Article: Multi-Agent AI for Production Security Operations: An A2A and MCP Architecture in a 5G Core

현대 SOC의 진짜 병목: 탐지 규칙 관리

성숙한 보안 운영 센터(SOC)를 운영하다 보면 흔히 "분석가의 트리아지 속도가 느리다"는 진단을 내리기 쉽다. 하지만 실제 병목은 다른 곳에 있다. 위협 환경은 탐지 규칙을 작성하는 속도보다 훨씬 빠르게 진화하며, 결국 탐지 엔지니어링 팀이 rule base를 최신 상태로 유지하는 일 자체가 조직의 핵심 부채가 된다. 5G 코어 환경은 이 문제를 더욱 심화시킨다. 분산된 네트워크 슬라이싱, 다양한 엣지 노드, 실시간 트래픽 패턴 변화가 결합되면서 정적인 규칙 기반 탐지는 구조적 한계를 드러낸다.

백엔드 개발자 관점에서 보면, 이는 단순한 보안 문제가 아니다. 분산 시스템에서의 이벤트 스트리밍, 상태 관리, 서비스 간 협력 패턴과 직결된 아키텍처 문제다. 탐지 규칙 하나가 오작동하면 수천 건의 오탐(false positive)이 발생하고, 이는 결국 운영 팀의 알림 피로(alert fatigue)로 이어진다.

A2A + MCP 기반 다중 에이전트 아키텍처의 실무 적용

이 문제를 해결하기 위해 등장한 접근법이 Agent-to-Agent(A2A) 통신과 Model Context Protocol(MCP) 을 결합한 다중 에이전트 아키텍처다. 핵심 아이디어는 단일 모놀리식 탐지 엔진 대신, 각자 책임 영역이 분리된 전문화된 에이전트들이 협력하도록 설계하는 것이다.

구체적으로는 다음과 같은 역할 분리가 이루어진다:

탐지 에이전트: 실시간 이벤트 스트림을 소비하고 이상 징후를 감지
컨텍스트 에이전트: MCP를 통해 위협 인텔리전스, 자산 정보, 과거 이력을 수집·제공
대응 에이전트: 탐지 결과를 받아 대응 액션(격리, 알림, 티켓 생성)을 자율 실행
규칙 관리 에이전트: 탐지 성능 지표를 모니터링하고 규칙을 동적으로 업데이트

// 에이전트 간 메시지 계약 예시 (단순화)
public record DetectionEvent(
    String agentId,
    String threatCategory,
    double confidenceScore,
    Instant detectedAt,
    Map<String, Object> context
) {}

// A2A 메시징 핸들러
@Component
public class ContextEnrichmentAgent {
    public EnrichedEvent enrich(DetectionEvent event) {
        var assetInfo = assetRepository.findById(event.agentId());
        var threatIntel = mcp.query(event.threatCategory());
        return new EnrichedEvent(event, assetInfo, threatIntel);
    }
}

에이전트 간 통신에서 중요한 설계 원칙은 비동기 메시징과 멱등성 보장이다. 보안 이벤트는 유실되거나 중복 처리되었을 때의 비용이 매우 크기 때문에, Kafka 같은 내구성 있는 메시지 브로커와 정확히 한 번(exactly-once) 처리 시맨틱을 함께 고려해야 한다.

정량적 성과와 백엔드 설계 시사점

이 아키텍처를 프로덕션 5G 코어 보안 운영에 적용한 결과는 수치로 명확하게 나타난다. 평균 탐지 시간(MTTD)과 평균 대응 시간(MTTR)이 각각 40% 단축되었고, 같은 업무량을 처리하는 데 필요한 인적 작업이 12배 압축되었다. 이 수치가 의미하는 바는 단순한 자동화 이상이다. 에이전트들이 서로 컨텍스트를 공유하고 규칙을 자율적으로 조정함으로써, 사람이 직접 규칙을 재작성하는 피드백 루프 자체를 단축시킨 것이다.

백엔드 아키텍처 측면에서 이 사례가 주는 교훈은 분명하다. 복잡한 도메인 문제를 하나의 거대한 서비스로 해결하려 할 때보다, 책임이 명확히 분리된 협력 에이전트 구조로 설계했을 때 변경 비용과 운영 복잡도 모두 낮아진다. 또한 MCP처럼 에이전트가 필요한 컨텍스트를 표준화된 방식으로 조회하는 프로토콜을 도입하면, 각 에이전트의 테스트 가능성과 독립 배포 가능성이 높아진다.

// MCP 기반 컨텍스트 조회 인터페이스 예시
public interface ModelContextProtocol {
    ThreatIntelligence query(String threatCategory);
    AssetProfile getAsset(String assetId);
    List<HistoricalEvent> getHistory(String assetId, Duration window);
}

정리

성숙한 SOC의 실질적 병목은 분석가 역량이 아니라 탐지 규칙의 유지보수 속도에 있으며, 이는 분산 백엔드 시스템의 설정 관리 문제와 구조적으로 유사하다.
A2A + MCP 기반 다중 에이전트 구조는 역할 분리, 비동기 메시징, 표준화된 컨텍스트 프로토콜을 결합해 자동화의 질을 높이는 실무적 접근법이다.
MTTD/MTTR 40% 단축, 인적 작업 12배 압축이라는 정량 성과는 단순 자동화가 아닌 에이전트 간 피드백 루프 최적화에서 비롯된 결과다.