Sichuan Bank DeepInsight AI: 하루 1만 건 보안 경보를 AI 에이전트가 먼저 걸러 내고 조사하는 보안관제
쓰촨은행(Sichuan Bank)은 하루 1만 건이 넘는 보안 경보를 특화 LLM과 자율 에이전트가 먼저 분류·조사하게 해 평균 탐지 시간 5분 이하, 미지 위협 정확도 70% 초과를 보고했습니다. 경보 감소율은 원문 안에서 수치가 맞지 않아 건수만 싣고 제조 대기업 보안관제에 옮기는 8주 계획을 붙였습니다.
Sichuan Bank(쓰촨은행)는 보안 경보를 사람이 먼저 분류하던 관제 방식을 바꿨습니다. 이제는 특화 LLM과 자율 에이전트가 경보를 업무 맥락에 붙여 먼저 걸러 내고 조사합니다. 평균 탐지 시간은 5분 이하로 줄었다고 보고했습니다. 같은 구조를 들이려면 모델보다 먼저 세 가지를 갖춰야 합니다. 자산과 업무 서비스의 관계표, 판정과 조치를 나누는 승인 규칙, 그리고 매주 오판을 모아 다시 평가하는 순환입니다.
요약
쓰촨성 청두에 본사를 둔 Sichuan Bank의 보안관제는 하루 1만 건이 넘는 경보를 감당하지 못하고 있었습니다. 대부분은 실제 위협일 가능성이 낮은 저품질 경보(low-fidelity alert)였습니다. 그 사이에 알려진 패턴으로는 잡히지 않는 미지 위협(unknown threat)이 섞여 들어왔습니다. 분석가는 경보를 손으로 분류(triage)하고 미리 정해 둔 정적 대응 매뉴얼(static playbook)을 따랐습니다. 피로가 쌓였고 대응은 늦어졌습니다. 은행은 DeepInsight AI라는 AI-native(처음부터 AI를 중심에 두고 설계한) 보안 두뇌를 만들었습니다. 은행이 쌓아 온 독자 지식, 보안 업무에 맞춰 조정한 특화 LLM(vertically tuned LLM), 업무 토폴로지(business topology, 시스템·자산·업무 서비스가 서로 어떻게 연결되는지에 관한 데이터), 자율 에이전트(autonomous agent)를 한 구조로 묶었습니다. 이 구조의 중심에는 dual-brain(이중 두뇌) 설계가 있습니다. 분석 추론과 전략 판단을 나눠 맡기고 분류·조사 에이전트를 조율합니다. 이 사례는 Gartner 2026 Eye on Innovation Awards 은행·투자 부문에 제출·소개됐고 사용자가 제공한 Greater China 사례집에 실렸습니다.
사례집이 밝힌 기업 보고 실적은 이렇습니다. 미지 위협 탐지 정확도는 70%를 넘었고 사례집은 산업평균을 30% 미만으로 적었습니다. 평균 탐지 시간(MTTD)은 5분 이하이며 비교값으로 산업 기준 36일을 제시했습니다. 운영 효율은 60% 넘게 개선됐고 이에 따른 경제 효과는 연 약 100만 달러로 보고됐습니다. 경보 쪽 수치는 따로 보아야 합니다. 원문은 잡음 감소 99.6%를 내세우면서 하루 원시 경보 10,000건이 약 420건의 고품질 사건으로 걸러졌다고 함께 적었습니다. 그런데 두 건수로 계산한 감소율은 약 95.8%여서 99.6%와 맞지 않습니다. 사례집도 이 대목에 원문 내부 불일치 표시를 달았습니다. 이 노트는 건수만 쓰고 99.6%는 성과 근거로 쓰지 않습니다. 산업평균 비교값의 조사 출처도 사례집에는 없습니다. 은행 IT 부서의 VP(부서 책임자급 임원)는 이 변화를 “from reactive, human-operated tools to a proactive, AI-led competency”라고 표현했습니다. 이 사례를 따로 다룬 공개 자료는 찾지 못했습니다. 아래에서는 네 가지 구현 메커니즘을 풀고 한국 제조 대기업의 그룹 보안관제(SOC, security operations center)가 같은 구조를 옮기는 방법을 덧붙였습니다.
핵심 메커니즘
사례집은 구성 요소의 이름과 역할만 짧게 적었습니다. 아래의 작동 방식은 보안관제에서 이런 구성이 일반적으로 돌아가는 방식에 비추어 재구성했습니다. 작은 예시는 모두 가상 예시입니다.
