사이버 공격은 기계의 속도로 온다… F5가 ‘AI로 AI를 막는’ 세 개의 관문을 공개했다

프롬프트가 토큰으로 처리되는 경로를 앞문·오케스트레이션·인퍼런스 세 단계로 나눠 각 지점에 AI 보안을 적용한다. 칼립소·슈어패스 인수로 AI 보안 플랫폼을 구성했다.

F5가 6월 23일 서울에서 앱월드(App World) 2026 미디어 라운드테이블을 열고 AI 시대의 애플리케이션 전송·보안 전략을 공개했다. F5 창립 30주년을 맞아 매년 전 세계 10개국 안팎에서 여는 글로벌 플래그십 행사를 올해 한국에서도 개최했다. 이튿날 본행사에는 1,300여 명이 등록했으며, 이는 1년 전 350명에서 크게 늘어난 규모다. 이날 발표의 핵심은 AI 확산에 따라 달라진 보안 환경과 그 대응 방안이었다.

AI 가속과 보안 위협 증폭

이형욱(조셉 리) F5 코리아 지사장은 시장 동향을 AI의 가속, 클라우드 경계의 소멸, 보안 위협의 증폭 세 가지로 정리했다. 그는 보안 위협 증폭의 사례로 앤트로픽(Anthropic)의 사이버보안 모델 클로드(Claude) 미토스와 일반에 공개된 페이블을 둘러싼 논란을 언급했다. 미토스와 페이블은 소프트웨어 취약점을 찾고 공격 경로를 구성하는 데 쓰일 만큼 강력해, 안전 경고와 미국 정부의 수출통제 논란으로 이어졌다. 같은 모델이 방어와 공격 양쪽에 쓰일 수 있다는 점이 드러난 것이다.

쿠나 날라판 F5 아시아태평양·중국·일본 필드 CMO는 수치로 현 상황을 제시했다. F5가 고객을 대상으로 조사한 결과 웹 공격은 77%, 봇 트래픽은 150% 넘게 늘었다. 공격자가 초 단위로 새로운 페이로드를 만들어 공격하는 가운데, 그는 공격자는 기계의 속도로 확장하는 반면 많은 기업은 사람의 속도로 방어하고 있다고 지적했다.

세 단계로 나눈 통제 지점

F5는 프롬프트가 토큰으로 처리되는 경로를 앞문(프론트 도어), 오케스트레이션(요청 조합·중개), 인퍼런스(모델 추론) 세 단계로 나눠 각 지점에 보안을 적용한다고 설명했다. 사용자가 입력한 프롬프트는 모델로 곧바로 가지 않고 애플리케이션과 API에 먼저 적용된다. 기업의 98%가 외부 앱을 수정해 AI 에이전트의 접근을 허용하면서, 앱을 사용하는 주체가 사람이 아니라 소프트웨어인 경우가 늘고 있다고 F5는 밝혔다.

첫 단계인 앞문을 오래 담당한 것은 웹 애플리케이션 방화벽(WAF·웹 공격을 걸러내는 보안 장비)이다. 다만 WAF는 이미 알려진 위협만 막도록 설계돼, 초 단위로 변형되는 공격에는 한계가 있다고 F5는 설명했다. F5는 WAF 구조를 재구성해, 알려진 공격의 식별 패턴인 시그니처와 공격 지표에 더해 자체 데이터로 학습시킨 신경망을 추가했다.

이 신경망은 실시간으로 행위를 분석하고 마이크로초 단위로 판단하며, GPU 없이 CPU만으로 동작해 네트워크 끝단에서도 추론이 가능하다. F5에 따르면 디스트리뷰티드 클라우드 WAF는 시그니처 업데이트 없이 10건의 제로데이(공개 전 미패치 취약점을 노린) 공격을 탐지했고, 정상 트래픽을 공격으로 잘못 막는 비율인 오탐률은 28%에서 1%로, 탐지 정확도는 64%에서 98%로 개선됐다.

오케스트레이션 단계의 AI 보안

두 번째 단계인 오케스트레이션은 프롬프트가 내부 API를 호출하고 데이터를 가져오며 에이전트와 서브 에이전트를 조율하는 구간으로, 엔터프라이즈 AI가 실제로 작동하는 곳이다. F5는 지난해 칼립소 AI(Calypso AI)를 인수해 이 구간의 약점을 보강했다. F5 AI 레드팀은 모의 공격으로 AI 애플리케이션의 취약점을 찾아내고, F5 AI 가드레일은 데이터 유출을 차단한다. 두 솔루션은 매월 1만 개의 새로운 AI 시그니처(AI 공격을 식별하는 패턴)를 생성하며, F5는 오픈소스와 폐쇄형 모델 전반의 행동을 분석한다고 밝혔다.

F5는 3월 AI 리미디에이트(AI Remediate)를 출시해, 레드팀이 찾은 학습 결과를 가드레일에 자동 적용하도록 했다. 공격이 진화하면 별도의 수동 개입 없이 정책도 함께 갱신된다. F5는 이날 기업 내부에서 비공식적으로 사용되는 ‘섀도 AI’를 탐지하는 슈어패스 AI(ShurePath AI) 인수도 발표했다. F5는 가드레일과 리미디에이트, 슈어패스를 합쳐 AI 보안 플랫폼을 구성했다고 설명했다.

