최근 사이버 공격은 기술적 난이도뿐만 아니라 전술적 깊이까지 급격히 발전하며 기존의 대응 방식의 한계점을 보여주고 있습니다. Microsoft의 Digital Defense Report 2024[1]에 따르면, 공격 그룹들은 기존의 단일 공격 기법 대신 여러 TTP를 연속적으로 조합한 다단계 공격(Multi-stage attack)을 수행하는 비율이 크게 증가했으며, 특히 초기 침투 이후 단 몇 분 만에 권한 상승, 내부 이동(lateral movement)까지 이어지는 고속 공격(High-velocity intrusion)이 많이 늘어난 것으로 보고되었습니다. 또한 주요 보안 보고서에 따르면 주요 공격 그룹들은 공격 체인과 기술 조합을 유연하게 바꾸며 전술적, 전략적으로 기존 대응 방식을 뛰어넘는 공격 기술을 구사하고 있음을 꼬집어 경각심을 재고해야 하는 심각한 포인트로 지적하였습니다[2,3].
이에 따라 저희 연구팀은 복잡하고 빠르게 진화하는 공격 환경에서 기존의 단순 패턴 기반 공격 탐지와 제한된 정보 기반으로 추론하는 공격 예측 방식의 한계를 극복하고, 다양한 공격 정보를 통합적으로 활용할 수 있는 향상된 사이버 위협 예측 체계를 연구해 왔습니다. 이러한 연구의 일환으로, LLM(Large Language Model)과 RAG(Retrieval-Augmented Generation)를 결합한 새로운 사이버 위협 예측 연구를 정리하여 블로그 시리즈로 소개해 드리고자 합니다. 본 글에서는 기존의 사이버 위협 예측 방식과 RAG의 개념을 먼저 살펴보고, 이어서 이를 기반으로 한 사이버 위협 예측 접근 방식을 설명하겠습니다.
기존의 사이버 위협 예측
초기의 사이버 위협 예측은 과거 공격 정보를 기반으로 미래 공격을 추정하는 방식이 주를 이루었습니다. 2010년 IEEE INFOCOM에서 발표된 “Predictive Blacklisting as an Implicit Recommendation System”[4]은 기존의 과거에 공격한 IP를 단순 차단하는 방식에서 벗어나 향후 공격 가능성이 높은 IP를 예측하는 새로운 접근법을 제시했습니다. 이 연구는 공격 로그를 추천 시스템 문제로 재구성해 공격자와 피해 조직 간의 상관관계를 분석함으로써, 단순 차단을 넘어 미래 공격을 능동적으로 예측하는 방법을 도입했다는 점에서 중요한 전환점을 마련했습니다. 그러나 이러한 접근법은 IP 주소라는 단일 지표에 과도하게 의존한다는 한계가 있었습니다. 공격자는 IP를 쉽게 교체할 수 있으며, IP만으로는 공격의 기술적 맥락이나 전략적 의도를 파악할 수 없기 때문에 유의미한 결과가 도출될 수 없는 가능성이 높은 문제가 있습니다. 따라서 이 방법은 표면적인 패턴은 포착할 수 있지만, 실제 공격자의 전략적 행동이나 전술을 예측하기에는 부족하였습니다.
그림 1. DeepLog 구조[5]
이후, 사이버 위협 예측은 공격의 연속적인 이벤트, 즉 흐름으로 이해하고 이에 기반한 시퀀스 모델 기반 예측 연구가 등장하였습니다. 그중 하나인 2017년 ACM CCS에서 발표된 DeepLog[5]는 시스템 로그를 Long Short-Term Memory(LSTM)으로 학습하여 다음에 발생할 이벤트를 예측하는 접근법을 제시하였습니다. DeepLog는 기존 IP 기반의 예측에서 벗어나 공격을 시퀀스로 이해하고, 미래의 비정상적 행동을 조기에 감지한다는 의의가 있지만, LSTM의 한계로 지적되는 장기 의존성 문제와 MITRE ATT&CK에서 제시하는 기술 간 구조적 관계를 이해하지 못한다는 치명적인 한계가 존재하였습니다. 이후, Transformer의 발전과 함께, 사이버 위협 예측 연구 또한 Transformer를 도입하여 장기 의존성 문제 해결과 더불어 MITRE ATT&CK의 구조를 이해하여 다음 사이버 공격을 예측하는 연구들이 진행되었습니다. 특히, 최근에는 MITRE ATT&CK의 TTP(Tatic, Techniques, Procedures)를 토큰처럼 나누고 구조를 이해하는 Graph Neural Network(GNN)을 활용하여 다음 기술을 예측하는 방법이 소개된 바 있습니다[6].
