그래프를 어떻게 그려야 공격이 보일까, 37편 논문을 세어 본 연구

오늘 다룰 연구는 arXiv에 공개된 A Quantitative Analysis of Graph Representation Strategies for Cyber Attack Detection (arXiv 2610.04019)입니다. 이 연구는 2019년부터 2026년까지 발표된 37편의 원저 연구를 코딩해서 사이버 공격 탐지에서 그래프 표현 전략이 실제로 어떻게 선택되고 있는지를 수량으로 보여줍니다. 원문 논문 링크는 타이틀 아래에 걸어두었습니다.

이 글에서는 그 숫자들을 하나씩 풀어보면서, 왜 자동 표현 학습이 73.0퍼센트를 차지했는지, 왜 남은 27.0퍼센트가 여전히 손으로 만든 표현으로 남아 있는지, 그리고 도메인과 전략 사이의 연결(p = 0.008, Cramer's V = 0.540)이 운영자에게 어떤 질문을 남기는지를 따라가 보겠습니다.

안녕하세요, 숫자보다 선택이 궁금했습니다

안녕하세요, 패트릭입니다.

보안 로그를 보다 보면 비슷한 생각이 듭니다. 개별 알람은 시끄럽기만 한데, 막상 공격자의 발자취를 따라가 보면 점과 점이 선으로 이어져 있죠. 어느 IP가 어느 도메인을 조회했고, 그 뒤에 어떤 프로세스가 실행됐고, 그 프로세스가 다시 어디에 접속했는지 같은 흐름 말입니다. 그래서 그래프로 공격을 보겠다는 발상은 낯설지 않습니다.

제가 이 논문을 집어 든 이유는 그래서 성능 표 때문이 아니었습니다. 어떤 모델이 가장 좋았는지를 묻는 논문은 이미 많으니까요. 이 논문은 질문을 옆으로 옮깁니다. 연구자들이 그래프를 실제로 어떻게 만들고, 그 그래프에서 특징을 어떻게 뽑아내고, 그 선택이 도메인마다 어떻게 달라지는지를 세어 보겠다는 것이죠. 출판 연도, 적용 도메인, 그래프 표현 유형, 특징 추출 전략, 학습 패러다임, 알고리즘, 데이터셋까지 항목을 나눠 37편을 코딩했다는 설명을 읽고 저는 여기서 멈칫했습니다. 빈도 분석과 교차표, 그리고 통계적 연관성 검정까지 가져왔다는 점이 마음에 들었지만, 동시에 표본이 37편이라는 숫자가 바로 눈에 들어왔기 때문입니다.

여러분이라면 이런 조사를 어떻게 읽으시겠습니까. 저는 일단 대세를 확인하고, 그 다음에는 대세가 통하지 않는 자리를 찾는 순서로 읽는 편입니다.

37편을 한 테이블에 올리면 무엇이 보일까

37이라는 숫자는 크지도 작지도 않아서 해석이 까다롭습니다. 수천 편을 긁어모은 서베이처럼 전체 지형을 말하기에는 부족하고, 그렇다고 몇 편만 깊게 파는 사례 연구처럼 맥락이 풍부한 것도 아니니까요. 그런데 저자는 이 중간 지대를 정면으로 선택합니다. 2019년부터 2026년까지의 원저 연구만 남기고, 각 연구를 같은 항목으로 코딩해서 비교 가능한 표로 만들었다는 것이죠.

이 방식이 가진 힘은 비교 가능성에서 나옵니다. 출판 연도가 언제인지, 어떤 도메인을 다뤘는지, 그래프를 어떻게 표현했는지, 특징을 손으로 만들었는지 아니면 학습으로 얻었는지, 어떤 학습 틀과 알고리즘과 데이터셋을 썼는지를 같은 눈금으로 재면 분야의 습관이 드러납니다. 개별 논문만 읽을 때는 보이지 않던 편향이 표에서는 바로 튀어나오니까요. 생각해보면 사람도 비슷하게 배웁니다. 하나하나의 기억은 흐릿해도, 같은 질문을 여러 경험에 던져보면 패턴이 보이곤 하죠.

여기서는 조금 조심해서 읽을 필요가 있습니다. 37편이라는 표본에서는 한두 편의 선택이 퍼센트를 쉽게 움직입니다. 그래서 뒤에 나오는 73.0퍼센트나 27.0퍼센트 같은 숫자를 절대적인 진리로 읽기보다는, 이 기간 이 표본에서 관찰된 습관으로 읽는 편이 정확합니다. 저는 이 전제를 깔고 들어갈 때 이 논문이 훨씬 재미있어진다고 봅니다. 숫자의 크기가 아니라 숫자가 가리키는 방향을 묻는 쪽이 이 조사에 어울리니까요.

