Agentic Secret Finder (ASF)는 Microsoft Security Copilot에 탑재된 AI 기반 기능으로, 기존의 패턴 매칭 도구가 어려움을 겪는 이메일, 채팅 로그, 문서, 스크린샷과 같은 비정형 콘텐츠에서 유출된 자격 증명을 탐지합니다. ASF가 '에이전트적(agentic)'이라고 불리는 이유는 단일 패스 탐지기가 아니라 다단계, 다중 에이전트 추론 워크플로우에 의존하기 때문입니다. 탐지, 검증, 문맥 분석이 각각의 추론 단계에서 처리되므로, ASF는 사용자에게 오탐(false positive)을 쏟아내지 않고 실제 자격 증명을 찾아낼 수 있습니다. 정규식(regex) 기반 스캐너와 달리, ASF는 추론을 사용하여 자격 증명뿐만 아니라 해당 자격 증명이 잠금을 해제하는 시스템까지 식별하여 보안 팀이 노출 상황을 이해하고 더 빠르게 대응하도록 돕습니다. 합성 데이터셋에 대한 벤치마크 테스트에서 ASF는 실제와 같은 이메일, 채팅, 메모, 문서에서 98.33%의 실제 자격 증명 탐지율과 0%의 오탐율을 달성했습니다. 반면 기존 정규식 스캐너는 동일한 자격 증명 중 약 40%만을 탐지했습니다. ASF는 현재 Security Copilot에서 20개 이상의 자격 증명 유형을 높은 정확도와 실행 가능한 컨텍스트와 함께 정식으로 지원합니다.
문제점: 기존 도구가 보지 못하는 곳에 숨겨진 자격 증명
보안 사고가 발생하면, 유출된 자격 증명이 항상 깔끔하고 예측 가능한 형식으로 나타나지는 않습니다. 이들은 이메일 스레드 안에 묻히거나, Teams 메시지에 붙여넣어지거나, Word 문서에 삽입되거나, 로그 및 터미널 스크린샷에 캡처되어 나타납니다. 바로 이러한 곳에서 보안 팀이 가장 많은 시간을 보내고 기존의 자격 증명 스캐닝 도구는 실패하게 됩니다.
대부분의 기존 도구는 정규식이나 간단한 패턴 매칭에 의존합니다. 이는 자격 증명이 예측 가능한 형식을 따르는 소스 코드 저장소와 같은 구조화된 환경에서는 어느 정도 효과적입니다. 하지만 실제 사고에서는 자격 증명이 다르게 보입니다. 저장소 키가 이메일 스레드의 여러 메시지에 걸쳐 분할될 수도 있습니다. 자격 증명이 재형식화되거나, 부분적으로 수정(redacted)되거나, 설명 텍스트와 함께 포함될 수도 있습니다.
이러한 상황에서 패턴 매칭은 두 가지 고통스러운 결과를 낳습니다. 알려진 규칙과 형식이 일치하지 않아 실제 자격 증명을 놓치거나, 분석가에게 오탐(false positive)을 쏟아내 시간을 낭비하게 만듭니다. 보안 팀은 콘텐츠를 수동으로 검토하고, 어떤 탐지 내용이 실제인지 추측하며, 어떤 시스템이 실제로 위험에 처해 있는지 파악하는 데 어려움을 겪습니다. 실제로 이러한 실패 방식은 상당한 인적 비용을 발생시키는데, 보안 분석가들은 수천 개의 경고를 검토하고, 이메일 스레드와 채팅 로그를 수동으로 검사하며, 의심스러운 문자열이 실제로 저장소 계정, API 또는 프로덕션 서비스를 잠금 해제하는지 판단하기 위해 노력하게 됩니다. 팀은 자격 증명이 어떤 접근 권한을 부여하는지 이해하기 위해 메시지와 문서 전반에 걸쳐 컨텍스트를 재구성하는 데 며칠을 소비할 수 있으며, 이는 활성 사고 발생 시 위협을 억제하는 것을 늦추고 위험을 증가시킵니다.
이러한 간극을 메우기 위해 Agentic Secret Finder가 개발되었습니다.