그럼에도 불구하고, 이러한 방법 모두 지속적으로 다변화되고 전술·전략적으로 접근하는 공격을 효과적으로 예측하기에는 한계점이 존재하며, 단편적인 정보만을 이용한 공격 예측에서 벗어나 MITRE ATT&CK의 TTP 관계성, 종합적인 보안 리포트 등의 방대한 공격 분석 자료를 복합적으로 고려하는 사이버 위협 예측의 필요성은 지속적으로 커졌습니다.
LLM과 RAG
본격적으로 사이버 위협 예측을 위한 LLM과 RAG를 소개해 드리기에 앞서, 최근 다양한 LLM 연구에서 적용하고 있는 RAG는 무엇인지 간략히 알아보도록 하겠습니다.
LLM과 환각(Hallucination)
LLM은 방대한 데이터를 기반으로 자연스러운 문장을 생성해 내며 놀라운 발전을 이루었지만, 그에 못지않게 환각이라는 구조적 문제가 꾸준히 지적됐습니다. 환각이란, LLM이 사실로 확인되지 않은 정보를 진짜처럼 만들어내는 현상으로 이는 LLM이 확률 기반의 언어 예측을 수행한다는 특성에서 비롯됩니다. 이러한 환각은 실제 사례에서도 여러 문제를 야기하였는데, LLM은 사용자의 질문에 실제 존재하지 않는 논문을 만들어내어 인용하거나, 허위의 제품 리뷰를 만들어내어 사용자에게 혼란을 주는 사례가 종종 발생하였습니다. 심지어, 허위 판례를 제출하여 법적으로 문제가 된 사례가 있었으며, 허위 할인 정보를 고객에게 안내하여 실제 기업이 손해를 입은 사례 또한 존재하였습니다[7].
Retrieval-Augmented Generation(RAG)
그림 2. Retrieval-Augmented Generation 답변 생성 과정[8]
이러한 LLM의 환각 문제를 극복하기 위해, 2020년 Facebook AI Research는 “Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks”[9] 논문에서 RAG를 제안하였습니다. RAG는 모델이 모르는 지식은 외부에서 찾아오게 하자는 발상에서 출발한 방식으로, 외부 데이터셋에서 사용자의 질문과 연관된 정보를 먼저 검색한 뒤 이를 기반으로 답변을 생성합니다. 이를 통해 LLM은 학습 과정에서 내재된 파라미터에만 의존해 답을 지어내는 대신, 실제 근거 문서에 기반한 더욱 신뢰도 높은 응답을 제공할 수 있습니다. RAG의 핵심은 그림 2와 같이 사용자의 질문과 의미상으로 가장 가까운 문서를 찾는 과정, 즉 유사도 기반 검색입니다. 사용자가 질문을 입력하면, RAG는 임베딩하여 벡터 형태로 저장해 둔 문서 데이터베이스에서 해당 질문과 가장 유사한 문서를 찾기 위해 코사인 유사도(Cosine Similarity) 또는 내적(Dot Product)을 활용합니다. 이렇게 검색된 문서들은 LLM은 이를 참고해 최종 답변을 생성합니다. 이 구조 덕분에 RAG는 단순한 생성 모델보다 훨씬 정확하고 근거 기반의 응답을 제공할 수 있게 됩니다.
RAG의 효과는 실제 많은 연구에서도 입증되었습니다. 2021년 발표된 “Retrieval Augmentation Reduces Hallucination in Conversation”[10]에서는 기존 LLM 중 하나인 BART는 68.2%의 환각률(Hallucination Rate)을 기록했지만, RAG를 활용하였을 때는 환각률이 9.6%를 기록하여 약 86% 환각률이 감소하였다고 밝혔습니다. 또한 RAG는 작은 데이터양을 학습한 LLM과의 결합에서도 큰 효과를 보였습니다. Meta에서 발표한 “Atlas: Few-shot Learning with Retrieval Augmented Language Models”[11]에 따르면 약 175억 개의 모델 파라미터를 보유한 GPT-3 175B에 비해 11억 개의 모델 파라미터를 가진 ATLAS-11B와 RAG를 결합하여 활용하였을 때, 주요 벤치마크에서 최소 3%에서 최대 13% 이상의 성능의 우위를 기록하였다고 밝혔습니다. 따라서 이러한 연구를 통해 RAG는 LLM에 근거를 찾아보고 말하는 능력을 부여함으로써 환각 문제를 완화할 수 있고, 지식 기반 과제에서 매우 높은 정확도를 제공하는 방법으로 자리 잡게 되었습니다.
