전사 AI 도입이 SOC 경보와 공격 양상에 미치는 영향

전사 AI 도입이 SOC 경보 구조와 대응 방식에 가져오는 변화

기업 전반에서 Claude·Codex 등 AI 에이전트와 소비자용 AI 도구를 업무에 쓰면서, 개발자 셸 실행과 OAuth 연동이 보안 관제센터(SOC)에서 새로운 유형의 경보로 포착되고 있다.
개발자는 코딩 에이전트로 셸을 열고 자격증명 저장소를 읽으며 패키지를 다운로드하고, 일반 직원은 서드파티 AI 앱에 OAuth 동의를 주고 문서를 붙여넣어 데이터가 외부로 나가는 등 두 가지 상반된 AI 사용 행태가 동시에 발생한다.
이처럼 기술 부문은 소음 많은 에이전트 기반 자동화가, 비기술 부문은 조용한 데이터 공유와 이메일 상호작용이 늘어나면서 모두 SOC에는 잠재 위험처럼 보이는 활동으로 적재돼 탐지·분류 역량 재편이 요구된다.
약 1,690만건 SOC 경보 중 7만3,000건(0.43%)이 AI 관련이며, 2026년 2~6월 사이 해당 비중이 685% 증가해 팀이 현재 규모만 기준으로 인력·도구를 배치하면 몇 개월 내 분석 역량이 부족해질 수 있다.
AI 관련 경보의 94.1%는 기존 탐지 규칙과 충돌한 정상 활동으로 판정되고, 5.8%만 실제 노출, 0.02%만 실질 공격으로 분류돼 AI 자체 보다는 AI 브랜드를 미끼로 한 피싱 등 간접 악용이 더 큰 위협 양상으로 나타난다.
AI 브랜드 알림을 가장한 피싱과 개발자 에이전트 오용이 늘면 한국 공공·민간 SOC는 AI 활동 전용 분류 체계를 마련하고, OAuth·데이터 반출 거버넌스 규제와 국산 관제 솔루션의 AI 경보 튜닝 기능 강화에 선제 투자할 필요가 있다.