스윔레인, 알림 지능형 라우팅으로 SOC 조사 AI 비용 최대 90% 절감

스윔레인(Swimlane)이 AI 보안관제(SOC, Security Operations Center) 플랫폼 ‘스윔레인 AI SOC’에 지능형 자동화 라우팅(intelligent automation routing) 기능을 추가했다고 8월 19일(현지시각) 밝혔다. 새 기능은 들어오는 보안 알림을 하나씩 평가해 결정론적 자동화(deterministic automation), AI 보조 조사(AI-assisted investigation), 완전 에이전틱(agentic) 조사 중 하나로 자동 분배한다. 회사에 따르면 이 방식으로 모든 알림에 AI를 동원할 때보다 조사 처리 비용을 최대 90%까지 줄일 수 있다. 실제 한 헬스케어 고객사는 하루 약 180건의 위협을 조사하면서 가장 복잡한 상위 10%에만 에이전틱 AI를 투입해 비용을 90% 절감했다고 회사는 밝혔다. 코디 코넬(Cody Cornell) 스윔레인 공동창업자 겸 최고경영자(CEO)는 “AI 소비가 계속 늘어나는 상황에서 차세대 SOC는 모든 작업을 기본값으로 AI에 맡길 수 없을 것”이라며 “어떤 업무가 실제로 AI를 필요로 하는지 알아야 한다”고 말했다.

알림마다 다른 세 갈래 길, 지능형 라우팅의 원리

보안팀은 같은 인력으로 더 많은 알림을 처리해야 하는 압박을 받고 있다. 동시에 업계 전반의 토큰 비용은 계속 오르는 추세다. 많은 AI SOC 플랫폼은 이 문제에 대응하기 위해 모든 작업을 모델에 태우는 방식을 택하지만, 스윔레인은 다른 길을 선택했다. 새로 추가된 라우팅 계층은 조사·대응 에이전트(Investigation & Response Agent) 안에서 알림 하나하나를 평가한 뒤, 판단이 필요한 정도와 조직이 결과에 갖는 신뢰도에 따라 세 경로 중 하나로 자동 분배한다.

코넬 CEO는 “수십만 건의 조사를 처리하는 규모에서는 건당 5~10달러의 토큰 비용도 감당이 안 된다”고 말했다. 그는 “스윔레인은 자동화의 속도와 예측 가능성에, 추론과 판단이 실제 가치를 만드는 지점에서만 AI를 결합한다”며 “고객이 애널리스트 부족 문제를 AI 지출 문제로 바꾸지 않고도 SOC의 처리 역량을 늘릴 수 있다”고 설명했다. 라우터가 단순해 보이는 알림을 자동화로 보냈다가 실제로는 더 큰 사건의 일부였던 경우에도, 보안팀은 해당 알림을 더 높은 추론 능력을 가진 모델 경로로 다시 보낼 수 있다. 최종 판단과 통제권은 여전히 인간에게 남는다는 의미다. 스윔레인은 이와 함께 모델 선택 기능과 자체 모델 반입(BYOM, Bring Your Own Model)을 지원해 고객이 비용을 추가로 조정할 수 있도록 했다.

하루 180건 위협 처리하는 헬스케어 고객, 비용 90% 줄인 비결

잘 알려진 유형의 알림은 자동화 경로로 바로 넘어가 최대 속도와 규모, 예측 가능성을 확보하면서도 AI 토큰 비용의 일부 수준만 소모한다. 반대로 처음 접하는 유형의 알림은 두 방식 중 하나로 처리된다. 사람의 설정이나 개입 없이 히어로(Hero) AI가 스스로 결론에 도달하는 완전 에이전틱 조사, 또는 애널리스트가 통제권을 유지한 채 AI가 조사 작업과 맥락 제공, 다음 조치 추천을 맡는 AI 보조 조사다.

이런 균형은 실제 비용 절감으로 이어졌다. 하루 약 180건의 위협을 조사하는 한 헬스케어 고객사는 지능형 라우팅을 통해 전체 조사 업무 가운데 가장 복잡한 상위 10%에만 에이전틱 AI를 투입했고, 그 결과 90%의 비용을 절감했다고 회사는 밝혔다. 시간이 지나면 반복되는 조사 패턴이 검증을 거쳐 정해진 자동화 경로로 코드화된다. 스윔레인은 이 과정을 통해 시스템이 이미 처리한 작업에서 학습하며 점점 더 확장 가능하고 효율적으로 진화한다고 설명했다.

실리콘앵글(SiliconANGLE) 보도에 따르면 스윔레인은 AI 주도 플랫폼들이 반복적인 수작업을 줄여준다고 홍보하면서도, 실제로는 결정론적 스크립트로도 처리할 수 있는 단순 텍스트 검색 같은 작업까지 값비싼 생성형 AI 모델에 맡기는 경우가 많다고 지적했다. 이런 경우 결과물의 편차는 커지는 반면 비용은 수천 퍼센트 수준으로 불어날 수 있다는 게 회사의 설명이다.

SOAR도 AI-퍼스트도 아닌 절충, 거버넌스형 플랫폼

전통적인 보안오케스트레이션·자동화·대응(SOAR) 플랫폼은 결정론적 프로세스를 처리하는 데는 효과적이지만, 구축과 유지에 상당한 전문성이 필요하다는 한계가 있다. 반면 AI-퍼스트를 표방하는 SOC 제품들은 수작업 조사 업무를 줄여주지만, 이미 알려진 자동화 경로가 더 효율적인 상황에서도 모델 기반 처리에 의존하는 경우가 많다. 스윔레인은 두 접근 방식을 하나의 거버넌스 플랫폼에서 결합해, 알림마다 동적으로 적절한 경로를 선택하도록 설계했다고 밝혔다.

같은 아키텍처는 기업에 애널리스트 감독, 투명한 케이스 관리, 보안 기능 전반에 걸친 조사 실행 방식 통제 능력을 제공한다. AI를 대규모로 안전하게 운영하는 데 필요한 통제권을 확보하는 구조라는 게 회사의 설명이다.

히어로 AI 추가 기능과 남은 과제

이번 스윔레인 터빈(Turbine) 릴리스에는 히어로 AI를 통한 추가 기능도 담겼다. 사용자가 일반 언어로 필요한 보고서나 시각화를 설명하면 즉시 결과물을 생성해 실시간 미리보기로 보여주고 대시보드나 케이스에 바로 적용하는 인텔리전트 시각화 에이전트가 대표적이다. 새로운 수집 소스와 터빈을 연결해 통합 구축·유지 작업을 줄여주는 데이터 인제스천 에이전트, 플레이북 생성·수정 과정에서 명확화 질문과 실시간 진행 상황을 제공해 재작업을 줄이는 향상된 플레이북 생성 에이전트도 추가됐다. 고객은 히어로 AI 에이전트마다 특정 AWS 베드록(AWS Bedrock) 모델을 선택해 비용과 성능, 가용성을 작업 요구에 맞게 조정할 수도 있다.

스리칸트 비삼세티(Srikant Vissamsetti) 스윔레인 최고운영책임자(COO)는 “터빈은 보안팀이 구축하는 플랫폼에서 그저 물어보기만 하면 되는 플랫폼으로 진화하고 있다”며 “히어로 AI는 플랫폼 전반의 기술적 장벽을 없애준다”고 말했다. 다만 이번 발표는 회사 측 보도자료와 이를 다룬 매체들의 보도에 근거한 것으로, 실제 도입 기업들 사이에서 90% 비용 절감 효과가 얼마나 폭넓게 재현될지는 향후 시장 반응을 통해 확인될 부분이다.