개요
엔터프라이즈의 보안·컴플라이언스·ERP 팀은 모두 같은 제안을 들어보았습니다. 룰기반 시스템은 '레거시'이므로, 유일한 해법은 완전히 새로운 AI 플랫폼이라는 것입니다. 기존 엔진을 걷어내고, 데이터를 이관하고, 팀을 재교육하면 지능이 따라온다는 이야기입니다. 이 글에서는 그 전면 교체(rip-and-replace) 본능이 왜 가장 비싸고 위험한 AI 도입 방식인지, 그리고 교체가 아닌 증강(augmentation)이 어떻게 훨씬 적은 중단으로 필요한 커버리지를 제공하는지 설명합니다.
룰엔진이 실제로 무엇을 잘하는지, 어디에서 구조적으로 보이지 않는지, 전면 교체의 실제 비용은 얼마인지, 그리고 API 호출 한 줄로 도입할 수 있는 무침습 대안을 차례로 살펴보겠습니다.
배경: 룰엔진이 여전히 어디에나 있는 이유
결정론적 룰엔진은 엔터프라이즈 통제의 근간을 이루고 있습니다. ERP의 직무분리(SoD) 매트릭스, 네트워크의 IDS 시그니처, 자산관리의 패치 기준선, 출입통제의 화이트리스트가 그 예입니다. 이들은 빠르고, 감사 가능하며, 설명 가능합니다. 룰이 발동하면 그 이유를 정확히 알 수 있고, 감독기관에도 그대로 소명할 수 있습니다. 이것은 기술 부채가 아니라, 제 역할을 하고 있는 통제 환경입니다.
시장 역시 '모든 것을 AI로 교체하는' 단계를 지났습니다. 선도적인 거래사기 방지 스택은 룰을 먼저 실행하고 애매한 케이스만 모델과 분석가 큐로 보냅니다. 현대 SOC 도구는 탐지 로직을 폐기하는 대신 LLM 추론과 결정론적 가드레일을 결합합니다. 그리고 기존 시그널을 대체하는 것이 아니라 우선순위화하는 데 핵심 가치가 있는 Wiz를 Google이 인수한 사실은, 엔터프라이즈 구매자가 어디에서 가치를 보는지 보여줍니다. 바로 기존 시스템을 더 똑똑하게 만드는 레이어입니다.
if-else의 구조적 한계
룰엔진은 설계 시점에 열거된 것만 판정할 수 있습니다. 정의되지 않은 모든 것은 else 분기로, 즉 판정 대상 밖으로 빠져나갑니다. 이것은 룰의 결함이 아니라 룰을 정의하는 속성입니다. 정교한 리스크는 바로 그 공백에 존재합니다. 어떤 룰도 평가하도록 작성된 적 없는 케이스들입니다.
전면 교체의 숨은 청구서
작동 중인 룰엔진을 AI 플랫폼으로 교체하는 비용은 라이선스를 훨씬 넘어섭니다. 실제 청구서에는 세일즈 자료에 거의 등장하지 않는 네 가지 항목이 포함됩니다.
- 룰 카탈로그 이관 — 검증된 모든 룰을 새 시스템에서 다시 표현해야 하며, 각각에 회귀(regression) 리스크가 붙습니다.
- 데이터 마이그레이션 — 통제가 의존하는 이력 데이터를 옮기면서 무결성과 데이터 주권 문제가 함께 발생합니다.
- 운영팀 재교육 — 현행 시스템에 대한 팀의 숙련도는 자산인데, 교체는 이를 0으로 상각합니다.
- 리스크 비대칭 — 결정론적 시스템의 알려진 실패 모드를, 확률적 시스템의 알려지지 않은 실패 모드와 전체 커버리지 범위에서 한꺼번에 맞바꿉니다.
마지막 항목이 이 함정의 수학적 핵심입니다. 룰은 이미 잘 정의된 대다수 이벤트를 올바르게 처리하고 있습니다. 전면 교체는 이미 풀어놓은 문제를 다시 풀면서, 그것도 전부 리스크에 노출시키면서, 룰이 놓치는 소수의 케이스를 해결하려는 접근입니다.
증강: 풀리지 않은 부분만 해결합니다
대안은 결정론적 엔진이 잘하는 일은 그대로 두고, 잔여 영역인 else 분기만 AI에 위임하는 것입니다. 실패 도메인이 '전체'에서 '애초에 판정되지 않던 케이스'로 줄어들며, 도입은 점진적이고 되돌릴 수 있게 됩니다.