그렇다면 그 방향은 어디를 향하고 있을까요. 다음 숫자에서 바로 확인됩니다.

73퍼센트와 27퍼센트는 어떻게 갈라졌을까

조사에서 자동 표현 학습은 전체의 73.0퍼센트를 차지했고, 손으로 만든 표현 전략은 27.0퍼센트로 집계됐습니다. 같은 표본을 뒤집어 말하면 네 편 중 세 편 가까이는 그래프에서 특징을 사람이 직접 설계하기보다 학습으로 얻었다는 뜻인데, 이 차이는 생각보다 중요합니다. 그래프라는 자료구조 자체는 관계를 담는 그릇에 가깝고, 그 그릇에서 무엇을 신호로 읽어낼지를 정하는 일이 탐지 성능을 좌우하기 때문입니다.

자동 표현 학습 쪽 흐름은 이해하기 쉽습니다. 노드와 엣지의 연결 구조를 신경망이 직접 읽으면서 탐지에 유용한 벡터로 바꾸는 방식이라서, 연구자가 일일이 규칙을 적지 않아도 관계의 미묘한 차이가 벡터에 스며듭니다. 새로운 공격 변종이 나와도 특징 공식을 처음부터 다시 짜는 부담이 줄어들죠. 반면 손으로 만든 표현은 사람이 중심성이나 경로, 이웃 통계 같은 지표를 정해서 그래프를 숫자로 요약하는 방식입니다. 계산이 가볍고 설명이 쉬우며, 데이터가 적거나 환경이 단순할 때는 오히려 단단합니다.

제가 이 대목에서 가장 흥미롭게 본 부분은 비율 자체보다 비율이 말해주는 태도의 변화입니다. 예전에는 좋은 특징을 뽑는 일이 연구자의 손맛에 달려 있었는데, 이제는 좋은 그래프를 구성하고 학습기가 신호를 찾도록 맡기는 쪽으로 무게가 이동했다는 것이죠. (참고로 여기서 말하는 자동 학습은 마법 같은 자율성을 뜻하지 않습니다. 그래프를 어떻게 짓느냐는 여전히 사람의 결정에 크게 의존합니다.) 그래서 73.0이라는 숫자는 자동화가 이겼다는 선언보다는, 연구자들이 feature engineering의 위치를 앞단인 그래프 설계로 옮겼다는 기록에 가깝다고 저는 봅니다.

문제는 그다음입니다. 모든 도메인에서 같은 비율로 자동 학습이 쓰였을까요. 답은 아니었고, 그 갈라짐이 이 논문에서 가장 읽을 만한 대목입니다.

도메인마다 그래프 쓰는 법이 왜 다를까

논문은 적용 도메인과 표현 전략 사이에 통계적으로 유의한 연결이 있다고 보고합니다. Fisher Freeman Halton exact 검정에서 exact p = 0.008이 나왔고, 효과 크기는 Cramer's V = 0.540으로 강한 연결에 해당한다는 것이죠. 풀어서 말하면 표현 전략의 분포가 사이버 보안의 세부 도메인에 따라 고르게 퍼져 있는 것이 아니라, 도메인마다 선호가 갈라져 있다는 뜻입니다.

이 결과는 직관과 잘 맞습니다. 네트워크 침입 탐지처럼 트래픽이 거대하고 관계가 빠르게 바뀌는 곳에서는 사람이 규칙을 다 적기 어렵습니다. 자동 학습으로 돌리는 편이 자연스럽죠. 반면 특정 악성코드 계열을 판별하거나 제한된 환경에서 동작을 설명해야 하는 과제에서는 사람이 만든 지표가 여전히 힘을 발휘합니다. 데이터의 모양과 운영의 요구가 다르니 그래프를 다루는 손놀림도 달라지는 겁니다.

