오늘 샌디에이고에서 열린 Protect 2026에서 당사는 Proofpoint 에이전트 기반 협업 보안 시스템을 발표했습니다. 이는 의도 기반 탐지, 에이전트 기반 조사, 사용자 위험 에이전트를 통합하여 사람들이 소통하고 협업하는 방식을 보호하는 단일 시스템입니다. 이들은 하나의 시스템을 구성하는 세 가지 상호 연결된 부분입니다. 의도 기반 탐지는 해당 맥락을 추론하여 상호 작용이 실제로 무엇을 달성하려고 하는지 결정하며, 에이전트는 이러한 결정을 분석가의 수동 작업이 항상 필요했던 조사, 대응 및 사용자 위험 관리로 전환합니다.
왜 지금인가
오늘날 탐지하기 가장 어려운 공격은 전혀 이상해 보이지 않습니다. 공급업체의 메일함이 그들 측에서 손상되면, 공격자는 실제 구매 주문서를 인용하며 실시간 대화 내에서 답장을 보내기 전에 몇 달 간의 실제 서신을 읽습니다. 멀웨어도, 링크도, 유사 도메인도 없으므로 규칙으로 잡아낼 수 있는 것이 아무것도 없습니다. 한 명의 임원을 겨냥한 공격은 다시 반복되지 않을 수 있으므로 패턴을 형성하지 않습니다. 누군가의 정상적인 액세스 범위를 벗어나는 요청이라도 해당 요청을 보낼 권한이 있는 사람으로부터 도착합니다.
행동 분석은 기준선에서의 일탈을 잡아내도록 설계되었습니다. 계정, 대화, 요청이 모두 정상적으로 보이면 해당 설계는 실패합니다. 이러한 공격을 잡아내려면 이메일, 협업 도구, 브라우저 전반에서 이전과 다르게 보이는지 여부뿐만 아니라 메시지가 실제로 무엇을 달성하려고 하는지 추론해야 합니다.
동시에, 탐지된 공격에 대응하는 작업은 대부분의 보안 팀이 수동으로 처리할 수 있는 수준을 넘어섰습니다. 단일 조사를 수행하려면 이메일, 신원, 엔드포인트, 브라우저 및 기타 여러 도구에서 증거를 수집해야 무슨 일이 일어났는지 또는 얼마나 확산되었는지 파악할 수 있습니다. 정적 교육 모듈을 중심으로 구축된 보안 인식 프로그램은 매주 변화하는 위협 환경을 따라잡을 수 없으며, 수동으로 유지 관리되는 VIP 목록은 새로운 사람이 대상이 되는 순간 구식이 됩니다. 그 격차를 해소하려면 더 나은 탐지 이상의 것이 필요합니다. 이는 항상 사람이 수동으로 수행해야 했던 조사, 대응 및 위험 관리 업무를 처리할 수 있는 에이전트가 필요합니다.
이를 해결하려면 컨텍스트, 추론 및 행동이 처음부터 끝까지 연결된 시스템이 필요합니다. 다음은 그 시스템을 구성하는 요소들을 하나씩 살펴본 것입니다. 컨텍스트를 제공하는 그래프, 그 위에서 추론하는 모델, 그리고 그 모델이 찾아낸 내용을 바탕으로 행동하는 에이전트입니다.
신호는 연결될 때만 중요함: Proofpoint Knowledge Graph
공급업체들은 점점 더 자신들의 탐지 기능을 수집하는 신호의 양으로 설명하고 있습니다. 신호는 시스템이 이미 알고 있는 것과 연결될 때만 유용합니다. 도메인 수준에서 멈추는 모델은 오늘 이메일을 받는 사람이 귀하의 조직에서 이미 고위험군으로 분류한 사람인지, 또는 그 사람이 어떤 데이터에 접근할 수 있는지 알려줄 수 없습니다. 대부분의 공급업체는 협업 데이터를 넘어 고객의 나머지 보안 스택을 살펴볼 방법이 없으므로, 특정 사용자에 대한 그들의 파악 수준은 얕은 상태로 유지됩니다.
우리는 Behavior Graph를 Proofpoint Knowledge Graph로 확장하여 프로파일링을 도메인 수준에서 그룹 및 개별 사용자 수준까지 넓히고, 새로운 이해를 게이트웨이에 직접 제공하는 토픽 파운드리를 통해 토픽 및 톤 모델링을 추가하고 있습니다. 이 그래프는 또한 협업 보안을 넘어 플랫폼의 나머지 부분까지 확장되어 데이터 보안 및 AI 보안으로부터 신호를 가져옵니다. 이를 통해 탐지 기능은 메시지가 정상적으로 보이는지 여부가 아닌, 메시지를 받는 사람이 이미 위험에 처한 것으로 알려진 사람인지, 그리고 그 사람이 손상당할 경우 실제로 무엇을 노출할 수 있는지와 같은 다른 질문을 던질 수 있습니다.
