How Greenlight Financial built an autonomous SOC solution on Amazon Bedrock AgentCore

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

Greenlight Financial은 Amazon Bedrock AgentCore 기반 다계층 에이전트 시스템 Luna로 월 3,000~4,000건의 보안·위험 사례 중 90% 초과를 사람 개입 없이 해결하고, 보안 운영에서 금융 위험 평가로 적용 범위를 확장했다.

📌 핵심 요약

• Greenlight Financial은 주요 은행과 같은 규제 요건 아래 민감한 금융 데이터를 처리하며, 매월 3,000~4,000건의 보안·위험 경보를 받는다. 여러 데이터 소스를 대조해야 하는 수작업 분류에는 사례당 15~30분이 걸려, 일상적인 사례의 자동 해결과 복잡한 사례의 인간 분석가 이관이 필요했다.
• Luna는 Amazon Bedrock AgentCore runtime과 memory를 사용한다. Tier 1은 30개 초과 전문 에이전트를 조율해 일상적인 사례를 중앙값 기준 한 자릿수 초 안에 분류하고, Tier 2는 심층 추론이 필요한 약 10%의 사례에서 3~5개 데이터 소스를 연결해 인간 검토용 근거를 만든다.
• AgentCore memory는 최근 30일의 사건과 해결 결과를 보관하는 일화 기억과 장기 기억을 지원한다. 해결 결과를 다시 반영하는 학습 파이프라인은 같은 방식으로 세 번 해결한 사례를 확인된 패턴으로 기록하며, Tier 1·Tier 2와 학습을 결합한 자율 해결률은 Tier 1 단독의 83%에서 90% 초과로 높아졌다.
• Greenlight는 SOC 배포 후 두 달 안에 전문 에이전트와 위험 도메인 감독자를 추가해 Luna를 금융 위험 평가로 확장했다. 다크웹 유출 카드 조사에서는 Galileo, DynamoDB, Mixpanel, Zendesk와 내부 사기 점수를 대조하고, 위험 수준에 따라 기록·모니터링, 검토 표시, 인간 분석가 이관을 수행한다.
• 전체 시스템 도입 후 인간 분석가에게 이관되는 사례는 10% 미만이며, 일상적인 사례의 분류 시간은 15~30분에서 수초로 줄었다. 월 4,000건을 기준으로 회피한 일상 수작업은 월 900~1,800시간으로 추정된다. 원문은 속도와 24시간 일관성을 위험 감소의 근거로 제시하지만, 다섯 가지 교훈 중 두 번째 설명 도중에 끝나 전체 교훈은 확인할 수 없다.

🧩 주요 포인트

1. Tier 1의 대량 처리와 Tier 2의 심층 조사를 분리 → 자동 해결 범위를 넓히면서 복잡한 사례에 대한 인간 검토 경로를 유지하는 구조다.
2. 일 일화 기억·장기 기억·해결 결과 피드백의 결합 → 반복 경보의 중복 제거와 알려진 행동의 인식을 통해 최초 분류 정확도를 점진적으로 높이는 방식이다.
3. SOC에서 금융 위험 평가로 두 달 안에 확장 → 공통 실행 기반을 유지하고 전문 에이전트와 도메인 감독자를 추가하는 재사용 방식이 드러나며, 성과 판단에는 자율 해결률과 추정 수작업 절감을 구분할 필요가 있다.

🧠 상세 정리

1. 수작업 보안 운영의 병목과 자동화 요구

Greenlight Financial은 가족용 직불카드, 저축 도구, Family Hub와 Pet Tracker 같은 연결 기기를 제공하며, 주요 은행과 같은 규제 요건 아래 대규모 민감 금융 데이터를 처리한다. SOC에는 매월 3,000~4,000건의 경보가 들어오며, 주요 발생원은 다크웹 유출 카드, 신원·접근 이상, 인프라 경보, 금융 위험 사건이다. 다크웹 카드 알림 하나만 조사해도 카드 활성 상태, 이전 알림과의 중복, 고객 세션 데이터, 열린 지원 티켓을 확인해야 하므로 인간 분석가에게 건당 15~30분이 필요했다. Greenlight가 요구한 시스템은 일상적인 사례를 기계 속도로 분류·해결하고, 복잡한 사례는 충분한 맥락과 함께 인간 분석가에게 이관하는 것이었다. 여기에 해결 패턴을 통한 지속적인 정확도 개선과 금융 서비스의 규제 준수 제약 안에서의 운영도 요구됐다.

