신, 위협 모델링과 탐지 전략에 시간을 쓸 수 있기 때문입니다. 반대로 위험도 있습니다. 팀이 AI의 판단을 검토할 능력을 잃으면, 자동화는 방어력이 아니라 블랙박스가 됩니다.
Exaforce의 시리즈 B는 AI SOC 시장의 속도가 빨라지고 있음을 보여줍니다. 하지만 지금 당장 모든 조직이 에이전트형 SOC를 도입해야 한다는 뜻은 아닙니다. 알림은 많지만 조사 맥락이 부족한 조직, 클라우드·SaaS·ID 환경이 빠르게 변하는 조직, 24/7 대응 인력을 확보하기 어려운 조직이라면 진지하게 검토할 만합니다.
판단 기준은 간단합니다. AI가 더 많은 알림을 만들어내는가, 아니면 더 빠르고 설명 가능한 결정을 가능하게 하는가. 그 답이 분명할 때만 SOC의 중심을 AI 쪽으로 옮길 이유가 생깁니다.
참고
1Exaforce raises $125M Series B to build AI for catching and stopping cyberattacks as they happen
2Exaforce raises $125 million to respond to AI-powered attacks
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.