여기서 재미있는 질문이 생깁니다. 도메인이 전략을 정하는 걸까요, 아니면 전략이 도메인을 고르는 걸까요. 제 해석은 전자에 가깝습니다. 연구자는 도메인이 가진 제약부터 봅니다. 라벨이 얼마나 있는지, 그래프가 얼마나 큰지, 실시간으로 답해야 하는지, 오탐이 나왔을 때 설명이 필요한지 같은 조건이 먼저 있고, 그 다음에 표현 방식을 고르니까요. 그래서 p = 0.008이라는 숫자는 연구자들이 도메인 조건에 반응하고 있다는 증거로 읽힙니다. 무작정 유행을 따른 것이 아니라 환경에 맞춰 갈라섰다는 것이죠.

이런 갈라짐을 이해하면 다음 질문이 바로 따라옵니다. 자동 학습이 대세가 된 과정은 과연 실력 때문이었을까요, 아니면 도구의 편의 때문이었을까요.

자동 학습이 대세가 된 건 실력 때문일까

2019년부터 2026년까지의 흐름을 떠올려 보면 그래프 신경망 도구가 크게 편해진 것이 사실입니다. 라이브러리가 갖춰지고, 대용량 그래프를 돌리는 요령이 공유되고, 임베딩을 뽑는 표준적인 절차가 생겼죠. 이런 환경에서는 자동 표현 학습을 시도하는 비용이 예전보다 훨씬 낮습니다. 그래서 73.0퍼센트라는 숫자에는 두 가지 힘이 섞여 있다고 저는 봅니다. 하나는 관계형 신호를 학습으로 뽑아내는 방식이 실제로 잘 들어맞았다는 것이고, 다른 하나는 그 방식을 시도하기가 쉬워졌다는 것입니다.

실제 시스템 관점에서 보면 다음 질문이 바로 생깁니다. 학습으로 얻은 벡터는 탐지율을 올리지만, 그 대가로 무엇을 요구할까요. 답은 계산 비용과 데이터, 그리고 설명의 어려움입니다. 그래프가 커질수록 이웃을 모으는 연산이 무거워지고, 메모리에 올리는 일도 만만치 않습니다. 라벨이 부족하면 학습된 표현이 흔들리기도 하죠. 그럼에도 연구자들이 이 길을 택했다는 것은, 사이버 공격 탐지에서 관계의 미묘한 차이가 그 비용을 감수할 만큼의 이득을 준다는 뜻으로 읽힙니다.

여기서는 조금 과장된 기대를 경계하고 싶습니다. 자동 학습이 대세라는 말이 손으로 만든 표현이 틀렸다는 뜻은 아닙니다. 대세는 평균의 이야기이고, 개별 도메인의 이야기는 다를 수 있으니까요. 마치 모두가 고속도로를 탄다고 해서 모든 배달이 고속도로로만 가는 것은 아닌 것과 같습니다. 골목 배달에는 골목길이 빠르고, 고속도로에는 고속도로의 차가 맞죠. 27.0퍼센트라는 숫자는 그래서 사라져 가는 잔재가 아니라, 특정 조건에서 여전히 통하는 선택지로 읽어야 합니다.

그렇다면 그 조건은 구체적으로 무엇일까요. 손으로 만든 표현이 살아남은 자리를 찾아가 보겠습니다.

손으로 만든 특징은 언제 아직 쓸모가 있을까

27.0퍼센트라는 숫자를 작다고 넘기면 논문의 절반을 놓치는 셈입니다. 손으로 만든 표현은 사람이 그래프에서 무엇을 볼지를 정하는 방식이라서, 의도가 분명하고 검증이 빠르며, 자원이 부족한 환경에서도 돌아갑니다. 특히 공격의 구조가 비교적 정형화되어 있거나, 탐지 결과를 사람에게 설명해야 하는 상황에서는 이 단순함이 장점이 됩니다.

구체적인 장면을 떠올려 보겠습니다. 새벽 3시에 관제 화면에 알람이 떴다고 해보죠. 자동 학습 모델이 위험 점수 0.92를 뱉었다는 말만으로는 다음 행동을 정하기 어렵습니다. 하지만 특정 노드의 중심성이 갑자기 치솟았고, 평소 없던 외부 도메인으로의 엣지가 여러 개 생겼다는 설명이 함께 오면 분석가는 바로 감을 잡습니다. 이런 장면에서는 사람이 설계한 지표가 모델의 입이 되어줍니다. 숫자를 내는 일과 숫자를 설명하는 일이 분리되지 않기 때문이죠.

