Sophos, OpenAI Daybreak으로 위협 조사 시간 96% 단축

Sophos는 OpenAI Daybreak의 도움으로 평균 위협 조사 및 대응 시간을 약 38분에서 89초로 96% 단축했다고 밝혔다. 이 사이버보안 기업은 이제 관리형 탐지 및 대응 사례의 52%를 인공지능이 처음부터 끝까지 처리한다고 보고한다.

이 성과는 분석가 콘솔에 AI 보조 기능을 추가하는 수준보다 더 중요한 단계다. Sophos는 보안 전문가들이 지속적으로 조정하는 경계 안에서 전체 사례의 절반 이상에 대한 운영 책임을 AI 에이전트에 맡겼다.

이러한 차이는 회사를 익숙한 보안 운영 모델의 반대편에 놓는다. Sophos는 분석가가 모든 일상적 조사를 감독하도록 하는 대신, 에이전트가 범위가 명확한 사례를 처리하게 하고 사람은 불확실하거나 중대한 결정에 집중하도록 한다. 핵심 질문은 자동화가 확대되면서도 이 분업이 책임성을 유지할 수 있는지다.

OpenAI Daybreak, 지원에서 사례 해결로 전환

핵심 변화는 더 빠른 요약이 아니다. Sophos는 모든 사례에서 인간의 개입을 요구하지 않고, 에이전트가 정의된 조사와 대응을 완료하도록 허용하고 있다.

OpenAI 사례 연구에 따르면, Sophos는 이전에 평균 사례를 조사하고 대응하는 데 약 38분이 필요했다. 새 에이전트가 처리하는 사례의 평균 대응 시간은 이제 약 89초에 이른다.

이는 약 96%의 감소에 해당한다. Sophos는 에이전트가 관리형 탐지 및 대응, 즉 MDR 사례의 52%를 처음부터 끝까지 해결한다고도 밝혔다.

MDR은 외부 보안 팀이 고객 환경을 지속적으로 모니터링하고 탐지된 위협에 대응하는 서비스다. 조직은 완전한 내부 보안 운영 센터를 구축하지 않고도 보안 운영 역량을 확보할 수 있다.

보고된 개선은 에이전트가 처리한 사례에 적용된다. 이를 Sophos 전반의 모든 조사가 이제 89초 안에 종료된다는 증거로 해석해서는 안 된다.

이 범위는 보안 사례의 편차가 매우 크기 때문에 중요하다. 익숙한 악성 파일은 엄격히 정의된 대응을 지원할 수 있지만, 의심스러운 ID 활동은 텔레메트리만으로는 제공할 수 없는 비즈니스 맥락을 요구할 수 있다.

Sophos는 자사의 Fusion 시스템이 자사 제품과 500개 이상의 타사 통합에서 신호를 수집한다고 설명한다. 이러한 소스는 엔드포인트, 네트워크, 클라우드 서비스, 이메일 시스템, 방화벽, ID 플랫폼을 포함할 수 있는 환경을 포괄한다.

OpenAI에 따르면, 이 결합된 센서는 매일 수조 건의 이벤트를 생성한다. Sophos는 이 활동을 필터링하고 상관 분석해 9개의 보안 운영 센터가 조사할 약 1,000~2,000건의 사례로 압축한다.

조사 에이전트는 관련 고객 맥락, 탐지 정보, 침해 지표, 위협 인텔리전스를 수집한다. 이후 계획 모델이 조사 계획을 수립하고, 단계를 실행하며, 결과를 검토하고, 권장 조치를 준비한다.

고객의 승인과 Sophos의 운영 경계가 허용하는 경우 다른 에이전트가 대응의 일부를 수행할 수 있다. 이 워크플로는 모델을 단순한 대화형 인터페이스가 아닌 오케스트레이터로 전환한다.

이 결과는 앞선 자동화 노력에도 기반한다. 2026년 5월 Sophos는 1년간의 프로덕션 사용을 다룬 에이전틱 SOC 결과를 발표했다.

해당 발표에서도 89초의 자동 대응 시간과 52%의 엔드투엔드 종료율을 언급했다. 따라서 OpenAI의 10월 사례 연구는 이 수치를 처음 소개한 것이 아니라 Daybreak의 역할을 더 자세히 설명한다.

이러한 이력은 증거를 실험실 시연보다 더 실질적인 것으로 만든다. 다만 공개된 두 설명 모두 공통 업계 벤치마크를 사용한 독립 비교가 아니라 회사가 보고한 측정치다.

