CyberArena, 실시간 공격·방어로 AI 에이전트 평가

배경

고정된 서버를 침해할 수 있는 AI 에이전트가 곧바로 실제 사이버 작전에 강하다는 뜻은 아니다. 기존 보안 벤치마크의 상당수는 에이전트를 정적인 표적과 단독으로 대결시키고, 침입 성공 여부를 측정한다. 그러나 실제 공격과 방어에서는 공격자가 취약점을 찾는 동안 방어자가 서비스를 감시하고 패치하며 대응한다. 환경과 보안 상태가 양쪽의 행동에 따라 계속 바뀌는 이유다.

대결형 벤치마크

CyberArena는 두 에이전트를 동일한 규칙의 격리된 경기장에 배치한다. 각 에이전트는 상대 서비스에서 플래그를 탈취하는 공격자이면서, 자신의 서비스를 수정해 상대의 공격을 막는 방어자다. 경기는 여러 라운드로 진행되고 환경은 양측의 행동을 반영해 변한다. 따라서 한 번 익스플로잇에 성공하는 능력만으로는 충분하지 않다. 탐색, 공격, 패치, 대응의 우선순위를 상황에 맞게 계속 결정해야 한다.

평가에는 40개 과제가 사용됐다. 이 가운데 14개는 고전 CTF 과제를 변형했고, 26개는 오픈소스 소프트웨어의 실제 취약점을 기반으로 했다. 12개 프런티어 LLM 에이전트는 총 466회의 순위 경기를 치렀다. GPT-5.6 Sol이 79%로 1위에 올랐고, Claude Opus 5는 74%, GLM-5.3은 69%를 기록했다. 방어 측면에서도 상위 두 모델은 각각 라운드의 83%와 81%에서 자신의 플래그를 지켰다. 나머지 모델의 범위는 43~61%였다.

실시간 방어가 만드는 차이

이 연구의 핵심은 정적 평가가 모델 간 차이를 숨길 수 있다는 점이다. 방어자가 없는 서비스에서는 세 프런티어 모델이 동일한 30개 과제를 모두 해결했다. 하지만 실시간 방어자가 추가되자 3라운드 시점의 플래그 획득률은 35~52%로 낮아졌고, 모델별 성능 차이가 나타났다. 이는 실제 보안 업무의 난점이 취약점을 한 번 발견하는 데 있지 않음을 보여준다. 상대가 패치하고 서비스 상태를 바꾸는 상황에서도 효과적인 행동을 이어가야 한다.

CyberArena는 벤치마크가 빠르게 포화되는 문제를 줄이기 위해 새 환경을 자동으로 생성하고 검토·검증하는 에이전트 파이프라인도 구축했다. 또한 경기의 진행 양상을 공격, 방어, 도메인별 능력을 포함한 통합 다차원 점수로 변환하는 동적 모델을 제안했다. 엔진과 과제, 경기 리플레이는 오픈소스로 공개됐다.

의미와 한계

CyberArena는 질문을 “침입할 수 있는가”에서 “적응형 공격·방어 순환 속에서 계속 유효하게 행동할 수 있는가”로 확장한다. 이를 통해 속도, 정확성, 지속성, 공격과 방어의 균형을 함께 관찰할 수 있다. 다만 공개된 소재만으로는 개별 결과를 만든 도구와 전략, 실제 운영 환경 성능과의 관계까지 판단하기 어렵다. 공개 리플레이, 더 다양한 환경, 다른 벤치마크와의 비교가 후속 과제로 남는다.

출처: Hugging Face Daily Papers