저는 그래서 이 27.0퍼센트를 보수적인 잔류로 보지 않습니다. 오히려 도메인의 요구가 분명할 때 연구자들이 일부러 단순한 쪽을 택한 흔적으로 봅니다. 저희가 새로운 AI 구조를 볼 때도 숫자만 보지는 않습니다. 실제로 무엇이 바뀌었고, 그 변화가 시스템에서 어떤 비용 구조를 만드는지를 함께 봅니다. 같은 눈으로 보면 손으로 만든 표현은 비용이 예측 가능하고, 실패 모양이 읽기 쉬우며, 수정이 빠르다는 점에서 운영 친화적인 선택입니다. 모든 문제를 자동 학습으로 풀겠다는 태도보다, 풀어야 할 문제에 맞는 도구를 고르는 태도가 더 성숙해 보이기도 합니다.

이제 통계의 얼굴을 조금 더 가까이서 보겠습니다. p = 0.008은 정확히 무엇을 말해줄까요.

p 0.008이라는 숫자를 어떻게 읽어야 할까

p = 0.008이라는 값은 도메인과 전략 사이에 아무런 관계가 없다는 가정 아래에서 지금 같은 분포가 우연히 나올 확률이 0.8퍼센트라는 뜻입니다. 관례적인 기준인 5퍼센트보다 훨씬 낮으니, 연구팀은 이 연결이 우연으로 보기 어렵다고 판단했다는 것이죠. 분석에 쓰인 Fisher Freeman Halton exact 검정은 표본이 크지 않거나 표의 칸이 성글 때 쓰기 적절한 방법이라서, 37편이라는 규모를 생각하면 검정 선택 자체는 납득이 갑니다.

그런데 이 숫자는 그대로 믿기 전에 조건을 봐야 합니다. p값은 연결이 있다는 것을 말해주지만, 그 연결이 얼마나 크고 어떤 방향인지는 말해주지 않습니다. 또한 37편을 어떤 기준으로 모았는지, 도메인을 몇 개로 어떻게 나눴는지, 경계에 있는 연구를 어디에 넣었는지에 따라 p값은 움직일 수 있습니다. 코딩 항목이 출판 연도부터 데이터셋까지 일곱 가지나 되는데, 그 분류의 칼질이 바뀌면 표의 모양도 바뀌니까요. 저는 이 대목에서 논문의 해석을 존중하면서도, p값 하나를 승패의 도장처럼 읽는 태도는 피하고 싶습니다.

좋은 건 알겠는데, 이걸 실제로 어떻게 써먹을까요. p값은 탐지기를 만들 때 직접 손에 잡히는 도구가 아닙니다. 그보다는 다음에 데이터를 모으거나 실험을 설계할 때 길잡이가 됩니다. 도메인에 따라 전략 분포가 다르다면, 새로운 도메인에 그래프 탐지를 들일 때는 그 도메인에서 통했던 표현 방식을 먼저 살피는 것이 합리적이라는 것이죠. 모든 도메인에 같은 처방을 내리는 대신, 도메인의 조건을 먼저 묻는 습관이 생깁니다.

효과 크기는 또 다른 이야기를 들려줍니다. V = 0.540이라는 숫자로 넘어가 보죠.

V 0.540이라는 강한 연결을 오해하지 않으려면

Cramer's V는 0부터 1 사이의 값으로 두 범주형 변수의 연결 강도를 나타내는데, 0.540은 흔히 강한 연결로 읽히는 구간입니다. p값이 연결의 존재를 말한다면, V값은 그 연결의 굵기를 말해줍니다. 이 논문에서는 도메인이 달라지면 표현 전략의 선택도 꽤 크게 달라진다는 뜻이죠. 빈도 분석만으로는 알 수 없던 힘의 크기가 여기서 드러납니다.

이 결과는 마음에 들지만, 여기까지 일반화하기에는 데이터가 부족합니다. 37편이라는 표본에서 강한 효과가 나왔다는 것은 분명 눈여겨볼 만하지만, 그 효과가 모든 보안 도메인에 그대로 적용된다고 단언하기에는 표본의 대표성을 더 따져야 하기 때문입니다. 예컨대 특정 도메인에 편중된 데이터셋이 반복해서 쓰였다면, 도메인의 효과가 아니라 데이터셋의 효과가 섞여 들어갔을 수도 있습니다. 논문이 코딩한 일곱 가지 항목 중 데이터셋과 알고리즘 항목을 함께 보면 이런 섞임이 어느 정도인지 감이 오는데, 공개된 요약만으로는 그 안쪽까지 들어가기 어렵습니다.