89초 대응이 MDR 경쟁 구도를 바꾸는 이유

Sophos는 관리형 보안 제공업체들이 AI가 요약할 수 있는 경보 수가 아니라 완료된 결과를 기준으로 경쟁하도록 압박하고 있다.

보안 운영 팀은 이미 자동화를 사용해 노이즈를 억제하고, 경보를 상관 분석하며, 의심스러운 활동의 우선순위를 정한다. 더 어려운 단계는 소프트웨어가 증거가 대응을 뒷받침한다고 판단한 뒤 이를 실행하도록 허용하는 것이다.

Sophos는 자사의 MDR 운영이 4만 명 이상의 고객을 보호한다고 밝혔다. 더 넓은 제품 포트폴리오는 62만5,000개 이상의 조직에 서비스를 제공하며, 이는 회사에 대규모 보안 신호 풀과 운영 경험을 제공한다.

이 규모에서는 사례당 소량의 수작업도 비용 부담이 커진다. 사례 규모는 조직이 숙련된 분석가를 채용하고 교육하는 속도보다 빠르게 증가할 수도 있다.

Daybreak 배포는 확장 방정식을 바꾼다. Sophos는 일상적 조사 증가분마다 분석가 한 명을 채용하지 않고도 모델 추론과 자동화 역량을 늘릴 수 있다.

그렇다고 분석가가 운영 모델에서 사라진다는 뜻은 아니다. 이는 업무가 일상적 맥락 수집에서 새로운 공격, 모호한 증거, 고객 커뮤니케이션, 위협 헌팅, 거버넌스로 이동한다는 의미다.

이 차이는 구매자에게 중요하다. 사고 요약을 생성하는 도구는 시간을 절약할 수 있지만, 여전히 결정과 실행의 부담을 인간 대기열에 남긴다.

증거를 수집하고, 가설을 검증하며, 범위가 정해진 결론에 도달하고, 승인된 조치를 수행하는 에이전트는 대기열 자체를 바꾼다. 일상적 사례는 더 이상 분석가가 모든 단계를 직접 처리할 때까지 기다릴 필요가 없다.

Sophos는 Daybreak 이전에도 상당한 필터링 파이프라인을 구축했다. 자사의 MDR 이벤트 흐름에 대한 이전 설명은 텔레메트리가 어떻게 정제, 보강, 상관 분석, 우선순위화, 에스컬레이션되는지 설명했다.

이 파이프라인은 당시 공개 시점의 일반적인 하루에 약 310억 건의 이벤트와 3억5,800만 건의 탐지를 처리했다. 이 활동은 367건의 조사, 47건의 에스컬레이션, 1건의 활성 위협으로 줄어들었다.

이전 수치는 다른 보고 기간을 설명하므로 더 새로운 일일 추정치와 직접 결합해서는 안 된다. 그럼에도 관리형 보안 운영에서 필터링이 왜 핵심인지 보여준다.

에이전트는 여러 계층이 이미 데이터를 좁힌 뒤에 투입된다. 모든 고객이 생성하는 모든 원시 이벤트를 대상으로 독립적으로 추론하는 것은 아니다.

이 아키텍처는 일반 목적 모델을 비정형 경보에 직접 적용하는 기업보다 Sophos에 방어 가능한 우위를 제공한다. 에이전트는 선별된 사례, 위협 인텔리전스, 대응 플레이북, 고객 맥락을 받는다.

경쟁사들도 유사한 영역을 추구하고 있다. Microsoft Security Copilot 에이전트는 Microsoft 보안 제품 전반에서 사고 분류, 위협 인텔리전스, 조사, 개선 지침을 지원할 수 있다.

Microsoft 문서는 사고를 분석하고, 엔터티를 추출하며, 신호를 상관 분석하고, 활동이 악성인지 판단하는 에이전트를 설명한다. 이는 에이전트 주도 보안 운영이 한 회사의 실험이 아니라 업계 경쟁으로 자리 잡고 있음을 확인한다.

Sophos의 차별점은 관리형 서비스 전반에서 프로덕션 규모의 엔드투엔드 해결을 제공한다는 주장이다. 경쟁사들은 유사한 완료율, 대응 시간, 에스컬레이션율, 승인 모델을 공개해야 한다는 압박에 직면할 것이다.

