n8n SecOps 워크플로: AI 자동화 공격에 맞서는 사이버 방어 시스템 구축

핵심 메시지

• AI가 공격을 사람 팀보다 빠르게 자동화하는 시대다. 공격이 자동화됐다면 방어도 자동화해야 한다는 것이 이 영상의 핵심 전제다.
• n8n 워크플로는 들어온 사고 티켓을 과거 사고(RAG)·참조 플레이북·위협 인텔리전스(TIP) 세 갈래로 우선순위에 따라 처리한다.
• 민감한 SecOps에서 AI가 제멋대로 결정하면 혼란을 부르므로, 구조화 출력 파서로 형식을 제약하고 위험한 조치는 휴먼 인 더 루프로 막는다.
• 효과적인 시스템의 토대는 데이터 위생이다. 과거 사고 기록과 플레이북이 깨끗하게 정리돼 있어야 AI가 새 위협에 제대로 대응한다.
• 이 워크플로는 모델을 갈아끼울 수 있는 '하니스'다. 모델이 발전해도 핵심 인프라는 그대로 쓰는 에버그린 구조를 지향한다.

쉽게 이해하기

이 대담은 AI가 사이버 공격을 자동화하는 현실에서 출발한다. 진행자는 앤트로픽의 새 모델 'Mythos(미토스)'가 가장 안전하다는 소프트웨어 중 하나인 OpenBSD에서 27년간 숨어 있던 보안 버그를 찾아냈고, 그 과정에서 사람은 아무도 잡지 못했다는 점을 언급한다. 그는 SecOps 방어 시스템을 기업에 배포하는 전직 n8n 동료를 초대해, AI를 사이버보안·SecOps 워크플로에 어떻게 넣는지 데모로 보여준다.

초대 손님은 워크플로가 더 큰 저장소의 일부일 뿐이라고 설명한다. 저장소에는 문서와 함께 세 가지 데이터가 들어 있다. 약 15개의 전형적인 테스트 사고(MITRE ATT&CK 같은 형식 포함), 기업이 흔히 겪는 공격에 대한 대응 절차를 적은 참조 플레이북, 그리고 30개의 해결된 과거 사고 기록이다. 특히 과거에 어떻게 해결했는지에 대한 기록은 AI 에이전트가 새 위협에 무엇을 할지 판단하는 핵심 재료가 된다.

데모에서는 Replit으로 만든 간단한 UI로 테스트 사고(예: 피싱)를 골라 웹훅으로 워크플로에 보낸다. 워크플로는 우선순위에 따라 세 갈래로 갈린다. 첫째이자 가장 중요한 단계는 과거 유사 사고 조회로, 모든 과거 사고를 임베딩해 Supabase 벡터 DB에 넣고 RAG로 역사적 맥락을 가져온다. 둘째는 가장 흔하고 파급이 큰 공격에 대비해 작성해 둔 참조 플레이북 조회다. 셋째는 위협 인텔리전스(TIP)로, 가장 최신 취약점 정보를 가져오며 데모에서는 단순화해 구글 검색으로 대체했다(우선순위가 가장 낮고 일부 기업은 외부 조회를 원치 않음).

세 갈래의 결과는 보고서 종합 에이전트로 전달된다. 에이전트는 과거 유사 티켓에서 공통 근본 원인(예: 공격 전에 등록된 유사 도메인)과 검증된 대응 단계를 추출하고, MITRE ATT&CK의 기법·전술 참조로 교차 대조한다. 다만 단일 결론만 내놓지 않고 오탐(예: 잘못 구성된 내부 시스템) 같은 다른 가능성도 함께 제시해, 분석가를 대체하기보다 '동반자'로서 의사결정 재료를 은쟁반에 올려 준다. 추출된 IOC를 바탕으로 IP 조회 같은 저위험 조사 단계는 AI가 대신 수행해 시간을 아낀다.

민감한 환경인 만큼 통제가 강조된다. 모든 분기에서 구조화 출력 파서로 AI가 아무 형식이나 내놓지 못하게 제약하고, 도메인·IP 차단 같은 조치는 사람이 검토한 뒤 실행하되 몇 시간 격리처럼 위험이 낮은 조치는 자동화할 수 있게 한다. 발표자는 이 시스템이 모델을 갈아끼울 수 있는 '하니스'이며, Mythos처럼 강력한 모델을 꽂아도 핵심 인프라는 그대로인 에버그린 구조라고 강조한다. 다만 효과는 데이터 위생에 달려 있다. 과거 사고와 플레이북이 풍부하고 깨끗할수록 시스템이 더 정교한 공격에 잘 맞선다. AI 자동화 공격에는 사람 분석가가 모두 검토할 수 없으므로, 자신의 AI와 자동화로 맞서야 한다는 것이 결론이다.

주요 인사이트

• 공격이 자동화됐다면 방어도 자동화해야 한다. 사람 분석가가 폭증하는 사고를 모두 검토하는 것은 물리적으로 불가능하다.
• 과거 사고·플레이북·위협 인텔리전스라는 세 데이터 소스를 우선순위대로 결합하는 것이 SecOps RAG 워크플로의 뼈대다.
• 민감한 보안 작업에서 AI 자율성은 양날의 검이다. 구조화 출력으로 형식을 묶고, 차단 같은 되돌리기 어려운 조치는 휴먼 인 더 루프로 통제해야 한다.
• 시스템 품질은 모델보다 '하니스'와 데이터 위생에 좌우된다. 정리된 과거 데이터가 없으면 아무리 강한 모델도 제 역할을 못 한다.
• Mythos 같은 모델은 여러 취약점을 연쇄로 엮는 정교한 공격과 제로데이를 늘릴 수 있어, 빠르게 갱신되는 위협 인텔리전스(TIP)의 중요성이 커진다.

자주 묻는 질문

관련 AI 소식