AI 에이전트 보안: 스택에서의 위치

AI 에이전트 보안이란 무엇인가?

AI 에이전트 보안은 AI 에이전트가 접근하고 수행할 수 있는 것을 제한하고, 탈취되었을 때 이를 중지하는 제어의 집합입니다. 여기에는 모델, 에이전트가 호출하는 도구와 MCP 서버, 에이전트가 사용하는 ID, 그리고 에이전트가 실행되는 호스트가 포함됩니다.

MITRE ATT&CK의 Campaign C0062는 Claude Code 에이전트와 MCP 도구를 사용해 약 30개 조직을 대상으로 정찰, 익스플로잇, 자격 증명 수집, 유출을 수행한 중국 연계 가능성이 있는 스파이 행위자를 문서화하고 있으며, 사람의 개입은 최소 수준이었습니다. 개발자가 코딩 에이전트를 실행하거나 팀이 에이전트를 Salesforce에 연결하는 경우, 이러한 제어가 탈취된 에이전트가 어디까지 갈 수 있는지를 결정합니다. 이를 올바르게 구현하면 에이전트는 빠르게 더 이상 진행하지 못하게 됩니다.

주요 AI 에이전트 보안 위험은 무엇인가?

주요 AI 에이전트 보안 위험은 목표 탈취, 도구 오용, ID 및 권한 남용, 공급망 침해, 그리고 불량 에이전트이며, 모두 OWASP Top 10 for Agentic Applications 2026의 항목입니다.

EchoLeak (ASI01)은 클릭 한 번 없이도 목표 하이재킹이 가능함을 보여줍니다: National Vulnerability Database (NVD) 기록의 CVE-2025-32711 설명에 따르면, 사용자 상호작용 없이도 권한 없는 공격자가 네트워크를 통해 엔터프라이즈 AI 어시스턴트에서 정보를 유출할 수 있게 한 AI 명령 인젝션이 있었습니다. 이 어시스턴트는 비공개 데이터를 보유하고, 신뢰할 수 없는 콘텐츠를 읽고, 데이터를 외부로 전송할 수 있었습니다. 이러한 기능 중 하나라도 제거하면 유출 경로는 차단됩니다.

대규모의 신원 및 권한 악용(ASI03) 사례인 Salesloft Drift 침해에서 FBI는 UNC6395가 Salesloft의 손상된 OAuth 토큰을 사용해 Drift 애플리케이션을 통해 피해자의 Salesforce 인스턴스에 접근하고 데이터를 유출했다고 보고했습니다. 금융산업규제청(FINRA)은 이 침해가 700개가 넘는 조직에 영향을 미쳤다고 확인했으며, 탈취된 토큰으로 공격자는 Salesforce와 Google Workspace 내에서 Drift를 사칭할 수 있었습니다.

SaaS 앱에 대한 OAuth 토큰을 보유한 모든 에이전트는 동일한 노출에 직면합니다. 공격자가 사용한 것은 탈취된 토큰이지 prompt injection이 아니었기 때문입니다. 이 구분은 AI 에이전트 보안 스택의 어디에 강제 가능한 제어를 배치할지 결정합니다.

AI 에이전트 스택에서 보안은 어디에 속할까요?

보안은 AI 에이전트 보안 스택 전반에 걸쳐 두 종류의 제어에 속합니다. 행동 제어는 에이전트가 무엇을 시도할지 형성하고, 인프라 제어는 에이전트가 무엇을 할 수 있는지 강제합니다. 행동 지침이 실패할 때도 유지되는 경계로서 인프라 계층을 구축하십시오.

규칙은 모든 계층에서 동일합니다. 제어는 에이전트가 자체 자격 증명을 가지고 있더라도 접근하거나 다시 쓸 수 없는 곳에 있어야 합니다.

NIST의 다음 게시물 agentic identity 는 왜 하나의 계층만으로는 부담을 감당할 수 없는지 설명합니다. 모델 전용 가드레일은 아직 에이전트형 보안 과제에 대응할 준비가 되어 있지 않으며, 목표를 추구하는 에이전트는 여러 경로를 탐색하고, 예상치 못한 도구나 데이터에 도달하거나, 권한 상승을 위해 방치된 자격 증명을 찾아낼 수 있습니다.