Business topology + 특화 LLM: 경보를 업무 맥락에 붙여 읽기
경보 한 건만 보아서는 그것이 위험한지 알기 어렵습니다. 어느 서버에서 났고 그 서버가 어떤 업무 서비스를 떠받치며 누가 관리하는지를 함께 알아야 합니다. DeepInsight AI는 원시 경보에 업무 토폴로지와 은행의 독자 보안 지식을 붙여서 특화 LLM에 넣습니다. 독자 지식은 과거 사고 기록, 내부 탐지 규칙, 대응 경험 같은 것입니다. 모델은 경보 묶음이 어떤 공격 단계에 해당하는지, 영향받는 업무가 무엇인지 추론합니다. 결과로 판단 근거가 붙은 사건 후보를 냅니다. 범용 모델에 로그만 넣으면 이 은행의 망 구조와 업무 중요도를 모르기 때문에 같은 경보에도 우선순위를 세우지 못합니다. 특화 조정과 토폴로지 결합은 이 공백을 메웁니다. 자산 대장이 낡았거나 업무 서비스와 서버의 연결이 기록되지 않은 조직이라면 모델보다 이 표를 먼저 정리해야 합니다. 가상 예시로, 같은 ‘의심스러운 PowerShell 실행’ 경보라도 개발 PC에서 나면 낮은 순위에, 구매 승인 ERP 서버에서 나면 즉시 조사 대상에 오릅니다.
Dual-brain architecture: 무슨 일인지 판정하는 두뇌와 무엇을 할지 정하는 두뇌
사례집은 DeepInsight AI가 분석 추론(analytical reasoning)과 전략 판단(strategic decision-making)을 분리한다고 적었습니다. 분석 두뇌는 “무슨 일이 일어났나”에 답합니다. 경보 묶음과 조사 결과를 보고 악성 여부, 확신도, 근거, 공격 단계를 냅니다. 전략 두뇌는 “그래서 무엇을 할까”에 답합니다. 분석 결과를 업무 영향과 내부 정책에 대조해 조치를 고르고 자동으로 할지 사람 승인을 받을지 정합니다. 둘을 나누면 판정이 맞았는지와 조치가 적절했는지를 따로 평가할 수 있습니다. 판정은 맞았는데 조치가 과했다면 전략 쪽 규칙만 고치면 됩니다. 한 모델이 판정과 조치를 한 번에 내면 어느 쪽이 틀렸는지 가르기 어렵습니다. 반대로 조치가 ‘알림 보내기’ 하나뿐인 작은 관제라면 둘로 나눌 실익이 적습니다.
Autonomous agents: 분류와 조사를 맡는 에이전트
사례집에 따르면 전략 두뇌는 분류(triage)와 조사(investigation)를 맡는 에이전트를 조율합니다. 분류 에이전트는 중복 경보와 알려진 오탐을 묶어 지우고 남은 경보를 자산 중요도에 따라 사건 후보로 올립니다. 조사 에이전트는 사건 후보마다 단말 로그, 인증 기록, 네트워크 흐름, 위협 정보를 조회해 시간순 타임라인을 만듭니다. 분석가는 경보 목록이 아니라 조사가 끝난 사건과 근거를 받아 승인하거나 고칩니다. 사람이 하루 1만 건을 훑는 대신 에이전트가 1차 분류와 기초 조사를 끝내 두는 구조입니다. 정적 대응 매뉴얼은 정해진 경보 유형에만 맞습니다. 반면 에이전트는 중간 조회 결과를 보고 다음에 무엇을 조회할지 바꿀 수 있어 미지 위협에 덜 막힙니다. 에이전트가 쓰는 도구를 조회와 조치로 나누고 조치 도구는 전략 두뇌의 승인을 거쳐서만 부르게 해야 안전합니다.
