5G 코어 네트워크 보안 운영을 위한 멀티 에이전트 AI: A2A 및 MCP 아키텍처

이 아키텍처는 프로덕션 5G 코어 네트워크를 위해 설계되었으며, 일반적인 엔터프라이즈 보안운영센터(SOC)가 일주일 동안 수신하는 양보다 더 많은 보안 텔레메트리를 시간당 생성합니다. 이는 두 가지 비효율적인 기존 패턴을 대체합니다: 하나는 컨텍스트 윈도우 한계, 비결정성, 변경 관리에 어려움을 겪는 단일 대규모언어모델(LLM)이고, 다른 하나는 레거시 SIEM/SOAR 시스템에 통합되어 여전히 수동 규칙 작성이 필요한 생성형AI(GenAI)입니다. 제안된 멀티 에이전트 시스템은 단일 페이지 계약을 가진 협소한 에이전트, 구글이 오픈소스화하고 리눅스 재단에 기증한 개방형 A2A 프로토콜을 통한 조정, Anthropic이 기증한 MCP를 통한 환경 통합, OPA와 Kyverno를 사용해 결정론적 정책 시행을 수행하는 특권 검토자 에이전트, 그리고 최상위 출력으로서의 인간 개입(Human-in-the-loop)을 특징으로 합니다. 모든 LLM 호출 전에 Isolation Forest 모델이 텔레메트리를 사전 필터링하여 변칙 샘플만 LLM 기반 에이전트로 전송합니다. 검토자 에이전트는 비즈니스 안전 불변 조건(블래스트 반경, 신뢰도, 되돌리기 가능성)에 OPA를 사용하고, 플랫폼 보안 불변 조건(신뢰할 수 있는 레지스트리, 네트워크 정책)에 Kyverno를 사용합니다. 측정 결과로는 평균탐지시간(MTTD)과 평균대응시간(MTTR)이 40% 개선되었고, 80개 이상의 자동 생성 탐지 규칙이 만들어졌으며, 새 규칙 생성에 필요한 수동 작업이 12배 감소했습니다. 이 시스템은 10~20개의 5G 네트워크 기능을 동시에 모니터링할 수 있습니다. 규칙 수가 적을 때, 탐지 로직이 결정론적이어야 할 때, 또는 엔지니어링 기능이 검토자 보안 정책을 다루지 않을 때는 한계가 있습니다. 주요 교훈으로는 검토자 에이전트를 먼저 구축하고, 첫날부터 변칙 사전 필터링을 추가하며, 영리한 프롬프트를 피하고, 참조 패턴을 조기에 공개하는 것이 포함됩니다.