솔루션: ASF, 자격 증명 탐지에 '추론'을 더하다
Agentic Secret Finder는 자격 증명 탐지를 문자열 매칭 작업이 아닌 추론 문제로 접근합니다. ASF는 "이 텍스트가 패턴과 일치하는가?"라고 묻는 대신, 사람과 같은 질문을 던집니다. "이 텍스트는 자격 증명이나 접근 메커니즘을 설명하고 있는가?", "이 값은 실제적이고 사용 가능한가?", "이것이 어떤 시스템이나 리소스에 접근할 수 있게 하는가?"와 같은 질문입니다.
이러한 변화는 미묘하지만 강력합니다. ASF는 단순히 자격 증명을 탐지하는 것을 넘어, 자격 증명을 '문'에 연결합니다. 즉, API 엔드포인트, 저장소 계정, 애플리케이션 또는 서비스와 같이 해당 자격 증명이 잠금을 해제하는 특정 대상을 연결하는 것입니다. 이는 초기 분류(triage)에 매우 중요합니다. ASF는 "이것은 자격 증명처럼 보인다"에서 멈추지 않고, 분석가에게 해당 자격 증명이 실제로 무엇을 열어주는지 알려줍니다. 컨텍스트 없이는 자격 증명이 수동 후속 조치를 유발하지만, 특정 대상과 연결되면 분석가는 즉시 영향을 평가하고 조치할 수 있습니다.
인간 조사관처럼 복잡하고 실제적인 콘텐츠를 이해함으로써, ASF는 보안 팀이 신뢰하고 즉시 조치할 수 있는 결과를 제공합니다. 이 도구는 사고가 실제로 발생하는 비정형적이고 노이즈가 많은 환경을 위해 특별히 설계되었습니다.
ASF가 기존 패턴 매칭보다 우수한 이유
기존 자격 증명 스캐너는 깨끗한 데이터를 위해 만들어졌지만, ASF는 실제 환경을 위해 만들어졌습니다.
기존 도구는 다음과 같은 상황에서 어려움을 겪습니다.
- 자격 증명이 코드 대신 자연어 설명으로 나타날 때
- 문맥에 따라 문자열의 민감성 여부가 결정될 때
- 자격 증명이 불완전하거나, 형식이 잘못되었거나, 부분적으로 수정(redacted)되었을 때
ASF가 뛰어난 이유는 다음과 같습니다.
- 주변 텍스트를 이해하여 진정으로 민감한 정보를 식별하는 문맥 추론 기능
- 자격 증명과 관련 리소스를 함께 탐지하여, 한 번의 과정으로 '무엇'과 '어디'를 제공
- 이메일, 채팅 로그, 문서와 같은 노이즈가 많고 비정형적인 입력 처리
- 탐지 결과에 신뢰도 점수를 부여하여 팀이 우선순위를 정하고 경고 피로도를 줄이도록 지원
ASF가 오늘날 할 수 있는 일
ASF는 현재 Microsoft Security Copilot에서 정식으로 제공되며, 사고 대응, 레드 팀 운영, SOC 운영 전반의 실제 보안 워크플로우를 통해 직접 형성된 기능을 제공합니다.
ASF는 Azure Storage Keys 및 AWS Access Keys와 같은 클라우드 공급자 자격 증명, Microsoft Entra 비밀번호 및 OAuth 토큰을 포함한 인증 자격 증명, 데이터베이스 연결 문자열, SSH 개인 키, API 키, 그리고 사전 정의된 패턴에 맞지 않는 일반 자격 증명 등 20개 이상의 주요 자격 증명 범주를 탐지합니다. 이러한 광범위한 적용 범위는 분석가들이 자격 증명 유형이 지원되는지 걱정할 필요 없이 조사 아티팩트를 스캔할 수 있음을 의미합니다.
ASF가 특히 효과적인 이유는 작동하는 환경에 있습니다. 여러 메시지에 걸쳐 자격 증명이 논의되는 이메일 스레드. 문제 해결 중 자격 증명이 빠르게 붙여넣어지는 Teams 채팅. 운영 인계(handoff)를 위해 자격 증명이 문서화되는 Word 문서 및 내부 위키. 압박 속에서 작성된 사고 보고서 및 사후 검토(post-mortem) 메모. 이러한 환경은 기존 패턴 매칭 도구가 실패하는 곳이며, ASF가 가장 큰 가치를 제공하는 곳입니다.