Closed loop: 주간 모델 개선과 동적 지식 주입
사례집은 주간 모델 개선(weekly model iteration)과 동적 지식 주입(dynamic knowledge injection)으로 판단이 계속 나아진다고 적었습니다. 두 장치는 바뀌는 속도가 다릅니다. 지식 주입은 새 위협 정보, 새로 들어온 서버, 바뀐 탐지 규칙처럼 자주 바뀌는 사실을 모델을 다시 학습시키지 않고 검색 저장소에 바로 넣는 방식입니다. 주간 개선은 한 주 동안 분석가가 고친 판정과 놓친 사건을 모아 모델이나 프롬프트를 갱신하고 회귀 평가를 통과한 버전만 다음 주 운영에 올리는 방식입니다. 이 순환이 있어야 ‘사람이 도구를 쓰는’ 관제가 ‘AI가 이끌고 사람이 바로잡는’ 관제로 넘어갑니다. 분석가의 수정 내역이 남지 않는 조직이라면 주간 개선에 넣을 재료가 없으므로, 판정 수정 기록부터 쌓아야 합니다.
사례 재구성
DeepInsight AI: AI가 이끄는 보안관제
| 구분 | 내용 |
|---|---|
| 상황 | Sichuan Bank 보안관제는 하루 10,000건이 넘는 저품질 경보와 정교한 미지 위협에 동시에 대응해야 했습니다. 수동 분류와 정적 대응 매뉴얼에 의존해 분석가 피로, 대응 지연, 운영 리스크가 커졌습니다. 은행은 보안관제를 선제적이고 AI 중심인 역량으로 바꾸려 했습니다. |
| 한 일 | 독자 지식, 특화 LLM, 업무 토폴로지 데이터, 자율 에이전트를 결합한 DeepInsight AI를 만들었습니다. dual-brain 구조로 분석 추론과 전략 판단을 나누고 분류·조사 에이전트를 조율하며 주간 모델 개선과 동적 지식 주입으로 운영을 폐쇄 루프로 돌립니다. 사례집이 꼽은 기술 범주는 AI Agents, Cybersecurity Technologies, LLMs, AI, Digital Twin/Modeling & Simulation, Software Component/Architecture/Framework입니다. |
| 결과 | 미지 위협 정확도 70% 초과(산업평균 30% 미만으로 제시), 평균 탐지 시간 5분 이하(산업 기준 36일로 제시), 운영 효율 60% 초과 개선과 연 약 100만 달러 경제 효과, 하루 원시 경보 10,000건에서 고품질 사건 약 420건(모두 기업 보고 실적). 원문의 잡음 감소 99.6%는 건수 기준 약 95.8%와 맞지 않아 이 노트에서는 쓰지 않습니다. 도입 기간, 관제 인원, 사용한 모델 이름, 산업평균 비교의 조사 출처는 사례집에서 밝히지 않았습니다. |
| 연결 | 토폴로지 결합이 경보의 우선순위를 세우고 dual-brain이 판정과 조치를 나누며 에이전트가 분류·조사를 맡고 폐쇄 루프가 주마다 판단을 고칩니다. 네 메커니즘이 한 사례 안에서 맞물립니다. |
기술 디테일: 우리 관제 데이터로 첫 프로토타입을 만들려면
아래는 사례집에 없는 내용입니다. 같은 구조를 실제로 돌릴 때 필요한 것을 정리했고 필드 이름과 설정값은 가상 예시입니다.
경보를 공통 스키마로 맞추고 토폴로지를 붙이는 데서 시작합니다(business topology). EDR(단말 탐지·대응), 방화벽, 인증 서버, 클라우드 로그는 필드 이름과 시간 형식이 제각각입니다. 먼저 경보를 공통 스키마로 정규화하고 asset_id로 자산 대장을 조인해 업무 서비스·중요도·관리 팀을 붙입니다. 자산 대장에서 찾지 못한 asset_id는 ‘미등록 자산’으로 따로 모읍니다. 미등록 자산 비율 자체가 첫 주의 데이터 준비도 지표가 됩니다.
{
"alert_id": "A-20261028-004211",
"source": "EDR",
"rule_id": "edr.proc.susp_powershell",
"asset_id": "SRV-ERP-APP-03",
"first_seen": "2026-10-28T02:14:09+09:00",
"raw_fields": {"cmdline": "...", "user": "svc_batch"},
"topology": {
"business_service": "ERP 구매 승인",
"criticality": "A",
"zone": "IT-core",
"owner_team": "ERP 운영팀"
}
}분석 두뇌의 출력은 구조화하고 같은 사건을 여러 번 돌립니다(dual-brain). 분석 두뇌에는 판정, 확신도, 공격 단계, 근거 목록을 JSON으로 내게 합니다. 공격 단계는 MITRE ATT&CK 전술 이름처럼 정해진 값 가운데서만 고르게 합니다. temperature는 0으로 두고 중요도 A 자산의 사건은 3회 실행합니다. 세 번의 판정이 엇갈리면 자동 처리하지 않고 needs_review로 보냅니다. 근거(evidence)가 3개 미만이거나 근거의 ref가 실제 로그 ID로 조회되지 않으면 그 판정은 반려하고 한 번 다시 생성합니다. 사례집이 밝힌 주간 개선을 따르려면 model_version을 주 단위로 붙여 어느 버전이 어떤 판정을 냈는지 거슬러 올라갈 수 있어야 합니다.
