사이버보안에 ‘말’을 입히다: 인간처럼 사고하는 네트워크 감시자, PACKETCLIP의 등장

 

 

보안 시스템이 점점 ‘말을 알아듣는’ 시대가 오고 있다. 최근 UC Irvine을 비롯한 연구팀은 사이버 보안에 자연어 이해 능력을 접목한 새로운 기술, ‘PACKETCLIP’을 선보였다. 이 기술은 기존에 단순히 데이터를 분석하던 보안 시스템에서 한 단계 더 나아가, 네트워크 흐름과 그 의미를 "이해"하려는 시도를 한다. 말하자면, 이제 보안 시스템이 단순한 감시자가 아니라, 상황을 ‘이해하는’ 해석자가 된 셈이다.

 

 암호화된 패킷, '의미'로 분석하다

 

요즘 대부분의 인터넷 통신은 암호화되어 있다. 이 말은 우리가 보내는 정보가 외부에서 들여다보기 어렵다는 뜻이기도 하지만, 동시에 보안 시스템에게도 큰 도전 과제다. 공격인지 정상인지 구분하려면 내부 내용을 들여다봐야 하는데, 암호화가 이를 어렵게 만들기 때문이다.

 

기존의 방식은 패킷의 크기나 전송 시간, 빈도 같은 통계적 특징을 보고 분류하거나, 전체 데이터를 그래프 구조로 만들어 학습하는 식이었다. 하지만 이 방식들로는 네트워크 안에서 실제로 어떤 일이 벌어지고 있는지, 특히 공격자가 무슨 의도를 갖고 있는지 파악하는 데 한계가 있었다.

 

여기서 PACKETCLIP이 등장한다. 이 기술은 ‘패킷’이라는 데이터 덩어리와 ‘언어’를 연결해준다. 마치 사람이 사진과 설명을 동시에 보고 의미를 파악하듯, PACKETCLIP은 네트워크 패킷과 자연어 설명을 같은 공간에 매핑해서 분석한다.

 

 언어와 패킷을 동시에 이해하는 비밀 무기

 

PACKETCLIP의 핵심은 두 가지 기술의 결합이다. 하나는 자연어 처리(NLP), 또 하나는 그래프 신경망(GNN)이다. 연구팀은 먼저 ‘공격 시나리오’를 자연어로 설명한 텍스트와, 이에 해당하는 네트워크 패킷 데이터를 연결하는 모델을 만들었다. 이 과정을 '대조 학습(Contrastive Learning)'이라 부르는데, 서로 관련 있는 텍스트와 패킷은 가까운 위치에, 관련 없는 것은 멀리 떨어지게 학습시킨다.

 

예를 들어, “UDP Flood 공격이 발생 중입니다”라는 문장이 있으면, PACKETCLIP은 이에 대응하는 패킷 흐름을 학습하고, 나중에 비슷한 흐름이 나타났을 때 그 의미를 추론해낸다. 단순히 숫자를 보고 “이상해”라고 판단하는 것이 아니라, “이건 UDP 기반의 서비스 마비 공격 같아”라고 ‘이해’하는 것이다.

 

이후 이 정보는 계층 구조의 그래프 신경망으로 전달되어 더 정밀한 분석이 이뤄진다. 이 과정은 영상 분석에서 ‘사건의 흐름’을 따라가는 것과 유사하다. 실제로 연구팀은 영상 이상 탐지 분야에서 사용되던 기술을 본떠 PACKETCLIP을 설계했다.

 

 성능도 ‘AI’ 수준, 효율은 ‘IoT’ 수준

 

성능은 어떨까? 연구팀은 실제 IoT 네트워크에서 발생한 다양한 공격 시나리오가 담긴 ACI-IoT-2023 데이터셋을 활용해 PACKETCLIP을 테스트했다. 그 결과는 놀라웠다. 기존 모델보다 평균 11.6% 높은 정확도(AUC 기준)를 기록했고, 학습에 필요한 매개변수 수는 92%, 연산량(FLOPs)은 무려 98%나 줄었다.

 

무엇보다도 인상적인 점은 ‘데이터가 부족해도 잘 작동’한다는 점이다. 전체 데이터의 30%만 사용해도 95%의 정확도를 유지했는데, 이는 기존 모델의 70% 정확도보다 훨씬 높다. IoT나 엣지 디바이스처럼 리소스가 제한된 환경에서 실시간으로 공격을 감지할 수 있다는 뜻이다.

 

 사람이 이해할 수 있는 ‘보안 인공지능’

 

PACKETCLIP의 또 다른 강점은 ‘설명 가능성’이다. 이 시스템은 단순히 “이건 이상하다”고 말하는 게 아니라, “이 흐름은 포트 스캐닝과 관련 있어 보이며, 도구로 nmap이 쓰였을 가능성이 있어” 같은 설명을 제공할 수 있다. 실제로 연구팀은 LLM(대형언어모델)을 활용해 자동으로 공격 시나리오에 대한 자연어 설명을 생성했고, 이를 보안 분석에 활용했다.

 

말하자면 PACKETCLIP은 기계와 사람이 협업할 수 있는 기반을 제공한다. 보안 담당자는 모델의 ‘판단 이유’를 확인하고, 그에 따라 조치를 내릴 수 있다. 이는 기존의 ‘블랙박스’ AI가 제공하지 못하던 투명성과 신뢰성을 제공한다.

 

 보안은 더 이상 ‘무조건 차단’이 아니다

 

지금까지 보안은 "차단" 중심의 패러다임이었다. 하지만 PACKETCLIP은 "이해하고 대응"하는 방식으로 전환을 시도한다. 이것이 의미하는 바는 크다. 앞으로의 사이버 보안은 단순히 악성 여부를 분류하는 것을 넘어, 상황의 맥락을 해석하고 그 의도를 파악하는 ‘해석형 보안’ 시대로 나아갈 가능성이 있다는 것이다.

 

물론 이 기술에도 과제가 있다. LLM이 만들어내는 설명의 정확성 문제, 새로운 공격에 대한 일반화 능력 등은 여전히 해결해야 할 부분이다. 하지만 PACKETCLIP은 기존 보안 시스템의 한계를 뛰어넘을 수 있는 단단한 발판을 마련했다.

 

보안이 말을 알아듣는 시대, 그리고 말로 설명할 수 있는 AI—PACKETCLIP은 그 출발점에 서 있다.

 

 

출처:

Masukawa, R., Yun, S., Jeong, S., Huang, W., Ni, Y., Bryant, I., Bastian, N. D., & Imani, M. (2025). PACKETCLIP: multi-modal embedding of network traffic and language for cybersecurity reasoning. *Frontiers in Artificial Intelligence*, 8, 1593944.