인퍼런스와 토큰 경제

세 번째 단계인 인퍼런스에서는 모델이 추론을 수행한다. 쿠나 CMO는 AI 팩토리를 전기를 넣으면 토큰이 나오는 에너지 변환 장치에 비유했다. 사용자의 프롬프트는 임베딩(글의 의미를 숫자 배열로 바꾼 형태)으로 변환되고, 한 번의 짧은 대화도 수십 개의 토큰(AI가 처리하는 최소 의미 단위)으로 나뉘어 비용이 매겨진다.

F5는 토큰 경제가 초당 토큰 수, 첫 토큰까지의 시간, 토큰당 비용, 끝단 지연, 와트당 토큰 등 다섯 가지 지표로 평가된다고 설명했다. 이 가운데 전력 효율을 확보하지 못하면 비용 부담이 커진다고 덧붙였다.

F5는 엔비디아(NVIDIA) 블루필드 DPU(네트워크·보안을 전담하는 데이터 처리 장치) 위에서 동작하는 빅IP(BIG-IP)를 제시했다. 트래픽이 GPU에 도달하기 전에 보안과 부하 분산, 여러 거대언어모델(LLM) 중 알맞은 모델로 요청을 보내는 LLM 라우팅을 처리한다. F5에 따르면 이 방식은 토큰 생성률을 40% 높이고, 첫 토큰까지의 시간을 60% 줄였으며, 추론 응답 시간을 30% 개선했다. F5는 향후 AI 가드레일을 DPU에 통합할 계획이라고 밝혔다.

통합 플랫폼 ADSP

F5는 세 단계의 보안을 ADSP, 즉 애플리케이션 전송·보안 플랫폼(Application Delivery and Security Platform)으로 통합한다고 밝혔다. 단말 보안(EDR)과 접근 관리(IAM), 통합 네트워크 보안(SASE)은 이미 각각 플랫폼 단위로 통합됐지만, 애플리케이션 계층은 WAF와 봇 방어, DDoS, API 보안, AI 보안이 분산돼 있다는 것이 F5의 설명이다. F5는 전통적 애플리케이션부터 API와 AI 기반 시스템까지 동일한 전송·보안을 하나의 콘솔에서 제공하며, 하드웨어·SaaS·엣지 등 배포 환경을 고객이 선택할 수 있도록 한다고 밝혔다.

질의응답

질문: 팔로알토, 아카마이, 클라우드플레어 같은 글로벌 기업도 AI 보안 솔루션을 내놓고 있습니다. F5의 차별점은 무엇입니까?

이형욱 지사장: AI 공격을 AI로 막는다는 점은 저희나 경쟁사나 같습니다. 다만 F5는 본래 애플리케이션 계층의 회사입니다. 토큰이 무엇이고 그 맥락이 어떤지까지 들여다봅니다.

이진원 F5 코리아 상무: 두 가지 특징이 있습니다. 첫째는 업계 최고 수준인 9,000개 이상의 시그니처로 오탐을 줄이는 것입니다. 둘째가 더 중요한데, 사람과 봇의 트래픽을 정확히 구분해 악성 봇을 사전에 차단하는 것입니다. 에이전틱 AI는 자동화 프로그램이 만드는 봇 트래픽으로 움직이기 때문에, 이를 구분해 막는 것이 근본적인 방어입니다.

쿠나 날라판 CMO: 주권(소버린) 요건이 있는 산업은 클라우드만으로는 부족합니다. 온프렘과 에어갭을 포함한 여러 배포 방식이 필요하고, F5는 그 모든 선택지를 제공합니다.

질문: 한국에서는 어떤 산업에 집중하십니까?

이형욱 지사장: 특정 산업에 집중한다고 하면 정확한 답은 아닙니다. 한국 보안 시장은 규제와 인증이 시장을 형성하는 면이 있습니다. 그 가운데 LLM 사용 규제가 빠른 금융이 가장 앞서 있습니다. 칼립소 기반 가드레일과 레드팀을 출시한 뒤 이미 20곳 넘는 금융 고객이 제품 소개와 검증(PoC)을 요청해 왔습니다.

이형욱 지사장은 마무리 발언에서 SK텔레콤을 언급했다. 대형 해킹 사고 이후 보안 예산이 늘었고, 이튿날 본행사 첫 키노트도 SK텔레콤이 맡는다고 소개했다. 그는 보안책임자(CISO)들이 사고 없이 하루를 보내기를 바라는 상황이며, 위협이 빠르게 늘면서 모든 준비를 마쳤다고 단언할 수 있는 기업은 없다고 전했다. F5는 새로운 위협에 맞춰 보안 정책을 계속 보완하고 이를 고객·파트너와 함께 마련해 가겠다고 밝혔다.

이미지 출처: F5