사이버 위협 예측을 위한 LLM과 RAG
그렇다면, 사이버 위협 예측을 위한 LLM과 RAG는 어떻게 구성될까요? 앞서도 언급한 바와 같이 최근의 사이버 위협 예측은 그 기법이 다양해지고 단발적 공격이 아닌 다단계 공격 기법을 활용함에 따라, LLM과 RAG를 활용하여 다양한 공격 정보를 복합적으로 판단하는 데에 그 목적이 있습니다.
그림 3. 사이버 위협 예측을 위한 LLM과 RAG 개념도
사이버 위협 예측을 위한 LLM과 RAG은 그림 3에서 보는 것과 같이 크게 데이터 전처리(Data Pre-process), RAG 데이터셋 구성(RAG Dataset), LLM 질의로 나눌 수 있습니다. 그러면 각 과정에서는 어떻게 데이터를 처리하고 향후 공격을 예상하는지 알아보도록 하겠습니다.
데이터 전처리
데이터 전처리 단계에서는 입력받은 “*.pcap” 파일을 분석에 적합한 형태로 Session, Flow, Time-window 단위 등 공격 기법을 효과적으로 분석할 수 있는 의미 있는 네트워크 단위로 재구성하는 과정부터 시작합니다. 이러한 재구성 과정을 통해 방대한 패킷 데이터를 직접적으로 해석할 수 있을 뿐만 아니라, RAG에서 유사한 정보를 추출할 때도 효과적으로 검색할 수 있습니다. 이후 작은 단위로 나뉜 “*.pcap” 데이터에 대해서는 IP 정보, 패킷 길이, 전송 간격, 비정상적 scan 여부 등과 같은 분석이 이루어지고 있는 LLM의 질의 및 RAG 정보 추출에서 활용하게 됩니다.
RAG 데이터셋 구축 및 추출
그림 4. RAG 데이터셋 구축 및 활용 예시[12]
RAG 데이터셋 구축 단계에서는 LLM에게 위협 분석에 필요한 정확하고 정형화된 지식을 전달하기 위해 그림 4와 유사하게 다양한 보안 자료를 수집하고 이를 검색에 최적화된 데이터베이스 형태로 구축합니다. 우선, RAG의 기초가 되는 데이터셋 구축을 위해 각 공격을 정의한 MITRE ATT&CK TTPs 데이터를 수집합니다. 전술(Tatic), 기술(Technique), 서브 기술(Sub-Technique) 정보를 비롯하여 각 기술의 설명, 공격 근거 및 캠페인 사례 등을 통해 RAG 데이터셋은 특정 네트워크 세션에서 관측된 특징과 가장 가까운 기술을 빠르게 검색할 수 있습니다.
또한, 다양한 공격 사례 및 공격 흐름을 이해하기 위해 보안 리포트, 침해사고 분석 글 등을 대규모로 수집하게 됩니다. 이러한 문서들은 공격자의 행동 순서, 사용된 기술 조합, 복합 공격의 근거 등을 포함하여 LLM에 현재 패킷과 관련된 정보를 충분히 제공하는 것을 목표로 합니다. 하지만 보안 보고서 등의 원문은 각각 다른 기술 용어 표현을 사용하거나 MITRE ATT&CK TTPs와 맵핑되어 있지 않는 등의 문제점이 존재할 수 있어, 이를 정규화 및 구조화하는 작업을 필수적으로 진행하여야 합니다. 주요 정규화 및 구조화 작업으로는 보안 보고서 내 공격 기술을 MITRE ATT&CK TTPs와 맵핑을 진행하고 공격 그룹별 사용한 공격 기술들을 구조화할 수 있으며, 더 나아가 공격 단계 단위로 재구성할 수 있습니다.
