SentinelOne cuts malware analysis from weeks to hours

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

SentinelOne의 최고 AI 책임자 Gregor Stewart는 OpenAI Daybreak가 숙련 연구자에게 4~6주 걸리던 악성코드 역공학을 약 8시간에 인간 수준의 결과로 수행해, 더 많은 위협을 조사하고 연결 관계를 파악할 여력을 제공한다고 설명한다.

📌 핵심 요약

• Gregor Stewart에 따르면 OpenAI Daybreak는 숙련 연구자에게 4~6주 걸리던 정교한 악성코드 역공학에서 약 8시간 만에 인간 수준의 결과를 낼 수 있다.
• SentinelOne은 Daybreak를 통해 사이버보안용 OpenAI 모델을 활용하며, 심층 분석 시간 단축으로 더 많은 악성코드 샘플을 조사할 여력을 확보한다.
• 더 많은 샘플의 분석 결과를 비교하면 공통 구성요소와 위협 간 연결 관계를 발견할 기회가 늘어나며, 고객 조사와 선제적 방어에 도움이 될 수 있다.
• Stewart는 결과에 대한 책임은 사람이 계속 져야 한다고 강조하며, 아키텍처 변경에는 사람의 검토가 필요하고 소프트웨어 작동 방식을 근본적으로 바꾸지 않는 국소적 수정은 자동화에 더 적합할 수 있다고 설명한다.
• Stewart는 OpenAI의 사이버보안 역량으로 더 많은 팀원이 직접 보안 문제를 조사할 수 있게 됐다고 말하며, 개발자가 코드를 작성하면서 보안 문제를 해결하도록 이 역량을 코드 작성 과정에도 도입하고자 한다.

🧩 주요 포인트

1. 분석 시간 단축 → 제한된 연구 역량을 더 많은 악성코드 조사에 투입하고, 개별 분석을 넘어 위협 간 관계를 파악할 기회 확대.
2. 변경의 영향에 따른 자동화 구분 → 아키텍처 변경은 사람의 검토를 유지하고, 국소적 수정은 자동화 가능성을 검토하되 결과에 대한 책임은 사람에게 유지.
3. 보안 전문성에 대한 접근 확대 → 소수 전문가에 대한 의존을 줄이고 팀원의 직접 조사를 늘리며, 코드 작성 단계의 보안 문제 해결로 활용 범위 확장 추진.

🧠 상세 정리

1. 4~6주 걸리던 역공학을 약 8시간으로 단축

정교한 악성코드를 역공학하는 작업은 최상급 보안 연구자에게도 4~6주가 걸릴 수 있다. 연구자는 소프트웨어를 분해해 동작을 파악하고, 새로운 정보를 발견할 때마다 앞선 분석을 다시 살펴보는 정밀한 작업을 수행한다. SentinelOne의 최고 AI 책임자 Gregor Stewart는 OpenAI Daybreak가 이러한 작업에서 약 8시간 만에 인간 수준의 결과를 낼 수 있다고 설명한다. 그는 심층 분석에 드는 시간이 줄어들면 연구자가 더 많은 악성코드를 조사하고, 개별 조사만으로는 놓칠 수 있는 샘플 간 연결 관계를 파악할 여력이 생긴다고 본다.

2. 자동화가 확대돼도 결과에 대한 책임은 사람에게 유지

Daybreak는 방어자가 사이버보안 업무에 OpenAI 모델을 활용할 수 있도록 하며, SentinelOne은 이를 악성코드의 동작을 이해하는 역공학에 사용한다. Stewart는 분석 역량이 확대되더라도 결과에 대한 책임은 여전히 팀에 있으며, 책임 자체는 자동화할 수 없다고 강조한다. 특히 아키텍처를 변경하는 결정에는 사람의 검토가 계속 필요하다는 입장이다. 반면 소프트웨어가 작동하는 방식을 근본적으로 바꾸지 않는 국소적 수정 등은 자동화에 더 적합할 수 있다고 설명하며, 변경의 성격에 따라 사람의 판단이 필요한 범위를 구분한다.