구체적으로는, 룰엔진이 현재 판정을 포기하는 지점에 호출 한 줄을 추가하는 것을 의미합니다.
// 기존 결정론적 룰은 변경 없이 그대로 실행됩니다.
if (matchesKnownRule(event)) {
return ruleVerdict(event);
} else {
// 사각지대: 기존에는 허용 후 로그로 기본 처리되던 지점.
// 이제 이 케이스만 AI 판정에 위임합니다.
return await crux.evaluate(event); // 한 줄, 무침습
}판정 서비스는 불투명한 점수가 아니라 구조화된 설명 가능한 결정을 반환하므로, 기존 파이프라인이 결정론적으로 이를 처리할 수 있습니다.
{
"verdict": "review",
"confidence": 0.62,
"mode": "HYBRID",
"rationale": "SoD 매트릭스에 표현되지 않은 위임 승인. 사람 검토로 에스컬레이션합니다."
}교체 vs 증강 한눈에 비교
| 구분 | 전면 교체 | 증강 (Crux) |
|---|---|---|
| 도입 노력 | 전체 플랫폼 마이그레이션 | else 분기 API 호출 1줄 |
| 데이터 마이그레이션 | 필요 | 없음 |
| 기존 룰 | 폐기 후 재작성 | 그대로 유지 |
| 실패 도메인 | 전체 커버리지 범위 | 기존에 판정되지 않던 케이스만 |
| 되돌리기 | 롤백이 어려움 | 호출 한 줄 제거 |
| AI 거버넌스 | 종종 블랙박스 | AI 추천, 사람 승인 |
자주 나오는 반론과 대응
교체 대신 증강을 검토할 때 두 가지 우려가 반복적으로 제기됩니다.
"시스템이 둘이면 하나일 때보다 거버넌스가 어렵지 않을까요?" 실무에서는 오히려 반대입니다. 결정론적 엔진은 기록의 원천(system of record)으로 남고, 판정 레이어가 그 위에 문서화된 확신도 기반 결정 이력을 더합니다. 감사 대상을 잃는 것이 아니라 얻습니다.
"그래도 AI가 우리 데이터를 필요로 하지 않나요?" 새 벤더가 복제한 데이터는 아닙니다. BYOM(Bring Your Own Model) 아키텍처는 판정 레이어를 이미 신뢰하는 엔드포인트, 즉 Azure OpenAI, AWS Bedrock, 온프레미스 모델에 연결하므로, 추론은 기존 데이터 주권 경계 안에서 이루어집니다.
SeekersLab 스택에서의 위치
증강은 탐지·대응 도구와 자연스럽게 결합됩니다. Seekurity SIEM/SOAR는 이미 룰을 먼저 실행하고 애매한 케이스를 에스컬레이션하며, 판정 레이어는 그 동일한 패턴을 모든 도메인 룰엔진의 else 분기로 확장합니다. FRIIM CNAPP/CSPM은 그 기반이 되는 클라우드 자세를 결정론적이고 감사 가능하게 유지합니다. Crux는 이 패턴을 구현한 제품으로, 이미 운영 중인 룰엔진의 else 분기에 연결되어 구조 변경도 데이터 마이그레이션도 없이 AI 판정을 제공합니다.
결론
교체 프로그램에 서명하기 전에, 대안의 가격을 정직하게 계산해 보십시오. 핵심을 정리하면 다음과 같습니다.
- 룰엔진은 고장 나지 않았습니다 — 검증되어 실제로 작동하는 조직 지식입니다.
- 교체의 실제 비용은 리스크입니다 — 알려진 실패 모드를 전체 범위에서 알려지지 않은 것과 맞바꿉니다.
- 증강이 수학적으로 더 저렴합니다 — 이미 푼 문제가 아니라 잔여 영역만 해결합니다.
- 무침습은 곧 가역성입니다 — 호출 한 줄로 들어가고, 한 줄로 나옵니다.
다음 단계: 가치가 높은 룰엔진 한 곳의 else 분기를 식별하고, 현재 허용 후 로그로 기본 처리되는 이벤트가 얼마나 되는지 측정한 뒤, 그 단일 분기에 판정 레이어를 파일럿으로 적용해 보십시오. Crux의 룰엔진 증강 방식 보기 또는 전문가 상담 신청.