속도와 정밀함 사이에서 선택하지 않는 탐지: Nexus 의도 기반 탐지
단일 탐지 모델은 속도와 엄격함 중 하나를 선택하여 모든 메시지에 일괄 적용해야 합니다. 속도를 선택하는 공급업체는 얕은 분석을 감수합니다. 엄격함을 선택하는 공급업체는 일반적으로 메시지가 이미 받은 편지함에 도달한 후 검토를 위해 보류함으로써 지연을 감수합니다. 어떤 접근 방식도 단순히 비정상적으로 보이는 메시지와 타당하지 않은 것을 요구하는 메시지를 구분할 수 없습니다.
위에서 설명한 Knowledge Graph에서 실행되는 Nexus 의도 기반 탐지 모델은 메시지의 목적, 관계를 고려할 때 해당 목적이 타당한지, 그리고 이를 추구하는 데 사용되는 기술을 평가합니다. 이 모델은 플래시 모델을 사용하여 0.5초 이내에 대부분의 결정을 내리며, 비즈니스 컨텍스트, 알려진 공격자 인프라 및 발신자의 위험 프로필을 확인하여 메시지가 사용자에게 도달하기 전에 의도 기반 탐지를 제공하는 유일한 보안 이메일 게이트웨이가 됩니다.
컨퍼런스에서 당사는 조직을 위협과 비즈니스 중단으로부터 보호하는 두 가지 새로운 인텐트 기반 플래시 모델의 정식 출시를 발표하였습니다.
- 고급 캠페인 완성: 제목 줄, 메시지 내용 또는 기타 속성이 다르더라도 표면적으로는 관련이 없어 보이는 이메일 위협을 단일 캠페인으로 연결합니다. 정확한 내용 대신 공격자의 의도를 일치시킴으로써 탐지를 회피하도록 설계된 정교한 캠페인을 발견합니다.
- 액티비스트 폭탄 공격 보호: 메시지가 여러 발신자로부터 오더라도 조직을 표적으로 하는 행동주의자 이메일 캠페인을 탐지합니다. 이메일 전반에 걸쳐 공유된 의도를 일치시킴으로써 기존 위협 탐지 시스템이 놓칠 수 있는 행동주의자 폭탄 공격 캠페인을 식별합니다.
본질적으로 모호한 다음 메시지 세트는 받은 편지함을 벗어나 확장된 분석 단계로 이동하며, 이 단계에서 모델은 관계 기록, 캠페인 상관관계 및 행동 맥락을 평가한 후 결정을 내립니다. 가장 어려운 사례는 조사 과정에서 완전한 재구성을 거칩니다. Proofpoint는 자체 게이트웨이를 운영하므로 이러한 추론은 전달 전, 받은 편지함 내, 그리고 조사 중에 실행되며, 모델이 후속 단계에서 학습한 내용은 전달 전에 탐지하는 항목에 다시 반영됩니다.
모든 탐지 결과는 개인, 조직, 산업 분야라는 세 가지 관점에서 강화되므로, 한 번 포착된 기술은 그것이 위협할 가능성이 있는 모든 대상을 상대로 테스트됩니다. 개인 수준에서는 고립된 것으로 보이는 기술도 조직 전체와 비교하면 명확하게 드러날 수 있으며, 한 기업 내부에서는 보이지 않는 캠페인도 동일 산업 내 유사 기관들과 비교하면 명확하게 드러날 수 있습니다. 탐지 기능은 이메일 보안 분야에서 세계 최대 규모인 커뮤니티의 혜택을 받습니다. Proofpoint는 340만 이상의 고객을 대상으로 연간 2.37조 개의 이메일, 19.5조 개의 URL, 1.27조 개의 첨부 파일을 분석합니다. 이는 Proofpoint 고객이 아닌 공급업체나 파트너 내부의 침해 사례를 귀하에게 도달하기 전에 미리 파악하는 경우가 많음을 의미합니다.
중요 사용자를 위해 설계된 의도 기반 보호: 권한 있는 사용자 보호
단일 임원을 겨냥해 설계된 공격은 반복되지 않으므로, 집단 수준의 모델이 학습할 수 있는 패턴을 형성하지 않습니다. 한 사람을 겨냥한 적대적인 메시지나 지속적인 개인 캠페인은 멀웨어나 스팸이 아니므로, 기존 필터를 문제 없이 통과합니다. 기존 VIP 보호 기능은 담당자가 수동으로 관리하는 목록에 더 엄격한 정책을 적용하는데, 이는 해당 개인에게 무엇이 정상인지 이해하는 것과는 다릅니다.