{
"case_id": "C-20261028-0117",
"verdict": "malicious | benign | needs_review",
"confidence": 0.82,
"attack_stage": "lateral_movement",
"evidence": [
{"type": "log", "ref": "edr:evt:88123"},
{"type": "intel", "ref": "ioc:hash:..."},
{"type": "topology", "ref": "asset:SRV-ERP-APP-03"}
],
"runs_agree": 3,
"model_version": "analyst-2026w43"
}전략 두뇌는 LLM 혼자 두지 않고 정책 게이트와 묶습니다(dual-brain, autonomous agents). 조치는 미리 정한 목록 안에서만 고르게 합니다. 예를 들면 종결, 알림, 계정 일시 잠금, 단말 네트워크 격리, 방화벽 차단입니다. 게이트 규칙은 세 축으로 정합니다. 자산 중요도, 확신도와 3회 실행 일치 여부, 조치를 되돌릴 수 있는지입니다. 저위험 종결과 되돌릴 수 있는 조치만 자동으로 처리하고 자동 종결한 사건은 5%를 표본으로 뽑아 분석가가 다시 봅니다. 핵심 업무 자산에 대한 조치와 되돌리기 어려운 조치는 항상 사람 승인을 거칩니다.
에이전트에는 단계 상한과 도구 권한을 둡니다(autonomous agents). 조사 에이전트의 도구는 조회 전용으로 열어 둡니다. 로그 검색, 단말 프로세스 목록, 인증 이력, 위협 정보 조회 같은 것입니다. 조치 도구는 전략 두뇌만 부를 수 있게 분리합니다. 사건 하나에 조회는 최대 15회, 처리 시간은 3분으로 제한합니다. 넘으면 그때까지 모은 근거와 함께 분석가에게 넘깁니다. 보안 로그에는 공격자가 써 넣은 문자열이 그대로 들어올 수 있습니다. 명령줄 인자, 메일 제목, 파일 이름 같은 것들입니다. 로그 필드는 항상 데이터 칸에만 넣고 그 안의 문장을 지시로 따르지 않도록 시스템 지시문과 출력 검사를 둡니다.
성과 지표는 계산식을 먼저 정해 둡니다(closed loop). 경보 감소율은 1 - (하루 사건 수 / 하루 원시 경보 수)로, 탐지 시간은 ‘첫 악성 이벤트 시각에서 사건 생성 시각까지’로 정의하고 둘 다 같은 기간의 중앙값과 90번째 백분위를 함께 냅니다. 사례집의 경보 수치처럼 건수와 비율이 따로 보고되면 서로 맞지 않는 일이 생깁니다. 보고서에는 비율과 함께 분모와 분자 건수를 같이 적습니다. 정확도는 분석가가 확정한 판정 300건 안팎을 정답 세트로 만들어 재고 미지 위협은 기존 규칙이 잡지 못했던 과거 사건만 따로 떼어 별도로 잽니다.
넣어야 할 데이터는 다섯 묶음입니다. 최근 3개월 원시 경보와 분석가 판정 기록, 자산 대장과 업무 서비스 매핑, 과거 사고 보고서와 대응 기록, 내부 탐지 규칙과 대응 매뉴얼, 외부 위협 정보 피드입니다. 과거 판정 기록은 정답 세트가 되고 사고 보고서는 독자 지식의 첫 재료가 됩니다. 실패는 대개 세 곳에서 납니다. 자산 대장이 낡아 토폴로지가 틀리는 경우, 자동 종결이 실제 공격을 덮는 경우(표본 재검토로 잡습니다), 주간 갱신 뒤 예전에 잡던 사건을 놓치는 경우(회귀 평가로 막습니다)입니다.
