사이버 공격의 자동화와 SafeMind의 계층적 모델 구조

CrowdStrike는 사이버 범죄자가 시스템에 침투해 내부로 확산되는 최단 시간인 eCrime breakout time이 27초까지 단축되었다고 발표했다. NVIDIA와 CrowdStrike는 이에 대응하기 위해 CrowdStrike Cyber Superintelligence Lab에서 개발한 에이전틱 사이버 보안 시스템 SafeMind를 공개했다. SafeMind는 NVIDIA Nemotron 오픈 모델을 기반으로 CrowdStrike의 보안 경험과 위협 데이터를 포스트 트레이닝하여 구축한 방어 모델을 핵심으로 한다.

시스템의 구동 체계는 모델의 역할에 따라 계층적으로 분리되어 작동한다. NVIDIA Nemotron 3 Ultra가 방어 에이전트 하네스의 오케스트레이션을 담당하여 전체적인 방어 전략을 수립하고 제어한다. 실제 보안 규칙을 생성하는 하위 단계의 룰 생성 서브 에이전트는 파인튜닝을 거친 Nemotron 3 Super 모델이 수행하여 위협 분석과 대응 규칙 생성을 자동화한다.

이 시스템은 CrowdStrike Falcon 플랫폼에 네이티브하게 탑재되어 제공된다. NVIDIA의 풀스택 가속 컴퓨팅 플랫폼을 통해 칩셋부터 모델, 하네스에 이르는 전 과정이 연결되어 공격 AI의 진화 속도에 맞춘 실시간 업데이트를 수행한다. 이를 통해 보안 운영자는 외부 API 호출 없이 플랫폼 내부에서 즉각적으로 에이전틱 워크플로우를 실행하고 최적화할 수 있다.

LLM 뇌와 하네스 외골격의 분리를 통한 공진화 루프

젠슨 황 NVIDIA CEO는 LLM을 지능을 담당하는 '뇌'로, 이를 특정 작업으로 연결하는 제어 구조인 하네스(Harness)를 '외골격'으로 정의하는 에이전틱 스택 구조를 제시했다. 하네스는 LLM이 단순한 텍스트 생성을 넘어 보안 도구를 직접 조작하고 판단을 내리게 만드는 실행 제어권 역할을 수행한다. 이러한 구조를 통해 모델의 일반 추론 능력과 도메인 특화 실행 능력을 독립적으로 최적화할 수 있다.

SafeMind의 성능 검증은 NVIDIA 네트워크를 복제한 고충실도 디지털 트윈 환경에서 공격과 방어가 반복되는 공진화 루프(Coevolution Loop)를 통해 이루어진다. 레드팀 에이전트 하네스는 정찰(Recon), 공격(Assault), 침투(Compromise) 서브 에이전트를 통해 가상 환경 내에서 공격 경로를 실행한다. 이에 대응하는 블루팀 에이전트 하네스는 Falcon 센서로 네트워크를 모니터링하고 탐지 후보를 생성, 검증하여 최종 보안 위협으로 승격시키는 과정을 반복한다.

이 시뮬레이션 과정에서 공격 AI가 새로운 취약점을 찾아내면 방어 AI가 이를 즉시 차단하고, 해당 결과는 다시 실행 가능한 탐지 규칙으로 전환되어 모델을 강화한다. NVIDIA와 CrowdStrike는 이 디지털 트윈 기반의 공격-방어 루프를 통해 실제 환경에 적용하기 전 보안 기제의 빈틈을 정밀하게 튜닝하는 검증 방식을 구축했다.

오픈 모델 포스트 트레이닝을 통한 비용 절감과 데이터 주권

CrowdStrike 보안 팀은 오픈 모델인 Nemotron을 기반으로 15년 이상 축적된 자체 위협 데이터를 학습시켜 외부 제공자에게 데이터를 전송하지 않는 폐쇄적 학습 환경을 구현했다. 이는 내부 동작 과정을 알 수 없는 폐쇄형 프런티어 모델과 달리, 방어 기제에 대한 직접적인 검사(Inspection)가 가능하다는 기술적 이점을 제공한다. 보안 실무자는 이를 통해 데이터 주권을 유지하면서 모델의 판단 근거를 투명하게 확인하고 제어할 수 있다.

포스트 트레이닝을 통해 개발된 Blue Solano 모델은 비용과 성능 면에서 획기적인 수치를 기록했다. CrowdStrike의 내부 평가 결과, Nemotron 3 Super 기반의 Blue Solano 모델은 업계 최고 성능의 폐쇄형 프런티어 모델보다 더 높은 정확도를 기록하면서도 운영 비용은 99% 낮춘 것으로 확인되었다. 이는 범용 모델의 거대한 파라미터 대신 특정 보안 도메인에 최적화된 모델을 구축함으로써 달성한 결과다.

또한 시스템은 사용자가 자신의 환경에 맞는 모델을 선택할 수 있는 유연성을 제공한다. 보안 전문가는 자체적으로 보유한 모델을 CrowdStrike의 커스텀 하네스와 결합하여 특정 작업에 최적화된 기능을 구현할 수 있다. 이는 모든 환경에 동일한 모델을 강제하지 않고, 도메인별로 최적화된 '외골격'을 선택해 배치하는 운용 전략을 가능하게 한다.

Falcon IQ의 워크로드 자동화와 도입 검증 기준

CrowdStrike는 Project QuiltWorks의 개념을 실제 제품으로 구현한 에이전틱 워크로드 자동화 도구 Falcon IQ를 도입했다. Falcon IQ는 노코드 에이전트 개발 플랫폼인 Charlotte AI AgentWorks 위에서 구동되며, 보안 운영자가 코딩 없이 자동화 흐름을 직접 제어할 수 있는 환경을 제공한다. 이를 통해 보안 분석가는 복잡한 에이전트 도입 과정의 기술적 진입 장벽을 낮추고 실무에 즉시 적용할 수 있다.

Falcon IQ의 핵심은 50개 이상의 에이전트가 하나의 통합 워크포스(Unified Workforce)로 작동하여 시간 소모적인 보안 과제를 분담하는 구조에 있다. 이 에이전트 집단은 보안 위협의 평가부터 우선순위 지정, 그리고 발견된 취약점을 수정하는 치료(Remediation) 단계까지의 전 과정을 자동으로 수행한다. 파트너사는 이 기능을 활용해 고객에게 맞춤형 분석 결과와 경영진 보고용 출력물을 생성하여 전달한다.

보안 실무자는 이제 모델의 파라미터 크기가 아니라, 실제 환경을 복제한 시뮬레이션 루프에서 얼마나 빠르게 공격과 방어를 반복하며 정교해지는지를 도입 기준으로 삼아야 한다. 특히 데이터 보안 규정이 엄격한 환경이라면 폐쇄형 모델의 일반 성능보다, 오픈 모델의 포스트 트레이닝을 통해 데이터 유출 없이 도메인 특화 모델을 구축하고 프런티어 모델 대비 비용을 99% 절감할 수 있는지를 검증하는 것이 가장 구체적인 실행 기준이 된다.