그럼에도 저는 V = 0.540이라는 숫자를 가볍게 넘기지 않습니다. 연구자들이 도메인 조건에 꽤 예민하게 반응하고 있다는 신호이기 때문입니다. 이 신호가 맞다면, 그래프 탐지 연구를 읽을 때는 모델 이름보다 도메인 조건을 먼저 보는 편이 좋습니다. 어떤 그래프를 썼는지, 노드와 엣지를 무엇으로 정의했는지, 라벨은 얼마나 있었는지 같은 앞단의 선택이 결과의 절반을 설명할 때가 많으니까요.

여기까지가 논문의 안쪽 이야기라면, 이제는 바깥 이야기, 즉 운영의 이야기로 나가 보겠습니다.

탐지 파이프라인에 이 결과를 얹으면 무엇이 달라질까

논문은 탐지 성능을 직접 겨루는 실험 논문이 아니라 습관을 세는 분석 논문입니다. 그래서 이 결과를 파이프라인에 얹는 일은 점수를 복사하는 일이 아니라 선택의 순서를 바꾸는 일에 가깝습니다. 제가 운영자라면 이 논문을 읽고 세 가지 순서를 바꿀 것 같습니다. 먼저 도메인 조건을 적고, 다음에 그래프 정의를 고르고, 마지막에 표현 전략을 정하는 순서 말입니다.

첫째, 도메인 조건을 적는 일부터 달라집니다. 실시간성이 필요한지, 그래프 규모가 어느 정도인지, 라벨이 얼마나 있는지, 오탐에 대한 설명 의무가 있는지를 먼저 문서로 남기는 것이죠. 이 조건이 정해지면 73.0퍼센트라는 평균에 휩쓸리지 않고 자기 환경에 맞는 선택을 할 수 있습니다. 둘째, 그래프 정의가 모델 선택보다 앞섭니다. 노드를 IP로 잡을지, 세션으로 잡을지, 프로세스로 잡을지, 엣지를 시간 순서로 이을지 통신 관계로 이을지에 따라 뒤의 학습이 통째로 달라지니까요. 자동 학습이 대세라고 해서 그래프 설계를 대충하면 학습기가 모래 위에서 배우는 셈이 됩니다.

셋째, 표현 전략은 혼합으로 갑니다. 자동 학습으로 넓게 보고, 손으로 만든 지표로 좁게 확인하는 식이죠. 예를 들어 그래프 신경망이 뽑은 위험 점수와 함께, 중심성 변화나 이웃 증가 같은 사람이 읽을 수 있는 지표를 같이 보여주면 탐지와 설명이 동시에 잡힙니다. 밤사이 로그가 늦게 들어오거나 아침에 특정 센서가 멈춰도, 사람이 읽을 수 있는 지표가 있으면 라인은 완전히 멈추지 않습니다. 운영 측면에서 보면 이 여유가 상당히 큽니다. 저는 그래서 자동과 수작업을 대결 구도로 읽지 않았습니다. 파이프라인 안에서는 둘이 서로의 보험이 되기 때문입니다.

남은 물음은 이 분석이 닿지 못한 곳에 있습니다. 마지막 두 절에서는 그 빈틈을 짚어보겠습니다.

이 분석이 닿지 못한 자리는 어디일까

모든 정량 분석에는 그림자가 있고, 이 논문도 예외는 아닙니다. 겉보기에 깔끔한 숫자 뒤에는 분류의 주관과 표본의 편향이 남기 때문입니다. 37편이라는 규모, 2019년부터 2026년까지라는 기간, 일곱 가지 코딩 항목이라는 틀은 모두 저자의 선택이고, 그 선택이 바뀌면 숫자도 바뀝니다. 특히 도메인 구분은 연구마다 경계가 흐릿해서, 어디에 넣느냐에 따라 교차표의 모양이 달라질 수 있습니다. 이 점을 지적하는 것은 논문을 깎아내리려는 것이 아니라, 숫자를 올바르게 쓰는 법을 확인하려는 것입니다.

또 하나 짚고 싶은 것은 빈도와 성능의 차이입니다. 자동 학습이 73.0퍼센트로 자주 쓰였다는 사실이 자동 학습이 73.0퍼센트만큼 더 좋다는 뜻은 아닙니다. 자주 쓰였다는 것은 시도하기 좋고, 결과가 안정적이며, 후속 연구가 잇기 쉽다는 뜻에 가깝습니다. 실제로 어떤 도메인에서 어떤 전략이 얼마나 더 탐지를 잘했는지를 말하려면 성능을 같은 조건에서 겨룬 비교 실험이 따로 필요합니다. 이 논문은 그런 경기를 직접 뛰는 대신, 그동안의 출전 기록을 정리한 기록지에 가깝습니다. 기록지는 경기를 대신하지 않지만, 다음 경기를 어디서 열지를 정하는 데는 큰 도움이 되죠.

