프레빈 AI는 12개 전문 AI 에이전트가 협업해 위협 인텔리전스를 조사하고, 의심스러운 IP 주소와 관련 인프라 및 위협 행위자 간 연관성을 분석한다.

MITRE ATT&CK 기반 공격 전술·기술·절차(TTP) 정리와 탐지 규칙 초안 작성도 지원한다.

오케스트레이션 계층(Orchestration Layer)이 조사 목표에 따라 작업을 배분하고 결과를 통합하는 구조다.

사용자가 의심 IP 주소를 입력하면 관련 인프라와 공격 그룹의 단서를 정리하고, Group-IB 그래프(Group-IB Graph)를 통해 관계 정보를 시각적으로 확인할 수 있다.

Group-IB가 소개한 사례에서는 IP 주소와 SSL 인증서 간 연관성을 바탕으로 감마레돈(Gamaredon) APT 그룹과의 관계를 추적했다.

분석 결과에는 해당 위협 행위자의 TTP를 MITRE ATT&CK에 매핑한 정보와 시그마(Sigma) 탐지 규칙 초안이 포함될 수 있다.

생성된 규칙은 SIEM·EDR(엔드포인트 탐지 및 대응)·NDR(네트워크 탐지 및 대응) 환경으로 내보낼 수 있다.

다만 실제 시스템 배포 전에는 텔레메트리 데이터 확보 여부, 필드 매핑 적절성, 오탐 가능성 등을 별도로 검토해야 한다.

다만 실제 성능은 조사 유형과 데이터 가용성에 따라 달라질 수 있다.관리형 XDR(Managed XDR) 환경에서는 AI가 대응 절차와 사고 보고서를 준비하고, 분석가가 검토·수정·승인한 후 실행하는 방식으로 운영된다.

Group-IB는 책임 있는 에이전틱 AI(Agentic AI) 운영 원칙으로 △중요 작업에 대한 사람의 승인 △위험 수준에 비례하는 자율성 △도구 호출 및 접근 범위에 대한 기술적 제한 △분석 근거와 과정을 추적할 수 있는 기록을 제시했다.

Group-IB 보리스 즈베르코프(Boris Zverkov) 머신러닝 엔지니어는 “AI 기반 보안 자동화의 가치는 조사 시간을 줄이는 데 그치지 않는다.

분산된 위협 정보를 연결해 분석 범위를 넓히고 검토 가능한 결과를 제공하는 동시에, 실제 보안 운영에 영향을 미치는 조치는 명확한 권한과 사람의 감독 아래 수행해야 한다”고 말했다.