이렇게 구축된 자연어 형식의 데이터는 임베딩(Embedding) 과정을 통해 벡터 형태로 표현하여 FAISS, Chroma 등의 벡터 데이터베이스에 저장됩니다. 이렇게 저장된 벡터는 사용자의 질의에 따른 유사한 정보를 유사도 기반 검색을 통해 가장 관련성이 높은 문서를 LLM에게 제공하며, LLM은 현재 관측된 네트워크 행동과 과거 어떤 공격 사례가 유사한지, 입력받은 세션이 어떤 MITRE ATT&CK 기술과 연결되는지와 같은 다양한 정보를 취득하여 이후 전개될 가능성이 높은 공격을 추론하는 근거로 활용됩니다.
LLM 질의
최종적으로 LLM 질의 단계에서는 앞서 전처리 과정에서의 분석 결과와 RAG를 통해 검색된 관련 공격 지식을 결합하여 하나의 프롬프트로 구성하게 됩니다. 이 프롬프트에는 현재 제시된 세션에 대한 정보를 비롯하여 RAG에서 검색된 현재 세션과 유사한 공격과 과거 공격 그룹의 유사한 공격 사례들을 포함하여 LLM에 전달하게 됩니다. 이후에 LLM은 제공받은 정보에 근거하여 현재 패킷 흐름이 어느 공격과 기술과 유사한지, 과거에는 어떤 공격 흐름으로 이어졌는지, 이후 가능한 공격들은 무엇이 있는지를 복합적으로 추론하여 사용자에게 향후 가능한 공격을 예측하여 답변으로 제시하게 됩니다.
글을 마치며
기존의 사이버 위협 예측 기법은 단일 지표 또는 단일 이벤트 기반 분석에 의존하여 복잡한 공격 패턴을 포착하는 데 한계를 가지고 있습니다. 이에 비해 LLM과 RAG를 결합한 접근 방식은 다양한 공격 정보를 구조화된 형태로 통합하고, 이를 근거 기반 추론으로 확장함으로써 기존 방식이 놓치던 공격 맥락과 전술적 연계를 효과적으로 파악할 수 있게 해줍니다. 특히 “*.pcap” 기반의 실시간 네트워크 세션 분석과 RAG 검색을 통해 확보한 위협 정보를 LLM이 결합하여 추론함으로써, 현재 공격의 의미 분석뿐 아니라 이후 전개될 가능성이 높은 공격 단계를 예측할 수 있는 새로운 수준의 위협 인텔리전스가 가능해집니다.
다음 글에서는 본 글에서 소개한 개념을 바탕으로, LLM과 RAG를 활용한 사이버 위협 예측 아키텍처의 전체 구조와 구체적인 구현 과정을 다룰 예정입니다. 특히, 앞서 저희 탐지 연구에서 제시된 XAI 기반 근거를 활용한 사이버 위협 예측 방법을 함께 소개해 드리고자 하니, 많은 관심 부탁드립니다.
참고자료
[1] Microsoft, “Microsoft Digital Defense Report 2024”, 2024
[2] CrowdStrike, “Global Threat Report 2024”, 2024
[3] Madiant, “M-Trends 2024”, 2024
[4] Soldo, F., Le, A., Markopoulou, A., “Predictive Blacklisting as an Implicit Recommendation System”, IEEE INFOCOM, 2010
[5] Du, M., Li, F., Zheng, G., Srikumar, V., “DeepLog: Anomaly Detection and Diagnosis from System Logs through Deep Learning”, In Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security (CCS ’17), 2017
[6] Singh, C., Dhanraj, M., Huang, K., “KillChainGraph: ML Framework for Predicting and Mapping ATT&CK Techniques”, arXiv, 2025
[7] MBN, “AI 믿고 결정했다가 수십억 손실… ‘AI 환각’ 주의보”, 2025
[8] K2view, “RAG architecture: The generative AI enabler”, 2025
[9] Lewis, P., et al., “Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks”, NeurlPS, 2020
[10] Shuster K., et al., “Retrieval Augmentation Reduces Hallucination in Conversation”, Findings of ACL & EMNLP, 2021
[11] Izacard, G., et al., “Atlas: Few-shot Learning with Retrieval Augmented Language Models”, arXiv, 2021
[12] Naver Cloud Platform Forum, “(1부) RAG란 무엇인가”, 2024
KAIST 사이버보안연구센터 AI 기술보안팀 연구원으로 AI 및 LLM을 이용한 보안 연구를 수행하고 있다.