Earticle

초록

영어

Approximately 80% of industrial technology leakages are attributed to current or former insiders. However, existing data-loss-prevention (DLP) and signature-based detection systems exhibit limited generalization to novel behavioral patterns and cannot simultaneously consider quantitative behavioral indicators and the latent leakage intent embedded in unstructured text. This study proposes DC-IID (Dual-Channel Insider Intent Detection), an insider anomaly detection model that integrates behavioral sequences and textual intent through a Late Fusion architecture. The contribution of this study does not lie in the algorithmic novelty of its individual components. Bi-LSTM encoders, LoRA fine-tuning, LLM-based classification, and late fusion are all established techniques. Rather, the contribution lies in the problem formulation and the layered design developed for the specific domain of industrial technology leakage: (i) framing behavioral logs (what was done) and communication texts (why it was done) as heterogeneous and complementary information sources with different temporal resolutions, (ii) combining them at the decision level rather than at the feature level, (iii) treating organizational context as a separate post-inference risk calibration layer rather than as an input feature, and (iv) connecting the resulting risk grades to human-in-the-loop review and industrial-security governance procedures. The behavioral channel encodes time-series features extracted from system logs using a bidirectional LSTM. The intent channel employs KoLLaMA-7B, a Korean pretrained LLaMA-family large language model (approximately 7 billion parameters), fine-tuned with LoRA on a Korean industrial-security corpus, to classify communication texts into six intent categories: routine work, dissatisfaction, external contact, data request, resignation intent, and negotiation. Each text is converted into a text-level risk score by weighting the five risk categories with severity coefficients normalized to [0, 1], and the user-level intent score is obtained by taking the maximum of the text-level scores within the same 30-day window, so that a single decisive utterance is not diluted by routine messages. The two risk scores are combined via a learned weighted sum, with an additional bounded calibration term for organizational context such as resignation notice, access privileges, and departmental risk. Organizational context is never used as an input feature of either channel; it enters only through this post-inference calibration layer. Because the calibration weight is limited to γ = 0.10, organizational context alone can never produce a Medium or High risk grade; the raw score therefore ranges over [0, 1.10] and can be equivalently normalized to [0, 1] by a strictly monotone transformation that leaves rankings, AUC, and grade assignments unchanged. Five-fold cross-validation on a development set of 3,000 user sequences and evaluation on a structurally separated synthetic holdout set of 600 sequences (3,600 sequences in total) demonstrated that DC-IID achieves an F1-score of 0.92 (development) and 0.89 (holdout), with an AUC of 0.94 and 0.92 respectively. Cross-validation folds were partitioned at the level of user sequences, which correspond one-to-one with users, so no user appears in both training and evaluation folds. The model outperformed rule-based detection by 39.4% in F1, behavior-only models by 16.5%, and intent-only models by 12.2%, and these differences were observed consistently across all five folds. Because only five folds were available and the folds share four-fifths of their training data, the accompanying p-values and effect sizes are reported as exploratory, supporting evidence rather than as confirmation of superiority. Ablation studies indicate that domain-specific LoRA fine-tuning contributes most significantly to performance, and that the intent channel effectively complements behavioral signals. The scope of validation is deliberately limited. All experiments were conducted on public benchmark data and synthetic scenarios in a controlled setting; no data from an operating company were used, and the holdout set is itself synthetic rather than externally sourced. Robustness of LLM-based intent inference under paraphrasing, indirect expressions, and prompt injection was not measured, and no throughput, concurrency, or GPU utilization benchmarks were conducted. Accordingly, this study reports effectiveness under controlled public and synthetic data rather than validated industrial deployment, and external validity in real operating environments remains future work. Beyond technical validation, the study presents a governance application framework linking the model's outputs to the organization's internal technology-protection responsibility structure prescribed by the Act on Prevention of Divulgence and Protection of Industrial Technology, human resources management, and security education, including an explicit six-stage human-in-the-loop verification procedure and the principle that risk grades constitute investigative prioritization signals rather than determinations of leakage. The statutory Industrial Technology Protection Committee established under the Minister of Trade and Industry is a national deliberative body and is distinguished here from the in-house review arrangements that organizations may adopt.