2. Tier 1과 30개 초과 전문 에이전트

Luna는 Amazon Bedrock AgentCore 위에 구축한 계층형 다중 에이전트 시스템으로, 실제 SOC의 L1 대량 처리와 L2 심층 조사 역할을 따른다. Tier 1 감독자는 Amazon Bedrock에서 제공되는 고급 언어 모델을 사용하며, Amazon VPC의 프라이빗 서브넷에 있는 AgentCore runtime에서 실행되고 ZIP 파일과 Amazon S3를 통해 코드를 직접 배포한다. 이 감독자는 신원·접근, 엔드포인트 탐지, 관측성, 자산 목록, 데이터 분석, 결제 처리, 고객 경험·지원, 코드 저장소, 프로젝트 추적, 위협 인텔리전스, 승인된 SOAR 대응 절차 실행 등을 담당하는 30개 초과 전문 에이전트를 조율한다. 사례는 Luna Queue API와 MCP 엔드포인트를 노출하는 Amazon API Gateway 또는 자동 경보 유입을 담당하는 Tines SOAR를 통해 들어온다. Tier 1은 경보 유형에 따라 필요한 에이전트를 선택하고 결과를 종합해 판단하며, 일상적인 사례의 분류 시간 중앙값은 한 자릿수 초다.

3. Tier 2 심층 조사와 사용자별 진입점

Tier 1에서 심층 조사가 필요해 이관되는 사례는 확장된 추론 기능을 갖춘 Amazon Bedrock의 고급 파운데이션 모델을 사용하는 Tier 2 감독자가 처리한다. 원문은 이 계층이 다단계 추론을 요구하는 약 10%의 사례를 담당하며, boto3를 통해 전문 에이전트를 호출하고 더 넓은 컨텍스트를 활용해 3~5개 데이터 소스를 연결한다고 설명한다. Tier 2는 데이터 간 상관관계를 더 깊이 조사해 인과관계를 파악하고, 인간 검토를 위한 근거 사슬을 포함한 상세 조사 보고서를 작성한다. 실행은 Amazon EventBridge의 주기 트리거와 Amazon SNS의 큐 완료 신호를 이용한 일괄 처리 또는 Tier 1이 이관한 긴급 사례의 요청 시 처리로 이루어진다. 사용자는 Tines SOAR의 자동 유입, 보안·위험·ProdOps 엔지니어의 직접 API 요청, 온콜 엔지니어의 Claude Desktop 확장 채팅이라는 세 경로로 Luna에 접근하며, 채팅에서도 전체 도구 접근 권한을 활용한 심층 조사를 요청할 수 있다.

4. 일화 기억과 장기 기억을 통한 패턴 인식

Luna의 기억 계층은 AgentCore memory에 구축되며, 원문은 이를 상태를 보관하지 않는 분류 도구와 구별되는 핵심으로 설명한다. 일화 기억은 최근 30일의 사건과 해결 결과를 순환 보관해, 새 경보가 과거 패턴과 같은지, 당시 판단은 무엇이었는지, 허용 목록에 넣을 수 있는 알려진 행동인지 확인하도록 돕는다. 예를 들어 매주 화요일 오전 3시에 정기 유지보수 때문에 발생하는 인프라 역할의 접근 패턴은 첫 해결 결과를 학습한 뒤 예상된 행동으로 인식해 자동으로 허용 목록에 반영한다. 장기 기억에는 30일을 넘어 유지할 의미적 선호와 해결 템플릿이 저장되며, 특정 역할의 목적상 접근이 정상이라는 설명이나 반복 사례의 조직 지식이 포함된다. 특정 다크웹 출처의 카드 알림은 과거 사례에서 오탐률이 73%였으므로 중복 제거를 우선한다는 정보도 예시로 제시되지만, 이 수치는 전체 카드 알림의 오탐률을 뜻하지 않는다.

5. 해결 결과를 재사용하는 학습 파이프라인

기억을 실제 분류 개선으로 연결하기 위해 Greenlight는 사례 해결 결과를 시스템으로 되돌리는 별도 학습 파이프라인을 운영한다. 먼저 AWS Lambda 함수가 Tines 이벤트에서 모든 사례 해결 결과를 수집하고, DynamoDB가 해결 패턴을 저장하면서 유사 사례의 중복을 제거한다. Luna가 같은 방식으로 사례를 세 번 해결하면 확인된 패턴으로 기록하며, 다른 Lambda 함수가 새 학습 내용을 감독자가 추론 시 활용할 수 있는 맥락으로 가공한다. 이 결과가 Tier 1에 다시 전달되어 최초 처리의 정확도를 점진적으로 높이는 구조다. 원문은 Tier 1 단독의 83%에서 Tier 1·Tier 2·학습을 결합한 90% 초과로 자율 해결률이 상승했다고 보고하지만, Tier 2와 학습 각각의 기여도를 따로 수치화하지는 않는다.

