Tenable Hexa AI의 상시 작업, 조치별 승인 기준은 아직 없다

요약

Tenable은 Hexa AI 에이전트 집단이 보안팀이 오프라인이어도 주요 노출을 찾고 조치를 조율하며 수정 결과를 검증할 수 있다고 설명했다.
투자자 자료는 팀이 승인하고 Hexa가 실행한다고 했지만, 상시 권한으로 진행되는 조치와 사람의 판단을 기다리는 조치를 구분하지 않았다.

분석

10월 28일 공개한 3분기 실적 자료에서 Tenable은 Hexa AI의 작업 시간을 늘렸다. 회사 설명에 따르면 여러 에이전트가 위험 노출을 계속 찾고, 해결 절차를 조율하고, 수정이 이뤄졌는지 확인한다. 보안 담당자가 연결을 끊은 뒤에도 작업 흐름은 계속된다는 얘기다. 제품은 문제를 보여주는 데서 조치가 진행되도록 밀어주는 쪽으로 이동한다.

투자자 발표는 과정을 좀 더 구체적으로 나눈다. Hexa는 자산, 신원, 취약점, AI 시스템의 연결 관계를 보고 공격 경로와 자산 중요도, 사업 영향을 기준으로 우선순위를 매긴다. 수정 안내와 함께 담당자에게 결과를 전달하고, 통제가 작동하는지 검증해 종료를 확인한다. 발표 문구는 간단하다. 팀이 승인하고 Hexa가 실행한다.

두 설명은 함께 성립할 수 있다. 팀이 운영 규칙을 미리 승인해 두고 에이전트는 그 범위에서 움직일 수 있다. 어떤 조치는 담당자가 다시 접속할 때까지 멈출 수도 있다. 검토한 발표 자료에는 작업별로 어느 경우인지 나와 있지 않다. 빠진 사실은 조치별 권한표다. 담당자가 오프라인인 동안 상시 권한으로 실행되는 수정과 실시간 승인을 기다리는 수정이 무엇인지 알려줘야 한다. 이 구분이 있어야 ‘상시 작업’이 통제된 야간 운영인지, 불만 꺼지지 않는 대기열인지 알 수 있다.

분기 실적은 Tenable의 사업 성과를 보여주지만 Hexa의 판매 성과는 보여주지 않는다. 매출은 2억 7,640만 달러로 전년보다 9.5% 증가했다. GAAP 영업이익률은 2.8%에서 6.0%로, 비GAAP 영업이익률은 23.3%에서 27.1%로 상승했다. 기업용 플랫폼 신규 고객은 413곳, 6자리 수 고객은 39곳 순증했다. 달러 기준 순확장률은 107%로 2분기의 106%보다 높았다.

Tenable은 이 수치 가운데 어느 것도 Hexa AI에 귀속하지 않았다. 발표에는 제품별 매출, 유료 배포 수, 실제 사용률, 완료된 조치 규모가 없다. 107%는 회사가 집계한 전체 고객 기반의 확장을 나타낸다. Hexa가 도입됐다는 영수증은 아니다.

구매자가 확인할 것은 운영 규칙이다. 상시 자동화는 노출을 찾은 뒤 수정이 끝날 때까지 걸리는 시간을 줄일 때 가치가 있다. 동시에 사람이 자리를 비웠을 때 에이전트가 무엇을 바꿀 수 있는지도 정해야 한다. 다음으로 필요한 공개는 승인 지점이다. 사전 설정된 정책인지, 조치별 실시간 결정인지, 수정 종류에 따라 달라지는 혼합형인지가 핵심이다.