3. 소수의 심층 조사에서 더 넓은 샘플 비교로

과거 SentinelOne 연구팀은 발견한 위협 가운데 특히 흥미롭거나 중요한 대상에 심층 조사를 집중해야 했다. Stewart에 따르면 역공학할 수 있는 소프트웨어의 수가 매우 적었고, 비교할 샘플이 제한되면서 위협 사이의 연결을 발견할 기회도 적었다. Daybreak를 통한 분석 가속은 더 많은 악성코드 샘플을 조사하고, 분석 결과에서 공통 구성요소를 찾아볼 기회를 늘린다. 예를 들어 서로 무관해 보이는 두 샘플에서 같은 구성요소가 발견되면, 연구자가 고객 관련 조사에서 추가로 추적할 단서가 될 수 있다는 설명이다.

4. 위협 간 관계 파악과 선제적 방어의 가능성

Stewart는 더 빠른 역공학을 통해 악성코드 환경의 훨씬 넓은 범위를 파악하고 그 변화 속도를 따라갈 수 있다고 설명한다. 조사 범위가 넓어지면 연구자는 위협들이 어떻게 연결되는지뿐 아니라 그 관계가 시간에 따라 어떻게 달라지는지도 더 명확하게 볼 수 있다. 여러 샘플의 결과를 비교하는 가치는 개별 공통 구성요소를 찾는 데서 끝나지 않고, 위협 사이의 더 넓은 관계를 이해하는 데까지 이어진다. 그는 이러한 시야가 더 앞선 범위에서 방어하고 선제적으로 대응하는 데 도움이 될 수 있다고 보며, 이를 과거에는 감당하기 어려웠던 수준의 정보 역량으로 표현한다.

5. 팀 전반의 보안 역량 확대와 코드 작성 단계로의 적용

Stewart는 OpenAI의 사이버보안 역량에 접근할 수 있게 되면서 SentinelOne 내부에서 더 많은 사람이 보안 업무를 직접 맡을 수 있게 됐다고 말한다. 그의 설명에 따르면 불과 몇 달 전까지도 매우 부족했던 수준의 전문성에 이제는 거의 모든 사람이 접근할 수 있다. 이에 따라 더 많은 팀원이 소수 전문가에게 의존하는 대신 문제를 직접 조사할 수 있게 됐다. Stewart는 이러한 역량을 코드 작성 과정에도 도입해 개발자가 개발 중 보안 문제를 해결하도록 하고자 한다. 그는 개발팀 전체에 전문가 수준의 사이버보안 역량을 제공하는 것이 방어자에게 유리한 변화를 가져온다고 평가한다.

🧾 핵심 주장 / 시사점

• 분석 속도 향상의 가치는 개별 작업의 시간 절약을 넘어, 더 많은 샘플을 비교해 위협 간 관계를 이해할 기회를 넓히는 데 있다.
• Stewart가 제시하는 자동화의 경계는 변경의 영향에 달려 있으며, 아키텍처 변경에 대한 사람의 검토와 결과에 대한 책임은 계속 유지된다.
• 보안 전문성에 대한 접근 확대는 연구자의 조사 역량뿐 아니라 개발자의 코드 작성 과정까지 지원하려는 방향으로 이어지고 있다.

✅ 액션 아이템

• Daybreak의 분석 시간 단축으로 확보한 여력을 추가 악성코드 샘플 조사와 공통 구성요소 비교에 활용.
• 아키텍처 변경에 대한 사람의 검토를 유지하고, 국소적 수정의 자동화 적합성을 검토.
• 코드 작성 과정에 OpenAI의 사이버보안 역량을 도입해 개발 중 보안 문제를 해결하는 방안을 검토.

❓ 열린 질문

• Daybreak가 약 8시간 만에 인간 수준의 결과를 낼 수 있다는 Stewart의 설명은 어떤 악성코드와 평가 기준에 해당하는가?
• 아키텍처 변경과 자동화에 적합할 수 있는 국소적 수정을 구분하는 구체적인 기준은 무엇인가?
• OpenAI의 사이버보안 역량을 코드 작성 과정에 도입하려는 구상은 현재 어느 단계에 있는가?