목록으로
업무 생산성 개선을 위한 AI 활용
생성형 AI와 규칙 기반 분석을 결합한 의심메일 탐지 AI Agent
메일 목록에서 외부 발신 메일을 자동 식별하고, 브랜드 사칭·피싱 패턴을 규칙 기반으로 1차 탐지한 뒤 애매한 메일만 Chrome 내장 AI(Gemini Nano)로 추가 분석하여 사용자가 메일을 열기 전에 위험 가능성을 시각적으로 알려주는 온디바이스 보안 AI Agent를 구현
🤖 활용 AI 도구
ChatGPT, Chrome Gemini Nano
① 어떤 상황에서 AI를 활용했나요?
1. 기존 현장의 문제점
업무 환경에서는 매일 많은 메일을 수신하며, 그중에는 정상적인 업무 메일뿐 아니라 외부 기관 안내, 광고, 세미나 초청, 결제 알림, 계정 안내 등을 위장한 피싱·사칭메일도 함께 유입될 수 있다.
특히 최근의 피싱메일은 과거처럼 문법이 부자연스럽거나 단순한 스팸 형태에 그치지 않는다. 정상적인 카드사, 은행, 쇼핑몰, 공공기관이 발송한 것처럼 자연스러운 문장을 사용하며 사용자가 메일을 자세히 확인하기 전까지는 정상 메일과 구분하기 어려운 형태가 많다.
2. AI Agent의 필요성
이 문제를 해결하기 위해서는 사용자가 매번 발신자, 제목, 브랜드명, 표현 방식 등을 직접 분석하는 것이 아니라 메일이 화면에 나타나는 순간 자동으로 분석하고 위험 가능성을 알려주는 보조 Agent가 필요하다고 판단하였다.
단순 키워드 필터만 사용하는 경우 다음과 같은 한계가 있다.
긴급, 결제, 로그인, 인증 등의 단어는 피싱메일에도 등장하지만 정상적인 업무 메일에도 자주 사용된다. 따라서 키워드가 포함되었다는 이유만으로 위험메일로 분류하면 오탐이 지나치게 많아진다.
반대로 AI에게 모든 판단을 맡기는 것도 적절하지 않았다.
실제 테스트에서 AI는 매우 자연스럽게 작성된 사칭메일이나 현댸카드처럼 미세하게 변형된 브랜드명을 놓칠 수 있었다. 또한 모든 외부메일을 AI에 전달하면 분석시간과 연산비용이 증가한다.
이에 따라 본 과제에서는 Agent를 다음과 같이 구성하였다.
메일 자동 감지
↓
외부메일 식별
↓
규칙 기반 위험도 분석
↓
명확한 위험 → 즉시 경고
↓
판단이 애매한 메일만 Chrome 내장 AI 분석
↓
최종 결과를 메일 목록에 표시
즉 AI를 사람의 판단을 완전히 대체하는 시스템이 아니라, 기존 규칙 기반 기술의 한계를 보완하고 사용자의 판단을 지원하는 보안 AI Agent로 활용하였다.
3. 정책적 도입 필요성
공공·연구기관에서 생성형 AI를 활용할 때 가장 큰 고려사항 중 하나는 업무정보의 외부 전송 가능성이다.
일반적인 클라우드 LLM을 이용해 메일 제목이나 내용을 외부 서버로 전송할 경우 개인정보, 기관정보, 업무내용 등이 외부 AI 서비스로 전달될 가능성을 함께 검토해야 한다.
본 과제에서는 이 문제를 줄이기 위해 Chrome에서 제공하는 온디바이스 Prompt API 기반 AI를 활용하였다.
AI 모델이 사용자 PC에서 동작하기 때문에 분석을 위해 별도 외부 AI 서버로 메일정보를 전송하지 않는 구조를 지향할 수 있다.
이는 향후 기관에서 생성형 AI를 도입할 때도 중요한 방향이라고 생각한다.
② 어떤 AI를 어떻게 활용했나요?
본 과제에서는 AI를 개발 과정과 실제 서비스 동작 과정의 두 단계에서 활용하였다.