Sophos AI 보안 에이전트의 업무 분담 방식

이 메커니즘이 작동하는 이유는 Sophos가 사례 유형, 고객 선호도, 잠재적 영향에 따라 에이전트의 권한을 제한하기 때문이다.

OpenAI는 Daybreak를 전문 모델, 실행 하네스, 보안 도구, 신뢰할 수 있는 워크플로, 업계 파트너를 결합한 거버넌스 기반 사이버보안 스택으로 설명한다. 명시된 목표는 접근과 조치에 대한 인간의 통제권을 유지하면서 방어 업무를 지원하는 것이다.

Sophos는 이러한 모델을 둘러싼 운영 환경을 제공한다. 이 환경에는 수년간의 보안 운영을 통해 개발된 위협 인텔리전스, 조사 절차, 고객 텔레메트리, 탐지 로직, 대응 플레이북이 포함된다.

이 조합은 언어 모델만으로는 낯선 프로세스가 특정 조직에서 정상인지 알 수 없기 때문에 중요하다. 모델에는 최신 자산 세부 정보, ID 정보, 과거 활동, 검증된 보안 증거가 필요하다.

각 사례에서 조사 에이전트는 이러한 맥락을 구성한다. 이후 계획 시스템은 하나의 프롬프트로 하나의 답을 생성하는 대신 계획, 실행, 검토 루프를 따른다.

작업을 단계로 나누면 시스템이 증거를 재평가할 수 있다. 또한 사례에 에스컬레이션이 필요할 때 분석가가 검토할 수 있는 구조화된 기록을 만든다.

Sophos는 고객 대응 권한을 세 가지 운영 모드로 나눈다. Notify에서는 Sophos가 조사하고 조치를 권고하지만, 고객이 이를 수행한다.

Collaborate에서는 Sophos와 고객이 조치를 취하기 전에 함께 협력한다. Authorise에서는 합의된 경계 내에서 Sophos가 고객을 대신해 직접 대응할 수 있다.

이 규칙은 사람 또는 에이전트 중 누가 업무를 수행하든 적용된다. 에이전트는 빠르게 결론에 도달할 수 있다는 이유만으로 더 넓은 권한을 자동으로 부여받지 않는다.

잠재적으로 파괴적인 조치는 적절한 감독의 대상이 된다. Sophos의 최고기술책임자인 John Peterson은 OpenAI에 회사의 허용 범위를 벗어나는 사례는 인간의 판단으로 넘어간다고 말했다.

이는 서로 연관된 두 가지 운영 패턴을 만든다. 휴먼 온 더 루프 자동화는 전문가가 개별 조치를 하나하나 승인하지 않고도 범위가 명확한 업무를 감독할 수 있게 한다.

휴먼 인 더 루프 운영은 민감한 결정이나 대응이 진행되기 전에 사람이 개입하도록 요구한다. Sophos는 새로운 패턴, 고위험 결정, 비즈니스 맥락이 필요한 사례에 더 엄격한 모델을 사용한다고 밝혔다.

이 구분은 52% 자동화가 인간의 책임성과 공존할 수 있는 이유를 설명한다. 자동화 비중은 Sophos가 확립된 경계에 부합한다고 판단한 사례를 의미하며, 제한 없는 자율 대응을 허용한다는 뜻은 아니다.

이는 남은 48%가 중요한 이유도 설명한다. 자동화에 저항하는 사례에는 더 깊은 전문성을 요구하는 이례적 행동, 불완전한 증거, 또는 비즈니스상 결과가 포함될 가능성이 높다.

단순한 생산성 관점은 이러한 재분배를 놓친다. 시스템의 가치는 분석가가 일상적 조사 역량을 잃지 않으면서 더 중요한 업무로 이동하도록 하는지에 달려 있다.

유사한 시스템을 도입하는 조직에는 대응 플레이북, 과거 사고, 운영 예외에 대한 지속 가능한 문서화가 필요하다. 검색 가능한 엔지니어링 지식 기반은 팀이 이러한 맥락을 보존하는 데 도움이 될 수 있지만, 검증된 보안 통제를 대체할 수는 없다.

따라서 이 메커니즘에는 두 가지 필수 구성 요소가 있다. 모델은 속도와 추론 역량을 제공하고, 거버넌스는 어떤 결론이 조치를 촉발할 수 있는지 결정한다.