현업 실행 디테일: 누가, 언제, 무엇을
여기서는 한국 제조 대기업 그룹 보안관제가 이 구조를 IT 관제에 옮기는 경우를 가상 예시로 듭니다. 계열사와 공장마다 다른 보안 장비가 경보를 쏟아 내고 ERP·MES(제조 실행 시스템) 같은 핵심 시스템과 일반 PC가 한 관제 화면에 섞여 있다는 점에서 문제 구조가 Sichuan Bank와 같습니다.
| 역할 | 인원 | 하는 일 |
|---|---|---|
| CISO | 1명 | 스폰서. 자동 조치 허용 범위 승인, 8주 차 진행 판정 |
| 관제 리드 | 1명 | 파일럿 범위 결정, 게이트 규칙 초안, 분석가 피드백 취합 |
| L1·L2 분석가 | 3~4명 | 정답 세트 판정, 섀도 운영 중 AI 판정 검토와 수정 기록 |
| 탐지 엔지니어 | 1명 | 경보 정규화, 탐지 규칙 정리, 회귀 평가 세트 관리 |
| AI 엔지니어 | 1~2명 | 분석 두뇌·에이전트·게이트 구현, 3회 실행·편차 로그 |
| 인프라·자산 담당 | 1명 | 자산 대장과 업무 서비스 매핑 정비, 공장 자산 확인 |
| AX 추진 PM | 1명 | 일정·산출물 관리, 보안 심의와 감사 대응 조율 |
시작 전 준비물은 최근 3개월 경보 원본과 판정 기록, 자산 대장, 업무 서비스 목록, 지난 1년 사고 보고서, 현행 대응 매뉴얼, 조회 전용 계정 발급 승인입니다. 파일럿 범위는 경보량이 많고 자산 정보가 비교적 정리된 한 영역(예: 본사 서버와 ERP)으로 좁힙니다.
| 기간 | 할 일 | 산출물 |
|---|---|---|
| 1~2주 | 경보 3개월분 정규화, 자산 대장 조인, 미등록 자산 목록화. 분석가가 과거 사건 300건 판정 확정 | 공통 경보 스키마, 미등록 자산 비율, 정답 세트 v1 |
| 3~4주 | 분류 에이전트와 분석 두뇌 구현, 지표 계산식 확정 | 판정 JSON, 3회 실행 편차 로그, 지표 정의서 |
| 5~6주 | 조사 에이전트와 정책 게이트 연결, 조회 상한·권한 설정 | 사건별 타임라인, 게이트 규칙표 |
| 7~8주 | 섀도 운영: AI는 판정만 내고 조치는 기존대로, 분석가 판정과 매일 비교. 주간 개선 1회 실행 | 비교 보고서, 회귀 평가 결과, 진행 판정 |
인터뷰에서 분석가에게 물을 질문은 다음과 같습니다. 하루 경보 가운데 열어 보지도 않고 닫는 유형은 무엇인가. 경보 하나의 위험도를 판단할 때 가장 먼저 찾아보는 정보는 무엇이고 어느 시스템에 있는가. 자산 대장에서 담당자나 업무 서비스를 못 찾은 적이 얼마나 자주 있는가. 사람이 반드시 정해야 하는 조치는 무엇인가. 놓쳤다가 나중에 알게 된 사건은 어떤 경로로 들어왔는가.
진행 판정 기준(가상 예시)은 네 가지로 둡니다. 정답 세트에서 악성 사건을 놓친 비율이 기존 관제보다 높지 않아야 합니다. 분석가가 검토해야 할 하루 사건 수가 기존 경보 검토량의 20% 이하로 줄어야 합니다. 분석 두뇌 판정 가운데 근거가 실제 로그로 확인되는 비율이 95% 이상이어야 합니다. 참여 분석가 4명 가운데 3명 이상이 섀도 운영 판정을 실제 업무에 쓰겠다고 답해야 합니다. 넷을 넘으면 저위험 자동 종결부터 켜고 격리 같은 조치는 다음 단계에서 엽니다.
보안관제는 에이전트를 운영에 넣기 좋은 첫 과제입니다. 경보와 판정 기록이 이미 쌓여 있어 정답 세트를 빨리 만들 수 있습니다. 섀도 운영으로 실제 조치 없이 성능을 비교할 수도 있습니다. 제조 대기업이라면 순서를 IT 관제, 클라우드, 공장 OT(운영 기술) 관제로 잡는 편이 안전합니다. OT는 설비를 멈추는 조치가 생산에 바로 닿으므로 전략 두뇌의 게이트를 가장 보수적으로 둡니다. 관제를 위해 정비한 자산·업무 서비스 매핑은 장애 대응, IT 자산 관리, 감사 증적 준비에도 다시 씁니다. CISO와 경영진에게는 탐지 시간 단축만 보고하지 않습니다. 지표 계산식, 놓친 사건 비율, 자동 조치 범위를 함께 보고해 어디까지 AI에 맡기고 어디서 사람이 정하는지 처음부터 합의해 둡니다.