개발 과정에서는 ChatGPT를 AI 개발 협업 도구로 활용하였다
DOM 구조 분석, Chrome Extension Manifest V3 구성, JavaScript 코드 작성, MutationObserver 기반 동적 화면 감지, Chrome Prompt API 연동, 오류 분석 및 개선 작업에 ChatGPT를 활용하였다.
실제 서비스에서는 Chrome 내장 AI를 활용하였다
메일 분석에는 Chrome Prompt API의 LanguageModel을 활용하였다.
사용자가 메일 화면에 접속하면 확장 프로그램이 메일 목록을 자동 감지한다.
그 후 외부메일의 발신자와 실제 제목을 추출하여 우선 규칙 기반 분석을 수행한다.
예를 들어 다음과 같은 요소에 위험 점수를 부여하였다.
브랜드명 변조, 해외결제, 계정 정지, 비밀번호 변경, 긴급 로그인, 본인 미사용 결제, 결제내역 확인, 인증 요청, 즉시 확인, 배송지 오류, 과태료·미납 안내
규칙 점수가 일정 수준 이상이면 AI까지 호출하지 않고 즉시 의심메일로 처리한다.
반대로 규칙만으로 판단하기 어려운 메일은 여러 건을 Batch로 묶어 AI에 전달한다.
AI에는 다음과 같은 역할을 부여하였다.
발신자와 제목을 분석하여
계정 탈취 가능성, 기업 및 기관 사칭, 로그인·인증 유도, 금융사기 가능성, 악성 스팸 가능성 등을 판단
분석 결과는 JSON 형태로 반환받아 메일별로 적용하였다.
③ 활용 결과 어떤 변화가 있었나요?
가장 큰 변화는 사용자가 메일을 직접 열어보기 전에 메일 목록 단계에서 위험 가능성을 인지할 수 있게 되었다는 점이다.
의심메일로 판단되면 해당 메일 행 전체를 옅은 붉은색으로 표시하고,
🚨 위험 메일
배지를 추가하였다.
마우스를 올리면 판단 사유도 확인할 수 있도록 구성하였다.
따라서 기존에는
메일 확인
→ 발신자 확인
→ 제목 확인
→ 본문 확인
→ 사용자가 위험 여부 판단
해야 했다면,
개선 후에는
메일 목록 진입
→ Agent 자동 분석
→ 의심메일 즉시 시각적 표시
→ 사용자가 주의하여 확인
하는 방식으로 변화하였다.
④ 나만의 방식 또는 개선 포인트는 무엇인가요?
본 과제의 핵심 차별점은 AI 모델 자체보다 AI가 실제 현장에서 안정적으로 사용할 수 있도록 주변 구조를 설계했다는 점이다.
첫째, AI를 무조건 호출하지 않았다.
명확한 패턴은 규칙 기반으로 즉시 처리하고 애매한 경우에만 AI를 사용하였다.
이를 통해 AI 호출량과 분석시간을 줄이면서 결정적인 공격 패턴에 대해서는 보다 일관된 탐지가 가능하도록 하였다.
둘째, 브랜드 사칭 탐지의 오탐을 실제 테스트를 통해 조정하였다.
⑤ 다른 사람도 따라 할 수 있나요?
본 시스템은 별도의 서버 구축 없이 Chrome Extension 형태로 구현하였기 때문에 배포와 설치가 비교적 단순하다.
기본 구성은 다음과 같다.
manifest.json
↓
Chrome Extension 설정
content.js
↓
화면 감시, 메일 행 탐색, 발신자/제목 추출, 위험메일 시각화
background.js
↓
규칙 기반 분석, Chrome Prompt API 호출, AI 결과 반환
popup.html / popup.js
↓
Gemini Nano 상태 확인
사용자는 확장 프로그램을 설치한 후 Chrome 내장 AI 모델을 최초 한 번 준비하면 된다.
AI 모델이 준비되지 않은 상태에서도 규칙 기반 탐지는 동작한다.
또한 위험 키워드와 브랜드 목록은 코드 내부의 배열로 관리하고 있기 때문에 기관별 환경에 맞게 쉽게 수정할 수 있다.