인간 감독은 구호가 아닌 통제 시스템이다

해결되지 않은 문제는 Sophos가 에이전트의 오류를 에이전트의 속도만큼 엄격하게 측정할 수 있는지다.

96% 감소와 52% 종료율은 처리량을 설명한다. 이는 오탐률, 미탐률, 재개된 사례, 고객의 결정 번복, 또는 분석가 수정의 빈도를 공개하지 않는다.

이러한 누락이 결과를 무효화하는 것은 아니다. 다만 외부 관찰자가 신뢰성에 대해 내릴 수 있는 결론을 제한한다.

에이전트가 침해된 기기를 정확히 격리할 때는 신속한 대응이 중요하다. 하지만 정상적인 관리 활동을 잘못 해석해 핵심 시스템을 비활성화한다면, 같은 속도는 위험이 된다.

사이버보안 에이전트 역시 적대적 환경에서 작동한다. 공격자는 자동화된 분석을 혼란스럽게 하려는 의도로 파일, 메시지, 명령어, 웹 콘텐츠를 의도적으로 제작할 수 있다.

증거가 불완전할 때 모델은 그럴듯하지만 잘못된 해석을 생성할 수 있다. 약한 지표에 지나친 확신을 두거나 숙련된 분석가라면 알아차릴 맥락을 놓칠 수도 있다.

이는 Sophos에만 국한된 이론적 한계가 아니다. Anthropic은 조직적으로 진행된 사이버 첩보 캠페인에 관여한 AI 시스템이 자율 작업 중 발견 사항을 과장하고 데이터를 조작한 경우가 있었다고 보고했다.

캠페인 분석에 따르면, 해당 모델은 실패한 자격 증명을 확보했다고 주장하고 공개 정보를 중요한 발견으로 잘못 분류한 것으로 전해졌다.

이 사례는 Sophos의 방어 시스템이 아니라 공격적 오용에 관한 것이었다. 그럼에도 중요한 조치 전에 모델이 생성한 증거와 결론을 검증해야 하는 이유를 보여준다.

Microsoft도 자사의 보안 에이전트에 대해 유사한 경고를 내놓고 있다. 책임 있는 AI 지침에서는 생성된 응답이 부정확하거나 불완전하거나 최신 정보가 아닐 수 있다고 명시한다.

Microsoft는 고객에게 적절한 인간 감독을 적용하고, 중요한 결과물을 검증하며, 최소 권한 원칙을 적용하고, 과도한 의존을 피하라고 권고한다. 이러한 원칙은 조사나 대응을 수행할 수 있는 모든 에이전트에 똑같이 적용된다.

Sophos의 세 가지 권한 부여 모드는 신뢰할 만한 통제 프레임워크를 제공한다. 다만 이 프레임워크의 강도는 경계가 어떻게 정의되고, 테스트되며, 모니터링되고, 수정되는지에 달려 있다.

회사는 분석가들이 지속적으로 한계를 조정한다고 말한다. 이 과정이 실제로 무엇을 의미하는지 고객이 이해할 수 있도록 더 많은 공개가 도움이 될 것이다.

유용한 지표로는 나중에 재개된 자동 처리 사례의 비율, 고객의 재정의 비율, 안전 정책에 의해 차단된 조치 수 등이 있다. Sophos는 사례 범주별 성과도 보고할 수 있다.

집계된 결과는 중요한 차이를 가릴 수 있다. 악성코드 차단, 피싱 분석, ID 침해, 클라우드 구성 오류, 내부자 활동은 각각 다른 증거와 결과를 수반한다.

고객은 데이터 처리 방식도 명확히 알아야 한다. 조사에는 기기 세부 정보, 사용자 신원, 이메일 메타데이터, 위협 인텔리전스, 타사 보안 제품에서 가져온 정보가 포함될 수 있다.

핵심 질문은 데이터가 어디에서 처리되는지, 얼마나 오래 보관되는지, 어떤 모델 구성 요소가 이에 접근할 수 있는지, 조치가 어떻게 기록되는지다. 모델 성능뿐 아니라 계약상 통제도 중요하다.

인간 감독에도 고유한 실패 방식이 있다. 자동화가 대체로 정확할 경우 분석가의 주의력이 떨어질 수 있는데, 이는 흔히 자동화 편향이라고 불린다.

검토자는 에이전트의 증거와 추론 과정을 충분히 파악해 결론에 이의를 제기할 수 있어야 한다. 추적 가능한 근거가 없는 권고는 습관적인 승인을 부추긴다.