행동 제어는 에이전트가 무엇을 시도하는지 안내합니다

행동 제어는 에이전트가 유해한 작업을 시도하는 빈도를 줄입니다. 옵션에는 강화된 시스템 프롬프트, 프롬프트 인젝션 필터링 수집 경계에서의 적용, 고영향 작업에 대한 승인 게이트, 그리고 문서화된 거버넌스 정책이 포함됩니다. 모델은 지침과 데이터를 하나의 토큰 스트림으로 읽기 때문에 이러한 제어만으로는 안전한 동작을 보장할 수 없습니다. 

MITRE ATLAS의 OpenClaw 조사 는 누락된 게이트의 대가를 보여줍니다. 오래되고 신뢰할 수 없는 메모리가 에이전트에 영향을 준 경우에도 자격 증명 사용 및 외부 데이터 전송을 포함한 파괴적 작업에 승인이 필요하지 않았습니다. 이러한 작업에는 사람의 승인을 유지하되, 승인자의 신원을 에이전트의 신원에 바인딩해야 합니다. 이는 National Cybersecurity Center of Excellence (NCCoE) 개념 문서 에서 제기하는 미해결 문제입니다.

인프라 제어는 에이전트가 무엇을 할 수 있는지 결정합니다

인프라 제어는 AI 에이전트 인프라 스택 전반에서 에이전트의 실제 도달 범위를 설정합니다. 각 에이전트에 고유한 비인간 신원 을(를) 부여하고 수명이 짧고 범위가 제한된 자격 증명을 사용하십시오. 허용 목록에 있는 도구와 API로만 제한하십시오. 이를 샌드박스 실행 으로 제한하고 기본 거부 아웃바운드 네트워킹을 적용하십시오. MCP 서버가 토큰 대상(audience)을 검증하도록 요구하고, 서명되고 신원에 연결된 작업 로그를 유지하십시오. 에이전트가 완전히 탈취되더라도 이러한 한계를 초과할 수는 없습니다.

NIST의 초안 Cyber AI Profile, NIST IR 8596, 는 팀에 다음과 같은 신원 규칙을 제공합니다. “각 AI 에이전트에 고유한 신원과 자격 증명을 할당하고, 권한 있는 사용자와 동일한 보안 예방 조치로 취급하라.” NIST IR 8587 은 에이전트가 시스템, 데이터, 도구 또는 API에 접근하기 위해 서명된 토큰을 사용할 때마다 해당 토큰 보호 지침을 적용합니다.

도구 계층에서, MCP 보안 은 MCP 인증 사양 에서 시작되며, 이 사양은 모든 MCP 서버가 액세스 토큰이 의도된 대상(audience)으로서 해당 서버를 위해 특별히 발급되었는지 검증하도록 요구합니다. 이 검사를 건너뛰면 서버는 사양의 보안 요구 사항이 다루는 confused deputy 공격에 노출됩니다.

승인 게이트도 변조로부터 동일한 보호가 필요합니다: CVE-2026-25253 에서는 OpenClaw 조사에 문서화된 바와 같이, 에이전트의 로컬 게이트웨이에 대한 크로스 사이트 요청 위조로 인해 사용자 확인을 비활성화하는 구성 변경이 발생했습니다. 승인 게이트는 에이전트와 이를 탈취한 누구도 해당 스위치에 도달할 수 없을 때에만 인프로 간주됩니다. AI 에이전트를 개별적으로 어떻게 보호할지 결정하기 전에 이러한 경계를 AI 에이전트 아키텍처에 매핑하십시오. 각 에이전트는 자신이 접하는 계층 중 가장 약한 경계를 상속받습니다.

AI 에이전트를 어떻게 보호해야 할까요?