권한 있는 사용자 보호 기능은 보호 대상 개인별로 전용 탐지 모델을 구축 및 유지 관리하며, 해당 개인의 특정 관계, 커뮤니케이션 패턴 및 워크플로우를 기반으로 학습합니다. 따라서 한 사람을 위해 설계된 공격은 다른 피해자들에게서 패턴이 나타나기를 기다릴 필요 없이 처음 시도될 때 포착될 수 있습니다. 또한 특정인을 겨냥한 원치 않는 통신을 다루며, 해당 인물에게만 전달된 모든 내용에 대해 더 심층적인 분석을 수행할 수 있도록 자동으로 기준을 낮춥니다.
며칠씩 걸리던 조사 자동화: 자율 위협 조사
경고가 발생하면 여전히 누군가가 실제로 무슨 일이 일어났는지 판단해야 합니다. 이는 이메일, 신원, 엔드포인트, 브라우저 및 SIEM 도구에서 증거를 하나씩 추출하고 수동으로 타임라인을 구성해야 함을 의미합니다. 대부분의 보안팀은 모든 경고에 대해 철저한 조사를 수행할 분석가의 시간이 부족하여, 조사가 아예 이루어지지 않거나 너무 지연되어 실효성이 없습니다.
자율 위협 조사는 이러한 작업을 자동화합니다. 수동으로 호출하거나 필요 시 자동으로 트리거되며, Proofpoint 텔레메트리와 신원, 엔드포인트, 브라우저, SIEM, 웹 프록시 및 기타 MCP 연결 도구를 포함한 타사 데이터를 종합하여 공격을 재구성하고, 타임라인과 피해 범위를 파악하며, 대응책을 추천하거나 실행합니다. 분석가는 직접 상관관계를 분석해야 하는 일련의 경고 대신 완료된 조사 결과를 받습니다. 모든 조사는 폐쇄형 피드백 프로세스로 연결됩니다. 오탐, 미탐 또는 고객이 직접 제출한 내용을 통해 학습한 사항은 업데이트된 탐지 로직에 반영되어 동일한 오류가 재발할 가능성을 줄입니다.
증가하는 사용자 위험을 줄이기 위한 새로운 선제적 접근 방식: Proofpoint 사용자 위험 에이전트
소수의 사용자가 조직 위험의 불균형적인 부분을 차지하지만, 많은 보안 팀은 누가 그러한 사용자인지 파악하고 왜 그들이 위험에 처해 있는지 이해하는 데 어려움을 겪습니다. 이러한 맥락이 없으면 팀은 어디에 집중해야 할지, 어떤 사용자에게 추가적인 주의가 필요한지, 그리고 어떻게 위험을 효과적으로 줄일지 추측만 하게 됩니다.
동시에 공격자들은 빠르게 진화하고 있습니다. 그들은 AI를 사용하여 대상을 조사하고, 취약한 사용자를 식별하며, 약점을 탐색합니다. 고도로 개인화된 유인책을 사용하는 기계적 속도의 공격과 여전히 사용자 위험을 단순히 보안 인식 문제로 치부하거나 개별 도구에 의존하는 방어 체계 사이의 격차가 점점 벌어지고 있습니다.
Proofpoint 사용자 위험 에이전트는 Red Team Agent와 Blue Team Agent라는 두 개의 협력 에이전트를 지속적인 피드백 루프 내에서 결합하여 보호를 강화하고 사용자 위험을 감소시킵니다. Red Team Agent는 공개된 직원, 비즈니스, 파트너 신호를 바탕으로 맥락을 구축하며, 이를 통해 사용자 위험을 지속적으로 조사, 종합 및 조율합니다. 그런 다음 해당 맥락을 사용하여 개인화된 유인책을 만들고 시뮬레이션된 실제 공격을 포함한 연쇄 이벤트를 조정합니다.
Blue Team Agent는 동적 고위험 사용자 프로필을 구축하고, 적응형 제어 및 보호 기능을 권장 및 적용하며, 위협 정보를 기반으로 한 맞춤형 코칭을 즉각적으로 제공합니다. 이 에이전트들은 각자 독립적으로 운영되면서 지속적으로 개선되는 시스템을 구축하여, 조직이 최소한의 관리 노력으로 사용자 위험을 선제적으로 줄일 수 있도록 돕습니다.
