사이버RAG: 실시간 공격 분류·설명·보고를 위한 에이전트형 RAG 시스템

초록

CyberRAG는 LLM 기반 에이전트를 중심으로 특화된 공격 분류기와 다단계 RAG 루프를 결합한 모듈형 프레임워크이다. IDS/IPS 알림을 실시간으로 받아 공격 유형을 정확히 분류하고, 도메인 지식베이스에서 증거를 반복적으로 검색·검증해 신뢰성 있는 설명과 구조화된 보고서를 자동 생성한다. SQL Injection, XSS, SSTI에 대해 94 % 이상의 정확도와 BERTScore 0.94, 전문가 평점 4.9/5를 달성했으며, 새로운 공격 유형을 분류기 추가만으로 손쉽게 확장할 수 있다.

상세 분석

본 논문은 기존 RAG 파이프라인이 “한 번의 검색 → 한 번의 생성” 구조에 머무르는 한계를 지적하고, 사이버 방어 현장에서 요구되는 동적 질의 재구성과 증거 일관성 검증을 에이전트 기반 제어 흐름으로 해결한다는 점에서 혁신적이다. 핵심 설계는 (1) 공격 패밀리별로 미세조정된 **인코더 기반 분류기(BERT, RoBERTa)**를 배치해 고정밀 라벨링을 수행하고, (2) LLM(주로 GPT‑4 수준) 에이전트가 분류 결과를 입력으로 받아 다단계 RAG 루프를 제어한다. 에이전트는 초기 질의로 지식베이스에서 관련 문서를 검색하고, 반환된 증거를 자체 검증·요약한다. 증거가 불충분하거나 모순될 경우, 자동으로 질의를 재작성해 추가 검색을 수행한다. 이 Iterative Retrieval‑and‑Reason 메커니즘은 전통적 RAG가 겪는 “무관한 컨텍스트” 문제를 크게 완화한다.

또한, Tool Adapters를 통해 외부 enrichment 서비스(예: CVE 데이터베이스, OWASP 가이드)와 연동함으로써, 단순 텍스트 설명을 넘어 구조화된 MITRE ATT&CK 매핑과 실제 방어 조치까지 자동 제시한다. 보고서는 JSON‑like 스키마로 출력돼 SOC 툴 체인에 바로 삽입 가능하도록 설계되었으며, 인터랙티브 LLM 어시스턴트를 통해 분석가가 추가 질문을 하면 실시간으로 답변을 제공한다.

실험에서는 세 가지 웹 기반 공격(SQLi, XSS, SSTI)을 대상으로 10 k+ 라벨링된 샘플을 사용했으며, 개별 분류기의 정확도는 94 % 이상, 전체 파이프라인의 최종 정확도는 94.92 %에 달한다. 설명 품질 평가는 두 축으로 진행했는데, BERTScore 0.94는 생성 텍스트가 원본 증거와 의미적으로 높은 일치를 보였음을 의미하고, GPT‑4 기반 전문가 평가에서 평균 4.9/5점이라는 높은 신뢰성을 확인했다. 또한, 적대적 변형(payload obfuscation)과 미보유 공격 패턴에 대해서도 성능 저하가 미미해 robustness가 검증되었다.

확장성 측면에서, 새로운 공격 카테고리를 추가하려면 해당 카테고리용 라벨링 데이터만 확보해 인코더 분류기를 미세조정하면 된다. 에이전트와 RAG 루프는 재학습 없이 그대로 재사용 가능하므로, 운영 비용과 모델 관리 복잡도가 크게 감소한다.

한계점으로는 (①) 현재 구현이 오픈‑소스 LLM에 의존해 GPT‑4와 같은 최신 모델 대비 생성 품질 차이가 있을 수 있다, (②) 지식베이스 구축이 초기 비용을 요구하며, 최신 CVE·패치 정보를 지속적으로 업데이트해야 한다는 운영 부담이 있다. 향후 연구에서는 **멀티‑모달 증거(패킷 캡처, 로그 파일 이미지)**를 포함한 확장과, 강화학습 기반 질의 최적화를 통해 검색 비용을 최소화하는 방안을 제시하고 있다.

요약하면, CyberRAG는 전문가‑특화 분류기 + 에이전트형 RAG라는 새로운 아키텍처를 제시함으로써, 사이버 위협 탐지의 정확도와 설명 가능성을 동시에 끌어올렸다. 이는 SOC 자동화 수준을 한 단계 끌어올리는 실용적 토대가 될 것으로 기대된다.