How Block is building AI-powered security with OpenAI technology

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Block은 OpenAI Defense Factory와 Daybreak를 활용해 인간 검증을 유지하면서 취약점 발견·탐지·대응을 가속하고, 과거 수주 걸리던 보안 업무를 수시간으로 단축하고 있다.

📌 핵심 요약

• Square, Cash App, Afterpay를 운영하는 Block은 Daybreak 기반 보안 실행 체계에서 작업별로 적합한 모델을 배정하고, 인간의 개입과 에이전트 간 검증을 지원하며 내부 벤치마크와 실제 성능을 지속적으로 평가한다.
• 조사마다 원시 쿼리 증거를 저장해 제안된 탐지 변경을 7개월치 운영 텔레메트리에 1시간 미만으로 재검증한다. 이전에는 수백 건의 과거 사례를 수작업으로 다시 조회해야 해 실제 수행이 드물었다.
• Block은 자동화된 분류로 분류 처리량이 50%, 정보 수집 및 조사가 50% 증가했다고 밝혔다. 분기당 약 1,100시간의 분석가 조사 업무를 수행하고, 오탐 분류에 쓰던 분기당 약 600시간을 확보했으며 새로운 자율 위협 헌팅 역량도 갖췄다.
• Daybreak는 서로 다른 로그의 단서를 연결해 단일 노트북 경보를 더 큰 공격 캠페인 적발로 확장했다. 레드팀 훈련에서는 약 2시간 만에 전체 공격 경로를 구성했으며, 최근 훈련에서 상위 수준의 취약점 제출부터 자동 패치 제안까지는 18분이 걸렸다.
• 취약점 수정 과정에서는 코드 위치와 담당자를 확인하고 패치 제안, 악용 가능성 확인, 수정 검증을 진행하며 인간이 방향 설정과 코드 배포를 맡는다. Block은 AI 판단이 실무에서 입증되는 만큼 민감한 시스템으로 활용을 점진적으로 확대하고, 확보한 시간을 심층 조사·책임 있는 자동화·예방적 보안에 활용하려 한다.

🧩 주요 포인트

1. 작업별 모델 배정과 인간 검증의 결합 → 보안 자동화의 적용 범위를 실제 성능과 위험 수준에 맞춰 조정하는 운영 방식이다.
2. 개월치 증거 재검증과 서로 다른 로그의 연결 → 개별 경보 처리에 머물던 분석을 탐지 변경 검증과 전체 공격 경로 파악으로 확장한다.
3. 오탐 분류 시간 절감과 조사 처리량 증가 → 확보한 보안 인력을 심층 조사에 투입하고, 장기적으로 취약점 유입을 줄이는 예방적 보안으로 무게중심을 옮길 여지를 만든다.

🧠 상세 정리

1. AI를 확장 가능한 보안 동료로 도입

Square, Cash App, Afterpay를 운영하는 Block은 OpenAI Defense Factory를 활용해 취약점 발견과 탐지·대응을 인간 팀만으로 감당하기 어려운 규모로 수행하고 있다. 최고정보보안책임자 James Nettesheim은 AI를 정해진 단계를 따르는 전통적 자동화보다, 모호하고 개별적인 문제도 함께 풀 수 있는 확장 가능한 동료로 설명한다. 코드 생성과 보안 운영 전반에 AI를 책임 있게 도입하면서, 과거 수일 또는 수주 걸리던 소프트웨어 버그 검토와 로그 분석 등을 훨씬 짧은 시간에 수행하되 모든 결과는 여전히 인간이 검증한다. 그는 AI가 인간의 의도를 실행으로 옮기는 시간을 줄이고 있으며, Daybreak와 OpenAI 도구의 발전이 공격자의 속도 우위에 대응할 수단을 방어자에게 제공한다고 평가한다.

2. 탐지 변경 검증과 작업별 모델 선택

Block은 모든 조사에 원시 쿼리 증거를 보관해, 제안된 탐지 변경을 7개월치 운영 텔레메트리에 다시 적용하는 작업을 1시간 미만에 수행한다. 이전에는 수백 건의 과거 사례를 사람이 직접 다시 조회해야 했으므로 시간이 많이 들었고, 실제로 이러한 검증을 수행하는 경우도 드물었다. 팀은 항상 최신 모델을 쓰던 방식에서 벗어나 작업마다 적합한 모델을 선택하는 방법을 익혔으며, Daybreak 위에 구축한 보안 실행 체계가 이러한 작업 배정을 지원한다. 이 체계에는 인간이 작업을 넘겨받거나 에이전트들이 서로의 결과를 검증할 수 있는 연결 지점이 포함된다. 내부 벤치마크와 실제 업무 성능을 지속적으로 평가하고, 필요하면 접근법을 바꾸거나 인간 검토로 작업을 전환한다.

3. 자동 분류가 확대한 조사 범위와 처리량

Block에 따르면 자동화된 분류 시스템 도입으로 분류 처리량은 50%, 정보 수집 및 조사는 50% 증가했으며, 이전에 없던 자율 위협 헌팅 역량도 생겼다. Nettesheim은 모든 경보가 관련된 모든 요소에 걸쳐 깊이 있는 조사를 받게 되면서, 시스템이 분기당 약 1,100시간에 해당하는 분석가 조사 업무를 수행한다고 설명한다. 그의 표현에 따르면 시스템은 각각의 경보를 그날 유일하게 접수된 경보처럼 다루며, 이는 처리 속도뿐 아니라 조사 깊이와 범위의 확대를 뜻한다. 탐지·대응 업무에서는 과거 오탐 분류에 사용하던 분기당 약 600시간을 확보했다. 팀은 확보한 시간을 더 깊은 조사와 책임 있는 자동화 구축에 투입하고 있다.

