구글, 시큐리티 오퍼레이션에 제미나이 자율 에이전트 투입해 AI 위협 차단
구글이 보안 운영 플랫폼 '구글 시큐리티 오퍼레이션(Google Security Operations)'에 제미나이 기반 전문 AI 에이전트를 통합해, 앞서 공개한 자동 보안 시스템 '구글 AI 위협 방어(AI Threat Defense)'와 함께 AI로 가속화된 위협을 모니터링·탐지·대응한다고 밝혔다. 글은 존 램지 구글 클라우드 보안 부문 부사장 겸 총괄과 파얄 차크라바티 구글 클라우드 제품관리 디렉터가 공동 작성했다.
구글 AI 위협 방어는 AI 기반 위협이 사업에 영향을 미치기 전에 지속적으로 감시하고 차단하도록 설계된 시스템으로, '준비, 스캔·우선순위 지정, 교정, 모니터링'의 4단계 프레임워크를 중심으로 한다. 이번에 구글은 시큐리티 오퍼레이션이 직접 소유하거나 패치할 수 없는 코드에서 비롯된 위협까지 어떻게 함께 대응하는지를 공개했다.
구글은 패치하지 못하는 구간, 즉 '교정 격차(remediation gap)'를 핵심 취약점으로 지목했다. M-트렌드 2026 보고서에 따르면 취약점 악용은 가장 흔한 초기 감염 경로가 됐으며, 악용까지 걸리는 평균 시간은 추정치로 마이너스 7일까지 떨어졌다. 이는 패치가 공식 배포되기도 전에 악용이 일어나는 경우가 잦다는 뜻이다.
2026 버라이즌 데이터 유출 조사 보고서(DBIR)도 이 문제의 심각성을 뒷받침한다. 1만 3천 곳이 넘는 조직을 조사한 결과, 미국 사이버안보국(CISA)의 '알려진 악용 취약점(KEV)' 목록에 오른 취약점 가운데 완전히 교정된 것은 26%에 불과했고, 탐지 후 완전한 패치까지 걸린 기간의 중앙값은 43일이었다.
시큐리티 오퍼레이션은 전체 공격 표면에 걸친 가시성을 위해 세 갈래 접근을 취한다. 지속적이고 자율적인 커버리지 분석과 탐지 생성, 자율적인 조사·격리·대응, 그리고 소급 위협 헌팅이다. 구글은 이 기능들을 기계 규모와 기계 속도로 제공해 AI 기반 공격을 앞서간다고 설명했다.
프리뷰로 제공되는 '탐지 엔지니어링 에이전트'는 패치되지 않은 취약점의 새로운 악용 패턴을 각 환경에 맞는 맞춤 탐지로 자동 변환한다. 이 에이전트는 구글 위협 인텔리전스(맨디언트가 큐레이션한 새 공격 패턴, 공격 도구 저장소, 레드·퍼플팀 보고서, 자율 멀웨어 분석, 오픈소스 탐지 저장소와 블로그 등)와 내부 보안 텔레메트리를 입력원으로 삼으며, 새 규칙을 만들고 합성 이벤트로 검증해 악용이 닥치기 전에 환경을 보호한다.
정식 출시된 '트리아지·조사 에이전트'는 경보를 자율적으로 조사하고 증거를 수집해 종합 설명과 함께 판정을 내려, 분석가의 대응 시간을 크게 줄여준다. 이 에이전트는 이미 500만 건이 넘는 경보를 조사했으며, 통상 30분이 걸리던 수동 분석을 제미나이로 60초까지 단축했다.
프리뷰로 제공되는 에이전트형 자동화는 증거를 자율 수집하고 복잡한 경보를 추론하는 동적 AI 에이전트와 결정론적 엔터프라이즈 플레이북을 결합한 하이브리드 방식으로 공격 격리를 돕는다. 이를 통해 분석가는 중대하고 영향이 큰 조치에 대한 완전한 통제권을 유지하면서 의사결정과 교정 작업을 안전하게 자동화한다. 또 프리뷰 단계의 '위협 헌팅 에이전트'는 과거 로그를 포함한 페타바이트 규모의 기업 텔레메트리를 훑어 기존 방어를 우회하는 은밀한 위협을 찾아낸다.
구글은 최근의 액시오스(Axios) 공급망 공격(UNC1069)에 대해 탐지 엔지니어링 에이전트로 커버리지를 점검한 사례도 공개했다. 에이전트는 캠페인 정보를 행동 기반 탐지 기회로 매핑하고 고정밀 합성 UDM 로그로 공격 체인을 시뮬레이션해 활성 규칙에 돌렸다. 그 결과 중간 실행 단계(이름을 바꾼 파워셸과 macOS 백그라운드 셸)는 탐지했지만 초기 진입점(NPM postinstall 드로퍼)과 최종 C2 이탈 지점은 놓쳤고, 이 사각지대를 드러내 맞춤 YARA-L 규칙으로 킬체인의 처음과 끝을 보완했다.
구글은 제미나이 기반 전문 에이전트를 워크플로에 통합하면 1차 통제가 실패해도 회복탄력적인 방어를 유지할 수 있으며, 궁극적으로 침해 위험과 비용을 모두 70% 줄일 수 있다고 밝혔다. 자세한 내용은 6월 10일 열리는 '시큐리티 토크스' 온라인 행사에서 소개된다.