벤치마크 평가에서 ASF는 임베디드 Azure Storage 자격 증명이 포함된 합성 데이터셋에서 0%의 오탐율로 100%의 재현율(recall)을 달성했으며, 이는 CredScan과 같은 기존 정규식 기반 도구의 40% 재현율과 비교됩니다. 여러 자격 증명 유형과 노이즈가 많은 이메일 콘텐츠가 포함된 더 복잡한 시나리오에서는 ASF가 0%의 오탐율로 98.33%의 재현율을 유지했습니다. 이러한 결과는 엔지니어들이 소통하고 실제 워크플로우에서 자격 증명이 실수로 공유될 수 있는 방식을 반영하도록 설계된 이메일, 채팅, 메모 및 문서를 포함하는 합성 생성 평가 데이터셋에서 관찰되었습니다.
|
시나리오 |
정밀도(Precision) |
재현율(Recall) |
|
단일 자격 증명 유형 |
100% |
100% |
|
복합, 다중 자격 증명 유형 |
100% |
98.33% |
ASF는 현재 Security Copilot에 통합되어 사고 대응 워크플로우를 적극적으로 지원하며, GitHub와 같은 개발자 플랫폼과의 더 깊은 통합을 통해 대규모 소스 코드 분석에 문맥 기반 자격 증명 탐지 기능을 제공하기 위해 노력하고 있습니다.
Security Copilot에서 ASF 사용하기
ASF는 Microsoft Security Copilot의 스킬로 제공되어, 자격 증명 탐지를 분석가 워크플로우의 자연스러운 부분으로 만듭니다.
ASF 사용 방법:
- Security Copilot에서 "Manage Sources" → "Manage Plugins"를 통해 ASF 스킬을 활성화합니다 (그림 1).
- Promptbook에서 "FindSecretInText"를 선택합니다 (그림 2).
- Copilot 프롬프트에 비정형 콘텐츠를 직접 제출합니다: 자격 증명이 포함될 수 있는 텍스트 블록을 붙여넣습니다 (그림 3).
- ASF는 다중 에이전트 워크플로우를 사용하여 콘텐츠를 분석하고, 자격 증명과 관련 '문(doors)'을 탐지합니다 (그림 4).
- 문맥 상세 정보와 함께 실행 가능한 탐지 결과를 검토합니다.
그림 1. Microsoft Security Copilot에서 Agentic Secret Finder (ASF) 스킬 활성화하기
그림 2. ASF의 다단계 자격 증명 탐지 및 검증 워크플로우를 호출하는 FindSecretInText 프롬프트 선택
그림 3. 분석을 위해 임베디드 자격 증명이 포함된 텍스트 블록 제출 (예시는 합성 데이터입니다)
그림 4. 탐지된 자격 증명과 관련 '문(doors)'을 포함하는 ASF 출력 (예시 자격 증명과 관련 '문'은 합성 데이터입니다)
ASF의 다음 단계
ASF는 끊임없이 발전하는 기능입니다. 향후 6개월 동안 적용 범위를 확대하고 통합을 심화하기 위해 노력하고 있습니다.
- 코드 저장소의 자격 증명 스캐닝에서 오탐을 줄이기 위한 GitHub 통합 모색
- 지연 시간을 줄여 전사적 스캔을 효율적으로 처리하기 위한 대규모 분석 최적화
- 자격 증명, 서비스 및 공격 경로 간의 관계를 매핑하기 위한 그래프 기반 위험 모델링 탐색
저희의 장기적인 비전은 탐지를 넘어섭니다. 보안 팀이 자격 증명이 어떻게 사용되는지, 노출될 경우 어떤 위험이 있는지, 그리고 교체 또는 철회가 어떤 영향을 미칠지 이해하도록 돕고자 합니다. "무엇이 유출되었는가"에서 "그것이 무엇을 의미하는가"로 나아감으로써, ASF는 더 스마트한 우선순위 지정, 더 빠른 대응, 그리고 더 자신감 있는 의사 결정을 가능하게 할 것입니다.