6. 금융 위험 평가와 다크웹 카드 조사로 확장

Greenlight는 SOC 배포 후 두 달 안에 Luna를 금융 위험 평가로 확장했으며, 기존 인프라에 새로운 전문 에이전트와 위험 도메인 감독자를 추가하는 정도로 구조 변경을 제한했다. 다크웹 카드 조사에서는 Mastercard와 내부 위협 인텔리전스가 유출 카드 번호를 전달하면, Luna가 Galileo에서 Greenlight 소유 카드인지, 현재 활성 상태인지, 최근 거래 이력이 어떤지 확인한다. 이어 DynamoDB로 반복 알림이나 이미 대응한 카드를 확인하고, 여러 공급자가 동일한 유출을 보고하는 상황의 중복을 제거한다. 이후 Mixpanel의 고객 세션 이상, Zendesk의 관련 티켓, 내부 사기 점수를 대조해 위험 수준을 판단한다. 낮은 위험은 기록·모니터링하고 중간 위험은 검토 대상으로 표시하며 높은 위험은 전체 근거와 함께 인간 분석가에게 이관하는데, 원문은 매일 수백 건의 카드 알림을 수초씩 처리하는 이 작업이 수작업으로는 카드당 15~30분 걸린다고 설명한다.

7. 운영 성과와 시간 절감 추정의 의미

성과 표는 Luna 이전의 전면 수작업, Tier 1 도입, Tier 1과 Tier 2를 함께 사용하는 세 단계를 비교하며, 월 처리량은 모두 3,000~4,000건이다. 자율 해결률은 0%에서 83%, 이후 90% 초과로 높아졌고, 인간 분석가에게 이관되는 비율은 100%에서 17%, 이후 10% 미만으로 낮아졌다. 일상적인 사례의 분류 시간 중앙값은 15~30분에서 수초로 줄었으며, 비용 회피 효과는 여러 정규직 인력에 해당하는 수준으로 표현되지만 구체적인 금액은 제시되지 않는다. 월 4,000건에 건당 15~30분을 적용하면 수작업에 약 1,000~2,000시간이 필요하고, 90% 초과 자율 해결을 바탕으로 회피한 일상 수작업은 월 900~1,800시간으로 추정된다. 원문은 빠른 처리가 노출 시간을 줄이고 피로 없이 같은 분류 논리를 24시간 적용하는 일관성이 위험을 낮춘다고 주장하며, 인간 분석가는 판단이 필요한 사례에 집중할 수 있다고 설명한다.

8. 확장 가능한 운영 패턴과 원문이 제공한 교훈의 범위

원문은 규제 환경에서 다중 에이전트 시스템을 구축하며 얻은 다섯 가지 교훈을 예고하지만, 제공된 본문에는 첫 번째와 두 번째의 일부만 담겨 있다. 첫 번째는 범위가 한정된 영역에서 시작해 수평적으로 확장하라는 것으로, 보안 분류는 올바르게 해결하거나 이관한다는 성공 기준이 명확했고 83% 해결률로 패턴을 검증한 뒤 금융 위험으로 넓혔다고 설명한다. 이 확장은 전체 구조를 다시 만드는 대신 전문 에이전트와 위험 도메인 감독자를 추가하는 방식으로 이루어졌다. 두 번째는 인간 팀의 구조를 반영하라는 것으로, L1의 대량 처리와 정해진 대응 절차, L2의 복잡한 조사 역할을 Tier 1·Tier 2에 대응시켜 보안팀의 이해와 신뢰 형성을 빠르게 했다는 내용이다. 다만 본문은 두 번째 교훈의 설명 도중에 끝나므로 나머지 세 교훈과 이후의 논의는 확인할 수 없으며, 앞서 제시된 운영 성과와 구조 설명의 범위에서 해석해야 한다.

🧾 핵심 주장 / 시사점

• 자율 해결률 90% 초과는 모든 사례에서 인간을 배제한다는 뜻이 아니다. Tier 2의 근거 구성과 고위험 사례의 인간 이관을 함께 두어 자동화 범위와 판단 책임을 연결한다.
• 학습의 중심은 해결 결과를 기억하고 추론 맥락으로 재사용하는 피드백 구조다. 다만 83%에서 90% 초과로의 개선에는 Tier 2와 학습이 함께 포함되어 있어 기억 계층만의 효과로 단정할 수 없다.
• 금융 위험 평가로의 확장은 공통 실행 기반과 도메인별 전문 에이전트의 재사용 가능성을 보여준다. 시간 절감은 처리량과 수작업 시간을 바탕으로 한 추정이므로 실제 금전적 절감액과 동일하게 해석할 수는 없다.

✅ 액션 아이템

• Tier 1·Tier 2와 학습을 결합한 자율 해결률 90% 초과를 인간 분석가 이관 비율 10% 미만과 함께 평가.
• 월 4,000건과 건당 15~30분을 기준으로 월 900~1,800시간의 수작업 회피 추정치 검토.
• SOC에서 금융 위험 평가로 두 달 안에 확장한 사례를 바탕으로 전문 에이전트와 도메인 감독자 추가 방식의 적용 가능성 검토.

❓ 열린 질문

• 자율 해결률이 83%에서 90% 초과로 높아지는 데 Tier 2와 학습 피드백은 각각 얼마나 기여했는가?
• 인간 분석가에게 이관되는 10% 미만의 사례에서는 어떤 복잡성이 주로 나타나는가?
• SOC에서 금융 위험 평가로 확장한 뒤에도 자율 해결률과 분류 시간은 영역별로 비슷하게 유지되는가?