한국어

산업기술 유출의 약 80%는 전·현직 임직원에 의한 내부자 유출로 보고되고 있으나, 기존 데이터 유출 방지(DLP) 및 시그니처 기반 탐지 체계는 정의된 패턴 외의 변종 행위에 대한 일반화 성능이 낮고, 정량적 행동지표와 비정형 텍스트에 잠재된 유출 의도를 동시에 고려하지 못한다는 한계가 있다. 본 연구는 이러한 한계를 보완하기 위해 행동 시퀀스(Behavioral Sequence)와 텍스트 의도(Textual Intent)를 이중채널로 결합한 내부자 이상행동 탐지 모델 DC-IID(Dual- Channel Insider Intent Detection)를 제안한다. 본 연구의 기여는 Bi-LSTM, LoRA, Late Fusion 등 개별 알고리즘의 신규성에 있지 않다. 본 연구는 산업기술 유출이라는 특정 문제영역에서 (1) ‘무엇을 하였는가(what)’를 담는 행동 신호와 ‘왜 하였는가(why)’를 담는 의도 신호를 시간해상도와 표현공간이 서로 다른 이질적 정보원으로 규정하여 독립적으로 추론하고, (2) 이를 결정 수준(decision level)에서 결합하며, (3) 퇴직 예고·접근권한·부서 위험도 등 조직 컨텍스트를 두 채널의 추론 이후에 작동하는 별도의 위험 보정 계층으로 분리하고, (4) 그 산출물을 Human-in-the-loop 검토 및 산업보안 거버넌스 절차와 연결한 문제정의와 통합 구조에 기여의 초점이 있다. 행동 채널은 시스템 로그로부터 추출한 시계열 특성을 양방향 LSTM으로 인코딩하고, 의도 채널은 산업보안 코퍼스로 LoRA 미세조정한 한국어 LLaMA 계열 대규모 언어모델(KoLLaMA-7B, 약 70억 파라미터)이 6개 범주의 유출 관련 의도를 분류한다. 개별 텍스트의 의도 확률분포는 위험범주 심각도 가중을 거쳐 텍스트 단위 위험점수로 환산되고, 동일 사용자의 30일 윈도우에 속한 텍스트 위험 점수 가운데 최댓값이 사용자 단위 의도 위험점수로 집계된다. 두 채널의 위험점수는 Late Fusion 방식으로 결합되며, 퇴직 예고·접근 권한·부서 위험도 등 조직 컨텍스트가 위험점수를 직접 판정하는 독립 증거가 아니라 두 채널의 판정을 보정하는 항으로 반영된다. 공개 내부자 위협 데이터셋과 시나리오 자료로 구성된 총 3,600건의 사용자 시퀀스(개발셋 3,000건 + 구조적으로 분리된 합성 홀드아웃셋 600건)를 대상으로 개발셋 5-fold 교차검증과 홀드아웃 평가를 수행한 결과, 제안 모델은 F1=0.92, AUC=0.94를 달성하여 룰 기반 대비 F1 기준 39.4% 향상, 행동 단독 대비 16.5% 향상, 의도 단독 대비 12.2% 향상되었으며, 5개 폴드 전반에서 일관된 성능 차이가 관찰되었다. 다만 폴드 수가 5에 불과하고 동일 데이터에서 파생된 폴드 간 독립성 가정에 제약이 있으므로, 본 논문이 보고하는 p-value와 효과크기는 확증적 근거가 아니라 탐색적·보조적 근거로 해석되어야 한다. 또한 본 연구의 검증은 공개 데이터셋과 합성 시나리오로 구성된 통제된 실험환경에서의 유효성 확인에 한정되며, 실제 기업의 장기 운영데이터에 대한 외적 타당성 검증, 대규모 동시 사용자 환경에서의 처리성능 검증, LLM 의도 추론의 강건성 검증은 수행되지 않았다. 나아가 본 연구는 조직 내부의 보안·기술보호 의사결정체계, 인사관리, 보안교육과 연계되는 거버넌스 적용방안을 함께 제시하여, 기술적 탐지와 조직적 통제가 결합된 산업보안 관리체계의 개 념적 모형을 제안한다.

목차

【 요약 】
Ⅰ. 서론
Ⅱ. 이론적 배경 및 선행연구 검토
Ⅲ. 제안모델: 이중채널 내부자 의도탐지 모델(DC-IID)
Ⅳ. 실험 및 검증
Ⅴ. 산업보안 관리체계 적용방안
Ⅵ. 결론 및 시사점
참고문헌
【Abstract】

키워드

저자

• 안광현 [ Ahn, Gwang-Hyun | 세종대학교 컴퓨터공학과 공학박사 ]

참고문헌

발행기관

간행물

표지보기 관심저널 등록

• 간행물명

  한국산업안보연구(구 한국산업보안연구) [Korean Journal of Industrial Security]

• 간기

  연3회

• pISSN

  3140-5576

• eISSN

  3140-5673

• 수록기간

  2009~2026

• 등재여부

  KCI 등재

• 십진분류

  KDC 325 DDC 330