AI 에이전트를 보호하려면 이를 인벤토리화하고, 각 신원의 범위를 지정하고, 허용 목록 지정 도구를 적용하고, 실행을 샌드박싱하고, 작업을 로깅하고, 되돌릴 수 없는 단계를 게이트해야 합니다. 이러한 AI 에이전트 보안 모범 사례 는 CISA의 2026년 5월 지침 과 일치하며, 이 지침은 Australian Signals Directorate의 Australian Cyber Security Centre (ASD’s ACSC) 및 국제 파트너와 함께 작성되었습니다: “위험이 낮고 민감하지 않은 에이전트형 AI 사용 사례부터 시작하라” 그리고 “특히 민감한 데이터나 중요 시스템에 대해서는 광범위하거나 무제한적인 액세스 권한 부여를 피하라.”

1. 인벤토리 및 식별: 중앙 신원 저장소에는 로컬에 배포되었거나 IT 검토 외부에 있는 에이전트가 거의 나타나지 않으므로, 검색부터 시작하십시오. 내부 서비스에 대한 액세스를 부여하는 MCP 구성 파일이 있는 개발자 워크스테이션을 포함한 다음, 각 에이전트마다 수명이 짧고 범위가 제한된 토큰을 사용하는 하나의 신원을 프로비저닝하십시오.
2. 실행 제한: 필요한 도구와 API를 허용 목록에 추가하고, 프로덕션 전에 불필요한 기능을 제거하고, 실행을 샌드박싱하고, 기본 거부 송신 정책을 적용하고, 세션에 대해서만 자격 증명을 주입하십시오.
3. 작업 기록 및 게이팅: 쓰기 액세스 권한을 부여하기 전에 프롬프트, 검색된 컨텍스트, 도구 호출 및 출력에 대한 서명되고 신원에 연결된 로그를 활성화하십시오. 파괴적이거나 되돌릴 수 없는 작업에는 명시적 확인을 요구하고, 단계적 삭제 또는 되돌릴 수 있는 삭제를 사용하십시오.
4. 범위 확장 전 재현: 격리된 프로덕션 클론에서 기록된 작업을 다시 실행하고, 처음 세 단계가 마련되고 재현이 블래스트 반경 상한 내에 머무른 후에만 에이전트의 권한을 높이십시오.

모든 에이전트에 이러한 제어가 최대 강도로 필요한 것은 아닙니다. 적절한 깊이는 각 에이전트가 보유한 권한에 따라 달라집니다.

각 에이전트의 권한에 맞게 제어를 조정하십시오

각 작업 클래스가 지닌 권한에 맞춰 제어 깊이를 조정하십시오. AWS의 Agentic AI Security Scoping Matrix는 Cloud Security Alliance (CSA)가 이를 확장한 바와 같이 2025년 12월에 에이전트를 행위성과 자율성에 따라 분류합니다.

CSA의 확장 모델은 각 에이전트를 권한 수준과 위험 노출도에 따라, 읽기 전용 및 저위험부터 읽기-쓰기 및 고위험까지 점수화합니다. 자체적으로 작동하는 읽기 전용 에이전트는 승인이 필요한 쓰기 가능 에이전트와는 다른 위험을 수반합니다. 

AI 에이전트 아키텍처 전반에서 작업 클래스별로 이 모델을 적용하면, 에이전트는 로그를 독립적으로 읽을 수 있고 모든 쓰기, 전송, 지출 또는 삭제는 사람의 대기를 거치게 할 수 있습니다. 격리는 손상된 에이전트가 정확히 어디까지 접근할 수 있는지 아는 데 달려 있으므로, 지금 각 에이전트의 범위를 기록하십시오.

손상된 AI 에이전트를 어떻게 찾아내고 격리할 수 있을까요?

의미론적, 인프라, ID 지표를 통해 손상된 에이전트를 찾아낸 다음, 증거를 보존하는 순서로 격리하십시오. 캡처 전에 pod를 종료하면 나머지 체인을 잃게 됩니다.

