RuleAutoPilot은 사전 위협 인텔리전스 없이도 악성코드 네트워크 트래픽에서 곧바로 배포 가능한 Suricata 탐지 규칙을 생성하는 종단간 에이전트 프레임워크다. 트래픽 캡처에 소량의 보안 관련 트래픽과 대량의 배경 트래픽이 섞여 LLM 추론 품질을 떨어뜨리고 비용을 늘리는 문제를, 알려진 정상 트래픽을 사전에 제거하는 '양성 트래픽 지문 인식' 단계로 해결한다. 구문 오류·미탐·오탐이 있는 규칙은 구조화된 피드백으로 자동 수정되며, 1,296개 악성코드 PCAP 실험에서 실행 기반 검증을 통해 규칙 품질(F1)을 0.443에서 0.539로 끌어올렸다. 오픈웨이트 모델(gpt-oss-120b) 기반으로도 Claude Opus 5를 사용한 Claude Code(F1 0.623)에 근접한 0.524를 달성했고, 백본을 Claude Opus 5로 교체하면 0.656으로 Claude Code를 앞질렀다. 동일 백본에서도 자체 스캐폴드가 더 나은 성능을 보여, 저비용·고성능 자동 규칙 생성이 실전 보안 운영에 실질적 대안이 될 수 있음을 시사한다.

• •사전 위협 인텔리전스 없이 악성코드 트래픽만으로 배포 가능한 Suricata 규칙을 생성하는 에이전트 프레임워크
• •양성 트래픽 지문 인식 단계로 배경 노이즈를 제거해 LLM 추론 품질과 비용 문제 해결
• •1,296개 PCAP 실험에서 실행 기반 검증으로 규칙 품질(F1)을 0.443→0.539로 개선
• •오픈웨이트 gpt-oss-120b로 Claude Opus 5 기반 Claude Code(F1 0.623) 대비 52배 낮은 비용에 근접한 0.524 F1 달성
• •백본을 Claude Opus 5로 교체 시 F1 0.656으로 Claude Code를 40배 적은 토큰으로 능가