즉 본 과제는 하나의 특정 메일을 탐지하는 일회성 프로그램이 아니라,
메일 UI Adapter
+
규칙 기반 탐지 Engine
+
온디바이스 AI Engine
+
사용자 경고 UI
로 구성된 재사용 가능한 구조라고 볼 수 있다.
1. 기존 현장의 문제점
업무 환경에서는 매일 많은 메일을 수신하며, 그중에는 정상적인 업무 메일뿐 아니라 외부 기관 안내, 광고, 세미나 초청, 결제 알림, 계정 안내 등을 위장한 피싱·사칭메일도 함께 유입될 수 있다.
특히 최근의 피싱메일은 과거처럼 문법이 부자연스럽거나 단순한 스팸 형태에 그치지 않는다. 정상적인 카드사, 은행, 쇼핑몰, 공공기관이 발송한 것처럼 자연스러운 문장을 사용하며 사용자가 메일을 자세히 확인하기 전까지는 정상 메일과 구분하기 어려운 형태가 많다.
2. AI Agent의 필요성
이 문제를 해결하기 위해서는 사용자가 매번 발신자, 제목, 브랜드명, 표현 방식 등을 직접 분석하는 것이 아니라 메일이 화면에 나타나는 순간 자동으로 분석하고 위험 가능성을 알려주는 보조 Agent가 필요하다고 판단하였다.
단순 키워드 필터만 사용하는 경우 다음과 같은 한계가 있다.
긴급, 결제, 로그인, 인증 등의 단어는 피싱메일에도 등장하지만 정상적인 업무 메일에도 자주 사용된다. 따라서 키워드가 포함되었다는 이유만으로 위험메일로 분류하면 오탐이 지나치게 많아진다.
반대로 AI에게 모든 판단을 맡기는 것도 적절하지 않았다.
실제 테스트에서 AI는 매우 자연스럽게 작성된 사칭메일이나 현댸카드처럼 미세하게 변형된 브랜드명을 놓칠 수 있었다. 또한 모든 외부메일을 AI에 전달하면 분석시간과 연산비용이 증가한다.
이에 따라 본 과제에서는 Agent를 다음과 같이 구성하였다.
메일 자동 감지
↓
외부메일 식별
↓
규칙 기반 위험도 분석
↓
명확한 위험 → 즉시 경고
↓
판단이 애매한 메일만 Chrome 내장 AI 분석
↓
최종 결과를 메일 목록에 표시
즉 AI를 사람의 판단을 완전히 대체하는 시스템이 아니라, 기존 규칙 기반 기술의 한계를 보완하고 사용자의 판단을 지원하는 보안 AI Agent로 활용하였다.
3. 정책적 도입 필요성
공공·연구기관에서 생성형 AI를 활용할 때 가장 큰 고려사항 중 하나는 업무정보의 외부 전송 가능성이다.
일반적인 클라우드 LLM을 이용해 메일 제목이나 내용을 외부 서버로 전송할 경우 개인정보, 기관정보, 업무내용 등이 외부 AI 서비스로 전달될 가능성을 함께 검토해야 한다.
본 과제에서는 이 문제를 줄이기 위해 Chrome에서 제공하는 온디바이스 Prompt API 기반 AI를 활용하였다.
AI 모델이 사용자 PC에서 동작하기 때문에 분석을 위해 별도 외부 AI 서버로 메일정보를 전송하지 않는 구조를 지향할 수 있다.
이는 향후 기관에서 생성형 AI를 도입할 때도 중요한 방향이라고 생각한다.
② 어떤 AI를 어떻게 활용했나요?
본 과제에서는 AI를 개발 과정과 실제 서비스 동작 과정의 두 단계에서 활용하였다.
개발 과정에서는 ChatGPT를 AI 개발 협업 도구로 활용하였다
DOM 구조 분석, Chrome Extension Manifest V3 구성, JavaScript 코드 작성, MutationObserver 기반 동적 화면 감지, Chrome Prompt API 연동, 오류 분석 및 개선 작업에 ChatGPT를 활용하였다.