배송 시점 이후까지 보호 범위 확장: Proofpoint 고급 브라우저 보호
공격은 업무 흐름을 따라 진행됩니다. 현재 업무 시간의 약 85%가 브라우저와 클라우드 앱에서 이루어지며, 공격자들도 그 흐름을 따르고 있습니다1. 피싱과 계정 탈취는 브라우저에서 마무리됩니다. 이곳에서 자격 증명이 입력되고, 세션 토큰이 넘겨지며, 권한이 부여됩니다. 점점 더 많은 공격이 이메일 없이 브라우저에서 바로 시작되기도 합니다. 2025년에 관찰된 브라우저 내 공격의 95%는 샌드박스 분석을 회피하기 위해 일종의 봇 보호 기능을 사용했습니다2. 예를 들어, 당사 인프라에서 해당 페이지를 로드하는 샌드박스에는 정상적인 페이지가 표시되거나, 최종 사용자 인증을 거친 URL이 제공됩니다. 그리고 작년에 차단된 페이로드의 약 3분의 1은 이메일을 전혀 거치지 않았습니다. 이들은 검색 결과, 악성 광고 등을 통해 유입되었습니다2.
이메일 보안은 클릭 이후에 발생하는 상황에 대한 가시성을 확보하지 못합니다. 이메일 위협 인텔리전스와 연결되지 않은 브라우저 도구는 훨씬 제한적인 정보만을 바탕으로 작동합니다. Push Security와의 파트너십을 통해 제공되는 Proofpoint 고급 브라우저 보호는 이러한 격차를 해소합니다. 이 솔루션은 인바운드 이메일을 보호하는 동일한 위협 인텔리전스를 브라우저로 확장하여, 클릭된 URL을 실시간으로 검증하고 브라우저 기반의 공격 기법(중간자 공격, 세션 토큰 탈취, OAuth 남용, 악성 확장 프로그램 등)으로부터 방어합니다.
Proofpoint는 이메일과 브라우저 위협 인텔리전스를 공유하는 유일한 공급업체입니다. Proofpoint Core Email Protection은 유인책, 발신자, 캠페인, 그리고 모든 타겟 수신자를 파악합니다. 고급 브라우저 보호는 사용자가 브라우저에서 실제로 수행하는 작업을 파악합니다. 양쪽의 정보는 서로를 보완합니다. 이메일 컨텍스트는 브라우저에 무엇을 의심해야 할지 알려주고, 브라우저의 판단 결과는 전달 과정의 사각지대를 해소합니다. Push Security와의 파트너십과 Proofpoint의 고유한 탐지 기능, 그리고 이메일 및 신원 인텔리전스를 결합하여, 당사는 브라우저 기반 공격에 대한 독보적인 탐지 및 대응 역량을 제공할 수 있습니다. 또한, 브라우저에서 탐지된 기법은 전달 전에 포착되는 내용을 보완하며, 이메일에서 탐지된 기법은 브라우저가 모니터링하는 대상을 구체화합니다. 탐지 결과가 동일한 Threat Protection Workbench에 나타나므로 이메일 및 브라우저 조사가 별도의 도구로 실행되는 대신 컨텍스트를 공유합니다.
미래에 대한 전망
이 글 시작 부분에서 언급한 공급업체 침해는 일치하는 서명이 존재하지 않습니다. 악성 코드, 악성 도메인, 비정상적인 발신자 등, 규칙 엔진이 탐지하도록 설계된 징후가 전혀 없습니다. 이것이 바로 이 시스템이 구축된 변화의 핵심입니다. 행동 이상을 포착하는 것에서 의도를 추론하는 것으로, 사람이 조치를 취하기를 기다리는 경고에서 스스로 조사하고 대응하며 위험을 관리하는 에이전트로의 변화입니다. 일회성 해결책이 아닙니다. 공격자들은 지문을 남길 수 없는 기법을 끊임없이 찾아내고, 메시지 전달 이후에도 작전을 계속하며, 가장 접근하기 쉬운 대상을 지속적으로 노릴 것입니다. 이러한 각 격차를 해소하는 것이 바로 이 시스템이 전달 전에 추론하고, 경고가 발생한 후 조치를 취하며, 브라우저와 받은 편지함 모두에서 사용자의 위험이 변화함에 따라 이를 추적하는 이유입니다.
우리가 제어하는 것은 그러한 작업 중 얼마나 많은 부분이 여전히 사람의 손을 필요로 하는지, 그리고 탐지, 에이전트, 브라우저 보호가 세 개의 별도 도구가 아닌 하나의 시스템으로 얼마나 정확하게 작동하는지입니다. 저희는 이 블로그에서 논의된 새로운 탐지 시스템과 기능을 Proofpoint의 에이전트 기반 협업 보안 시스템 업데이트의 일환으로 2027년 1분기에 더 많이 출시하게 되어 기쁩니다. 이번 출시를 구체화하는 데 피드백을 주신 고객 및 파트너 여러분과 이번 주 샌디에이고에서 함께해 주신 모든 분께 감사드립니다.
출처
- Omdia, The State of Workforce Security (2025), Palo Alto Networks 의뢰
- Push Security, Browser Attack Techniques Report (2026)