원문 사례
| 항목 | 내용 |
|---|---|
| 회사 | Sichuan Bank Co., Ltd(쓰촨은행), 중국 청두 |
| 사례명 | DeepInsight AI Initiative |
| 부문 | Gartner 2026 Eye on Innovation Awards, Banking and Investing (제출·소개 사례) |
| 대상 업무 | 사이버보안 운영(보안관제): 경보 분류, 조사, 대응 |
| 문제 | 하루 10,000건 이상 저품질 경보와 미지 위협, 수동 분류와 정적 대응 매뉴얼, 분석가 피로와 대응 지연 |
| 구조 | 독자 지식 · 특화 LLM · 업무 토폴로지 · 자율 에이전트, 분석 추론과 전략 판단을 나눈 dual-brain, 분류·조사 에이전트 조율, 주간 모델 개선과 동적 지식 주입 |
| 핵심 기술 | AI Agents, Cybersecurity Technologies, LLMs, AI, Digital Twin/Modeling & Simulation, Software Component/Architecture/Framework |
| 보고 실적 | 미지 위협 정확도 70% 초과(산업평균 30% 미만으로 제시), 평균 탐지 시간 5분 이하(산업 기준 36일로 제시), 운영 효율 60% 초과 개선·연 약 100만 달러 경제 효과, 하루 원시 경보 10,000건 → 고품질 사건 약 420건 |
| 수치 확인 | 원문의 잡음 감소 99.6%는 건수 기준 감소율 약 95.8%와 맞지 않음(사례집의 원문 내부 불일치 표시). 산업평균 비교의 조사 출처는 사례집에 없음 |
| 공개 자료 | 이 사례를 다룬 추가 공개 자료는 확인하지 못함 |
핵심 개념
- SOC (security operations center)
- 보안 경보를 모아 분석하고 대응하는 관제 조직과 그 시설.
- low-fidelity alert
- 실제 위협일 가능성이 낮아 대부분 오탐으로 끝나는 경보.
- triage
- 쏟아지는 경보를 중요도와 진위에 따라 먼저 걸러 순서를 정하는 일.
- static playbook
- 경보 유형마다 미리 정해 둔 고정 대응 절차.
- MTTD (mean time to detect)
- 공격이 시작된 뒤 관제가 그것을 알아차리기까지 걸린 평균 시간.
- unknown threat
- 기존 시그니처나 탐지 규칙에 없는 새 공격.
- EDR (endpoint detection and response)
- PC와 서버 같은 단말의 행위를 기록하고 이상 행위를 탐지·차단하는 도구.
- MITRE ATT&CK
- 공격자의 전술과 기법을 단계별로 정리한 공개 분류 체계.
- shadow mode (섀도 운영)
- AI가 판정만 내고 실제 조치는 기존 방식대로 두어 결과를 나란히 비교하는 시험 운영.
내 메모
TODO: 내 생각 추가
근거: 사용자가 제공한 Gartner 2026 Eye on Innovation Awards Greater China 사례 자료(Sichuan Bank Co., Ltd, DeepInsight AI Initiative, Banking and Investing, 슬라이드 29)입니다. 회사명과 사례명(영문·중문)으로 공개 자료를 찾았지만 이 사례를 직접 다룬 보도자료·기사·벤더 사례는 확인하지 못했습니다(추가 공개 자료 확인 못 함). Gartner 은행·투자 부문 페이지(https://www.gartner.com/en/about/awards/eye-on-innovation/banking-investing)에는 2026년 수상 결과가 아직 없어 이 노트는 제출·소개된 사례로 적었습니다. 경보 감소율은 원문 안에서 수치가 맞지 않아 건수만 실었습니다. 요약, 사례 재구성, 원문 사례 표는 사례 자료의 내용을 AX Review가 다시 정리한 것입니다. 핵심 메커니즘의 작동 방식, 기술·현업 디테일, JSON 예시, 일정과 판정 기준, 인포그래픽과 표는 새로 작성했습니다. 사례집 수치를 뺀 숫자와 이름은 모두 가상 예시입니다.