따라서 핵심은 워크플로 어딘가에 인간이 남아 있느냐가 아니다. 그 사람이 잘못된 조치를 중단할 권한, 시간, 맥락, 그리고 활용 가능한 증거를 갖추고 있느냐가 핵심이다.

진짜 경쟁은 제한된 자율성과 Copilot 지원의 대결이다

Sophos는 분석가의 다음 프롬프트를 기다리는 AI 어시스턴트보다, 관리되는 자율성이 더 큰 운영 가치를 제공한다고 보고 있다.

초기 세대의 보안 Copilot은 대화형 접근에 초점을 맞췄다. 분석가는 사고 요약을 요청하고, 쿼리를 만들고, 의심스러운 스크립트를 설명받고, 해결 지침 초안을 작성할 수 있었다.

이러한 기능은 인지적·행정적 업무를 줄인다. 하지만 반드시 조사 대기열에서 사례를 제거하는 것은 아니다.

Sophos의 접근 방식은 선택된 사례의 전체 수명 주기를 겨냥한다. 에이전트는 맥락을 수집하고, 조사를 계획하며, 단계를 수행하고, 결과를 검토하고, 대응을 권고하며, 때로는 이를 실행한다.

이 차이가 이 글의 핵심 긴장을 만든다. Copilot 지원은 모든 운영 단계에 사람을 남겨두지만, 제한된 자율성은 반복 가능한 사례에서 그 요건을 없앤다.

어느 쪽도 보편적으로 우월하지는 않다. 데이터 품질이 들쭉날쭉하거나, 프로세스가 비공식적으로 남아 있거나, 실수의 결과가 심각한 환경에서는 Copilot 지원을 도입하기가 더 쉽다.

신뢰할 수 있는 텔레메트리, 성숙한 플레이북, 명확한 권한, 그리고 광범위한 검증을 정당화할 만큼 충분한 사례량을 갖춘 조직에서는 제한된 자율성이 더 매력적이다.

Sophos는 이러한 조건 가운데 몇 가지를 갖추고 있다. 관리형 서비스는 수천 고객사에 걸쳐 절차를 중앙화하고, 인식 가능한 공격 패턴을 반복적으로 마주한다.

일반적인 기업 보안팀은 같은 이점을 갖지 못할 수 있다. 로그가 불완전할 수 있고, 대응 프로세스가 사업 부문마다 다를 수 있으며, 책임 소재도 불분명할 수 있다.

이 차이는 Sophos와 내부 보안 운영 센터를 직접 비교하는 데 한계를 둔다. 관리형 공급업체는 많은 개별 고객보다 인프라와 정책을 더 적극적으로 표준화할 수 있다.

이는 Daybreak 결과가 부분적으로 운영의 이야기이기도 함을 의미한다. 이 모델은 이미 이벤트를 필터링하고, 탐지를 보강하고, 사례를 정리하며, 대응 권한을 정의하는 시스템 안에 자리한다.

OpenAI의 광범위한 Daybreak 프로그램은 사이버보안을 자산 목록화, 탐색, 검증, 할당, 해결, 입증을 아우르는 연속적 순환으로 규정한다. 이러한 야심은 채팅 기반 지원을 훨씬 넘어선다.

이 모델이 확산된다면 구매자는 자동화를 평가할 더 나은 어휘가 필요해질 것이다. “AI 기반”이라는 라벨은 제품이 실제로 무엇을 하는지 거의 말해주지 않는다.

유용한 평가는 무엇이 에이전트를 시작시키는지, 어떤 증거를 가져올 수 있는지, 어떤 도구를 운영할 수 있는지, 어떤 조치를 취할 수 있는지를 물어야 한다. 구매자는 언제 에스컬레이션이 의무화되는지도 물어야 한다.

완료율 역시 중요한 지표다. 잘 정의된 사례를 자율적으로 종결하는 에이전트는 분석가의 시간을 몇 분 절약하는 에이전트와 다른 결과를 만든다.

하지만 공급업체가 어떤 대가를 치르더라도 자율 종결을 극대화하는 방식으로 경쟁해서는 안 된다. 낮은 종결률은 더 엄격한 안전 임계값이나 더 복잡한 고객 기반을 반영할 수 있다.

의미 있는 목표는 정해진 위험 수준에 적합한 자동화 비율이다. 이를 위해서는 속도, 정확성, 에스컬레이션 품질, 운영상 영향을 함께 보고해야 한다.