4. 개별 취약점에서 전체 공격 경로로 분석 확장

전통적인 스캐닝 도구가 개별 취약점을 따로 표시하는 데 비해, Daybreak는 공격 패턴에 대한 가설을 세우고 여러 공격 단계를 연결해 전체 침해 경로를 파악하도록 돕는다. Block은 이러한 방식으로 수년 동안 존재했을 수 있는 취약점까지 드러낼 수 있다고 설명한다. 한 사례에서는 사소한 정책 문제처럼 보이던 단일 노트북 경보를 동료 검토하는 과정에서 모델이 증거에 부수적으로 등장한 지표를 추적하고 신원 로그와 연결해 훨씬 광범위한 문제를 찾아냈다. Nettesheim은 두 제품의 로그를 함께 봐야 나타나는 신호를 통해 일상적인 엔드포인트 경보가 공격 캠페인 무력화로 이어졌다고 설명한다. 또 다른 레드팀 훈련에서는 내부 시스템에 관한 몇 가지 단서만으로 SQL 인젝션, 권한 상승, 거점 확보, 자격 증명 열거, 다른 시스템으로의 이동을 잇는 공격 경로를 약 2시간 만에 구성했으며, 사람이 수행하면 통상 수일이 걸리는 작업이라고 밝혔다.

5. 패치 제안의 속도와 인간 검토의 역할

Block은 취약점을 찾아내는 것만큼 실제 수정 능력이 중요하다고 보고, 각 발견 사항에 대해 문제가 있는 코드 위치와 담당자를 먼저 확인한 뒤 수정으로 진행한다. 이후 패치를 제안하고 악용 가능성을 확인하며 수정이 유효한지 검증하는 과정에서 인간이 방향을 잡고 코드 변경을 배포한다. 최근 레드팀 훈련에서는 상위 수준의 취약점을 제출한 뒤 자동 패치 제안이 나오기까지 18분이 걸렸지만, 이 수치는 배포나 수정 완료까지 걸린 시간을 뜻하지 않는다. Nettesheim은 에이전트가 기술적으로 유능해도 조직의 맥락이나 과거 결정의 이유를 갖고 있지는 않으므로, 인간이 맥락과 전략을 제공하고 검토해야 한다고 설명한다. 민감한 시스템에 대한 적용은 AI의 판단이 실제 업무에서 입증되는 정도에 따라 위험 수준을 점진적으로 높여가는 방식으로 확대할 계획이다.

6. 확보한 시간을 예방과 전략적 보안으로 전환

오탐 분류에서 확보한 분기당 약 600시간은 Block 보안팀이 더 깊은 조사와 추가 자동화에 집중할 여력을 제공하고 있다. Nettesheim은 공격 속도가 빨라지고 AI 모델이 발전하는 상황에서, 처음부터 유입되는 취약점 수를 줄일 기회가 있다고 본다. 이러한 변화가 실현되면 보안팀은 패치 작업에 쓰는 시간을 줄이고 예방적·전략적 업무에 더 많은 시간을 투입할 수 있다는 전망이다. 그는 고도화된 방어 역량이 과거에는 주로 대형 기술기업과 정부에 집중돼 있었지만, OpenAI가 이를 더 널리 제공하면서 방어자에게 유리한 변화를 만들고 있다고 주장한다. 중요 기반시설, 학교, 소규모 기업도 이러한 기술로 네트워크 방어를 시작할 수 있다는 것이 그의 견해이며, 이는 해당 조직들의 도입 성과가 이미 검증됐다는 설명은 아니다.

🧾 핵심 주장 / 시사점

• Block의 성과는 업무 속도 향상뿐 아니라, 시간 부담으로 드물게 수행하던 과거 증거 재검증과 모든 경보에 대한 심층 조사를 가능하게 했다는 데 의미가 있다.
• Daybreak의 사례는 단일 도구나 로그에서 보이지 않는 공격 신호를 연결하는 능력이 취약점 탐지의 범위와 조사 결과를 바꿀 수 있음을 보여준다.
• 인간의 조직 맥락 제공과 검토는 자동화 확대의 핵심 조건이다. 민감한 시스템으로의 적용 확대도 AI 판단의 실무 검증을 전제로 제시된다.

✅ 액션 아이템

• Daybreak 기반 작업별 모델 배정과 인간 검증을 결합한 보안 운영 방식의 적용 가능성 검토.
• 7개월치 운영 텔레메트리 재검증과 서로 다른 로그의 연결을 통한 탐지 변경 검증·공격 경로 분석의 활용 가능성 검토.
• 오탐 분류에서 확보한 시간을 심층 조사와 예방적 보안에 활용하고, 민감한 시스템 적용은 AI 판단의 실무 검증에 따라 점진적으로 확대.

❓ 열린 질문

• Block은 작업별 모델 배정과 인간 검토 전환을 결정할 때 내부 벤치마크와 실제 성능을 어떤 기준으로 평가하는가?
• 7개월치 운영 텔레메트리를 활용한 탐지 변경 재검증은 탐지 성능 개선으로 얼마나 이어졌는가?
• Block이 민감한 시스템으로 활용을 확대하려면 AI 판단이 실무에서 어느 수준까지 입증되어야 하는가?