실제 서비스에서는 Chrome 내장 AI를 활용하였다
메일 분석에는 Chrome Prompt API의 LanguageModel을 활용하였다.
사용자가 메일 화면에 접속하면 확장 프로그램이 메일 목록을 자동 감지한다.
그 후 외부메일의 발신자와 실제 제목을 추출하여 우선 규칙 기반 분석을 수행한다.
예를 들어 다음과 같은 요소에 위험 점수를 부여하였다.
브랜드명 변조, 해외결제, 계정 정지, 비밀번호 변경, 긴급 로그인, 본인 미사용 결제, 결제내역 확인, 인증 요청, 즉시 확인, 배송지 오류, 과태료·미납 안내
규칙 점수가 일정 수준 이상이면 AI까지 호출하지 않고 즉시 의심메일로 처리한다.
반대로 규칙만으로 판단하기 어려운 메일은 여러 건을 Batch로 묶어 AI에 전달한다.
AI에는 다음과 같은 역할을 부여하였다.
발신자와 제목을 분석하여
계정 탈취 가능성, 기업 및 기관 사칭, 로그인·인증 유도, 금융사기 가능성, 악성 스팸 가능성 등을 판단
분석 결과는 JSON 형태로 반환받아 메일별로 적용하였다.
③ 활용 결과 어떤 변화가 있었나요?
가장 큰 변화는 사용자가 메일을 직접 열어보기 전에 메일 목록 단계에서 위험 가능성을 인지할 수 있게 되었다는 점이다.
의심메일로 판단되면 해당 메일 행 전체를 옅은 붉은색으로 표시하고,
🚨 위험 메일
배지를 추가하였다.
마우스를 올리면 판단 사유도 확인할 수 있도록 구성하였다.
따라서 기존에는
메일 확인
→ 발신자 확인
→ 제목 확인
→ 본문 확인
→ 사용자가 위험 여부 판단
해야 했다면,
개선 후에는
메일 목록 진입
→ Agent 자동 분석
→ 의심메일 즉시 시각적 표시
→ 사용자가 주의하여 확인
하는 방식으로 변화하였다.
④ 나만의 방식 또는 개선 포인트는 무엇인가요?
본 과제의 핵심 차별점은 AI 모델 자체보다 AI가 실제 현장에서 안정적으로 사용할 수 있도록 주변 구조를 설계했다는 점이다.
첫째, AI를 무조건 호출하지 않았다.
명확한 패턴은 규칙 기반으로 즉시 처리하고 애매한 경우에만 AI를 사용하였다.
이를 통해 AI 호출량과 분석시간을 줄이면서 결정적인 공격 패턴에 대해서는 보다 일관된 탐지가 가능하도록 하였다.
둘째, 브랜드 사칭 탐지의 오탐을 실제 테스트를 통해 조정하였다.
⑤ 다른 사람도 따라 할 수 있나요?
본 시스템은 별도의 서버 구축 없이 Chrome Extension 형태로 구현하였기 때문에 배포와 설치가 비교적 단순하다.
기본 구성은 다음과 같다.
manifest.json
↓
Chrome Extension 설정
content.js
↓
화면 감시, 메일 행 탐색, 발신자/제목 추출, 위험메일 시각화
background.js
↓
규칙 기반 분석, Chrome Prompt API 호출, AI 결과 반환
popup.html / popup.js
↓
Gemini Nano 상태 확인
사용자는 확장 프로그램을 설치한 후 Chrome 내장 AI 모델을 최초 한 번 준비하면 된다.
AI 모델이 준비되지 않은 상태에서도 규칙 기반 탐지는 동작한다.
또한 위험 키워드와 브랜드 목록은 코드 내부의 배열로 관리하고 있기 때문에 기관별 환경에 맞게 쉽게 수정할 수 있다.
즉 본 과제는 하나의 특정 메일을 탐지하는 일회성 프로그램이 아니라,
메일 UI Adapter
+
규칙 기반 탐지 Engine
+
온디바이스 AI Engine
+
사용자 경고 UI
로 구성된 재사용 가능한 구조라고 볼 수 있다.