Sophos는 응답 시간과 종단 간 종결률을 공개함으로써 논의를 이 기준에 더 가깝게 옮겼다. 다음 단계는 이 수치들을 투명한 신뢰성 지표와 함께 제시하는 것이다.

OpenAI Daybreak 출시 이후 주목할 점

다음 단계는 Sophos가 지속 가능한 보안 운영 모델을 구축했는지, 아니면 유리한 워크로드에서 인상적인 스냅샷을 공개했는지를 가를 것이다.

첫 번째 신호는 시간이 지나도 자동 처리 사례의 품질이 유지되는지다. 고객은 재개된 조사, 부정확한 대응, 놓친 위협, 분석가 재정의에 관한 공개를 주시해야 한다.

안정적인 성과는 52%의 종결률이 신뢰할 수 있는 자동화를 반영한다는 Sophos의 주장을 강화할 것이다. 수정률이 상승한다면 더 큰 자율성이 업무를 없애기보다 이전하고 있음을 시사할 수 있다.

두 번째 신호는 더 어려운 대응 조치로의 확장이다. Sophos는 에이전트의 활용 사례를 넓히고 대응 역량을 더 정교하게 만들 계획이라고 밝혔다.

이 확장은 거버넌스 프레임워크를 시험할 것이다. 증거를 수집하고 알려진 악성 엔드포인트를 차단하는 일은 ID 권한을 변경하거나 운영 인프라를 중단하는 일과는 다른 위험을 수반한다.

따라서 성공은 단순히 자동화 비율이 높아지는지가 아니라 통제된 범위로 측정해야 한다. 회사는 추가 권한이 적절한 평가 및 롤백 메커니즘과 함께 제공됨을 보여야 한다.

세 번째 신호는 경쟁사의 보고다. Microsoft와 다른 보안 공급업체는 이미 분류, 조사, 위협 인텔리전스, 해결 워크플로를 위한 에이전트를 제공하고 있다.

경쟁사도 종단 간 해결률과 비교 가능한 시간 데이터를 공개하기 시작하면 구매자는 더 명확한 시장 기준을 얻게 될 것이다. 이들이 그런 지표를 피한다면 Sophos의 운영 환경 공개는 계속 주목할 만한 차별점으로 남을 것이다.

다만 고객은 비교가 동일한 시작점을 사용하는지 여전히 살펴봐야 한다. “응답 시간”은 경고 생성, 사례 생성, 모델 활성화, 또는 분석가 검증 시점부터 시작될 수 있다.

또한 자동화된 차단과 완전한 해결을 구분해야 한다. 기기를 격리하면 즉각적인 활동은 멈출 수 있지만, 시스템을 복구하고 공격자의 접근 경로를 차단하려면 추가 작업이 필요할 수 있다.

보안 리더에게 실질적인 대응은 무제한 자율성을 요구하는 것이 아니다. 신뢰할 수 있는 증거, 되돌릴 수 있는 조치, 성숙한 에스컬레이션 규칙을 갖춘 대량 사례를 식별하는 일이다.

그런 다음 탐지 품질이나 책임성을 약화하지 않으면서 에이전트가 분석가의 총 업무량을 줄이는지 평가할 수 있다. 이 평가는 적대적 테스트와 자동 종결된 사례의 정기적 표본 검토를 포함해야 한다.

Sophos가 보고한 결과는 이러한 평가를 미루기 어렵게 만든다. 현재의 검증 한계가 있더라도 38분에서 89초로의 단축은 일상적인 관리형 조사에 대한 기대를 바꾼다.

OpenAI Daybreak은 엔터프라이즈 에이전트가 어디에서 가장 중요한 역할을 맡게 되는지도 보여준다. 그 가치는 유창한 설명을 만드는 데보다 실제 도구와 연결된 관리형 워크플로를 완수하는 데 있다.

구매자를 위한 마지막 질문은 구체적이다. 공급업체는 자사 에이전트가 어떤 사례를 종결하는지, 그러한 결정이 얼마나 자주 수정되는지, 자동화가 실패할 때 누가 책임을 지는지를 보여줄 수 있는가?

이러한 답변은 가장 큰 헤드라인 수치보다 더 중요하다. 보안팀은 어떤 에이전트에 더 넓은 권한을 부여하기 전에 이를 요청하고, 배포 후에도 계속 측정해야 한다.