경보를 요약하는 에이전트와 보안 사건을 종결하는 에이전트는 다른 제품입니다. 후자는 분석가 대기열에서 일을 덜 수 있지만 어떤 증거가 어떤 행동을 허용하는지 설명해야 합니다. Sophos Daybreak 사례는 속도와 운영 책임을 연결해 유용하지만 중요한 신뢰성 질문을 남깁니다.
Sophos는 에이전트 처리 사건의 조사·대응이 이전 평균 약 38분에서 약 89초로 줄고 MDR 사건의 52%를 AI가 처음부터 끝까지 해결한다고 보고합니다. 기업의 수치이지 모든 고객 사고가 89초 만에 끝난다는 증거가 아닙니다. 같은 수치는 2026년 5월에도 나왔고 10월 OpenAI 사례는 완전히 새 측정보다 배포 세부사항을 더합니다.
업무 단위 고정하기
타이머가 원시 경보, 상관된 사건, 에이전트 시작, 분석가 검증 중 어디서 시작하는지 물으세요. 끝도 물어야 합니다. 침해된 단말 하나를 격리하는 것은 완전한 복구, 복원이나 모든 접근 경로 제거가 아닐 수 있습니다. 시작, 종료 조건과 대상 분류가 같아야 속도 비교가 유효합니다.
Sophos 에이전트는 원격 측정이 필터링·상관된 뒤 일하지 모든 원시 이벤트를 홀로 판단하지 않습니다. 고객 맥락, 탐지, 지표와 위협 정보를 모아 계획·실행·검토를 반복합니다. 신뢰할 데이터와 성숙한 절차도 결과의 일부입니다. 내부 팀이 같은 모델을 사는 것만으로 그 운영 조건을 얻지는 않습니다.
고객 허가를 에이전트 행동에 대응하기
Sophos는 세 모드를 설명합니다. Notify는 조사·권고하고 고객이 실행합니다. Collaborate는 함께 결정합니다. Authorise는 합의한 경계에서 Sophos가 대응합니다. 사람과 에이전트 모두 같은 규칙을 따르며 빠른 판정이 고객 허가를 몰래 넓혀서는 안 됩니다.
가역성, 업무 영향, 데이터 접근과 필수 상향 보고를 담은 행동 표를 요구하세요. 알려진 반복 사건은 매 단계 승인 없이 감독 아래 실행할 수 있지만 새 패턴, 고위험 결정과 맥락 부족에는 사람이 직접 개입해야 합니다. 나머지 48%가 자동화 실패는 아닙니다. 전문가 판단이 필요한 어려운 사건일 수 있습니다.
종결률과 수정률 함께 보기
시간 96% 감소와 종결 52%는 오탐, 놓친 위협, 재개, 고객 취소나 분석가 수정을 공개하지 않습니다. 전체 합계만 아니라 사건 유형별 지표를 요청하세요. 낮은 자동화 비율은 더 엄격한 안전 기준이나 어려운 작업일 수 있으며 열등한 제품을 뜻하지 않습니다.
자동 종결 사건을 표본 검토하고 적대적 증거, 불완전한 데이터와 공격처럼 보이는 합법적 관리 작업을 시험하세요. 모델의 발견은 중요한 행동 전에 검증된 근거가 필요합니다. 검토자는 멈출 시간, 증거와 권한을 가져야 합니다. 흐름 어딘가에 사람이 있다고 습관적 승인이나 자동화 편향이 사라지지는 않습니다.
권한 확대 전에 제한된 결과 시험하기
명확한 증거, 가역적 대응과 성숙한 보고 규칙이 있는 고빈도 사건을 선택하세요. 총 분석가 노력, 탐지 품질, 불필요한 중단, 재개와 복구를 기존 절차와 비교합니다. 종료 후에도 재구성하도록 증거, 도구 행동, 판단 책임자와 고객 승인을 보존합니다.
성능뿐 아니라 처리 위치, 보존, 모델 구성요소 접근과 외부 데이터 계약을 검토하세요. 평가, 롤백과 책임 있는 승인에 맞춰 용도를 넓힙니다. 구매 기준은 가장 높은 자율 종결률이 아니라 정해진 위험에서 적절한 종결, 측정 가능한 오류와 자동 대응이 틀렸을 때 명확한 책임자입니다.