그렇다면 다음 경기는 어디에서 열려야 할까요. 제가 보고 싶은 장면은 비교적 분명합니다.

다음에 제가 보고 싶은 실험은 이것입니다

제가 앞으로 보고 싶은 것은 같은 그래프, 다른 표현이라는 정면 비교입니다. 같은 노드와 엣지 정의, 같은 데이터 분할, 같은 평가 지표 위에서 자동 학습과 손으로 만든 표현을 나란히 놓고, 도메인별로 승패가 어떻게 갈리는지를 보는 실험 말입니다. 지금의 분석이 도메인과 전략이 연결되어 있다고 말해주었다면, 다음 단계는 그 연결이 성능 차이로 이어지는지를 확인하는 일입니다. 그래야 p = 0.008과 V = 0.540이라는 숫자가 운영자의 예산 배분으로 이어집니다.

보고 싶은 두 번째 장면은 시간의 흐름입니다. 2019년부터 2026년까지 자동 학습의 비중이 어떻게 움직였는지, 특정 도구가 나온 뒤에 기울기가 바뀌었는지 같은 이야기 말입니다. 만약 비중의 증가가 도구의 편의와 함께 움직였다면, 앞으로는 설명 가능성과 운영 비용이 다음 기울기를 만들 가능성이 큽니다. 탐지율 경쟁이 한계에 다다르면 관심은 다시 비용과 설명으로 돌아오기 때문입니다. 그때 손으로 만든 지표는 또 다른 이름으로 돌아올지도 모릅니다. 사람이 읽을 수 있는 신호라는 가치는 쉽게 사라지지 않으니까요.

마지막으로 데이터셋의 편향을 함께 보고 싶습니다. 특정 데이터셋이 특정 도메인과 전략 조합에 반복해서 쓰였다면, 우리가 도메인의 효과라고 믿었던 것 중 일부는 데이터셋의 효과일 수 있습니다. 코딩 항목에 데이터셋이 들어 있다는 점은 그래서 고맙습니다. 다음 분석에서는 도메인과 데이터셋을 함께 놓고 교차 검증하는 그림까지 나가면, 이 분야의 지도가 훨씬 선명해질 것입니다. 그렇다면 그래프 탐지에 처음 들어오는 팀도 어디서부터 시작해야 할지 감을 잡을 수 있겠죠.

그래서 무엇을 들고 돌아가면 될까

처음에 던진 질문으로 돌아오겠습니다. 그래프를 어떻게 그려야 공격이 보일까요. 이 논문이 주는 답은 하나의 정답이 아니라 선택의 지도입니다. 37편의 기록을 모아보니 자동 학습 쪽으로 기울어 있더라, 그 기울기는 도메인마다 다르더라, 그 다름은 우연으로 치부하기 어렵더라(p = 0.008)라는 것이죠. 연결의 굵기(V = 0.540)까지 함께 보니, 도메인 조건을 먼저 묻는 일이 모델 이름부터 묻는 일보다 앞선다는 생각도 듭니다.

저는 이 논문을 읽고 나서 그래프 탐지를 조금 다르게 보게 됐습니다. 모델의 승패보다 그래프를 짓는 손이 먼저 보이고, 그 손이 도메인의 조건에 어떻게 반응했는지가 궁금해졌습니다. 탐지 파이프라인을 만지는 분이라면, 다음 설계 회의에서 이런 질문부터 꺼내보면 어떨까요. 우리 도메인의 그래프는 무엇으로 짓고, 표현은 어디까지 학습에 맡기고, 어디부터는 사람이 읽을 수 있게 남길 것인가. 그 질문에 답하는 순간, 73.0과 27.0이라는 숫자는 남의 통계가 아니라 우리 팀의 설계도가 됩니다.

그렇다면 사람의 역할은 무엇일까요. 그래프를 배우는 일이 기계에 넘어갈수록, 어떤 관계를 그래프로 옮길지를 정하는 일은 더 사람에게 남는 것 같습니다. 공격자의 발자취는 로그 속에 흩어져 있고, 그 흩어진 점을 어떤 선으로 이을지는 여전히 우리의 판단에 달려 있으니까요.