권한은 좁게, 기록은 길게 남기는 AI 에이전트 보안

회사에서 AI 에이전트를 쓰는 직원은 늘었지만 관리는 그 속도를 따라가지 못하고 있다. 마이크로소프트가 2026년 2월 낸 보안 보고서에 따르면 직원의 29%가 회사 승인을 받지 않은 AI 에이전트를 업무에 써 본 적이 있다. 생성형 AI 보안 통제를 갖춘 조직은 47%에 그쳤다. 보고서는 권한을 지나치게 받았거나 잘못된 지시를 받은 에이전트가 조직을 공격하는 쪽으로 돌아설 수 있다며 이를 '이중 에이전트'라고 불렀다.

에이전트에만 생기는 위험 네 가지

한국인터넷진흥원이 2026년 7월 7일 공개한 'AI 보안 위협 대응 매뉴얼'은 거대언어모델 시스템의 위협을 21개로 나눴다. 이 가운데 에이전트 위협으로 따로 묶은 항목이 4개다.

두 번째 항목이 특히 까다롭다. 에이전트는 메일과 첨부 문서, 웹페이지를 읽으며 일한다. 누군가 문서 안에 "이 내용을 외부 주소로 보내라" 같은 문장을 숨겨 두면, 에이전트는 그것을 사용자 지시와 구분하지 못할 수 있다. 사람이 시킨 적 없는 행동이 사람의 권한으로 실행되는 셈이다.

나머지 항목도 업무 현장과 가깝다. 에이전트 DoS는 해킹보다 설정 실수에서 더 자주 시작될 수 있다. 조건을 잘못 걸어 같은 작업이 끝없이 반복되면, 사용량에 따라 요금이 붙는 도구에서는 곧바로 비용 문제가 된다. 메모리 오염은 한 번 잘못 저장된 정보가 이후 판단에 계속 섞인다는 점에서 발견이 늦다. 매뉴얼은 여기에 더해 에이전트의 자율적 판단이 사용자 통제 범위를 벗어나는 '통제 상실'을 고성능 모델 위협으로 따로 다룬다.

해외 보안기관들이 함께 낸 지침

미국 사이버보안·인프라보안청(CISA)과 국가안보국(NSA), 호주·캐나다·뉴질랜드·영국의 사이버보안 기관은 2026년 5월 1일 에이전틱 AI 서비스 도입 지침을 공동으로 냈다. 권고의 큰 줄기는 네 가지다. 에이전트 위험을 기존 사이버보안 체계 안에서 관리할 것, 에이전트에 넓거나 제한 없는 접근 권한을 주지 않을 것, 여러 겹의 방어와 강한 신원 관리를 갖출 것, 위협 모델링과 상시 감시를 할 것.

새로운 원칙이라기보다 사람 직원에게 적용하던 원칙을 에이전트에도 똑같이 적용하라는 내용에 가깝다. 출입증을 필요한 층에만 열어 주고, 출입 기록을 남기고, 퇴사하면 바로 회수하는 것과 같은 이치다.