의미론적 지표에는 원래 요청과 도구 호출 매개변수 간의 불일치 또는 선언된 도구 호출과 실제 실행된 내용 간의 불일치가 포함됩니다. 요약 작업이 외부로 나가는 호출로 끝나는 것도 또 다른 지표입니다. 인프라 지표는 AI 에이전트 인프라 스택에서 비롯됩니다. 추론 컨테이너가 셸을 생성하거나, 패키지를 설치하거나, 익숙하지 않은 경로에 쓰기를 수행하거나, 예상치 못한 외부 연결을 여는 경우입니다. ID 지표에는 승인된 계보 외부에서 발급된 자격 증명, 다른 커넥터를 통해 재시도된 차단된 호출, 비활성화된 로깅 또는 대량으로 도착하는 승인이 포함됩니다.

지표가 트리거되면 다음을 실행하십시오. 사고 대응 단계를 다음 순서로:

1. 동결 및 캡처: 에이전트의 권한을 취소하고 실행을 함께 중지하십시오. 종료 전에 타임스탬프가 포함된 프롬프트 기록, 출처 정보가 포함된 검색 컨텍스트, 도구 호출 시퀀스, ID 가정, 다운스트림 에이전트 호출, 그리고 대규모 언어 모델(LLM) 출력 추적을 캡처하십시오. 커널 수준 캡처는 계속 실행 상태로 유지하십시오.
2. 권한 취소 및 격리: 동시 세션과 MCP 연결은 동시에 차단해야 하므로 전체 ID에 대해 토큰, API 키 및 인증서를 취소하십시오. 호스트, 컨테이너 또는 워크로드를 격리하고 ID 그래프를 통해 영향 범위를 파악하십시오. 
3. 신뢰 격리: ID 기록은 보존하면서 에이전트의 도구 및 프로토콜 접근 권한을 제거하십시오. 해당 에이전트와 신뢰 관계를 유지하는 다운스트림 시스템에 알리십시오.
4. 근절 및 재프로비저닝:정상으로 확인된 모델 버전과 구성을 복원하고, 실패한 경계를 수정한 뒤, 환경이 깨끗하다고 검증된 후에만 새 자격 증명을 발급하십시오. 심각도가 높은 사례에는 인간 검증을 요구하십시오.

필요해지기 전에 격리를 연습하십시오: CSA CISO Community의 긴급 지침은(는) 제3자를 공격하는 불량 에이전트를 포함한 에이전트형 AI 테이블탑 연습을 권장합니다. 에이전트 사고가 매번 동일한 방식으로 처리되도록 각 단계를 아래 프레임워크 중 하나에 매핑하십시오.

어떤 AI 에이전트 보안 프레임워크가 적용될까요?

각 프레임워크를 그것이 답하는 질문에 맞춰 보십시오. OWASP Top 10 for Agentic Applications 2026은 무엇이 잘못될 수 있는지를 명시하고, MITRE ATLAS는 공격자가 이를 어떻게 수행하는지를 보여주며, CSA MAESTRO는 위협 모델을 구조화하고, NIST IR 8596 및 IR 8587은 ID 및 토큰 규칙을 설정하며, CISA의 2026년 5월 지침은 도입 위험의 범위를 정합니다. 규정 준수 프로그램 내에서 에이전트형 AI를 보호하기 위해서는 ISO/IEC 42001과 EU AI Act가 거버넌스의 틀을 제공합니다.

OWASP Top 10 for Agentic Applications 및 Agent Control Standard

2025년 12월 9일에 발표된 OWASP Top 10 for Agentic Applications 2026은 보안 엔지니어링 및 AI 플랫폼 팀에 앞서 매핑된 10가지 에이전트 위험, 즉 목표 하이재킹부터 불량 에이전트까지에 대한 공통 어휘를 제공합니다. 2026년 9월에는 OWASP GenAI Security Project가 Agent Control Standard를 추가하여 해당 지침을 런타임 강제 적용까지 확장했습니다.

MITRE ATLAS

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems)는 ATT&CK와 유사하게 구조화된 AI 시스템 대상 적대자 전술, 기법 및 사례 연구의 지식 베이스이며, 현재는 AI agent context poisoning 및 agent tools를 통한 credential harvesting와 같은 에이전트 특화 기법도 포함합니다. 위협 헌터는 이를 사용해 에이전트 사고를 명명된 기법에 매핑합니다. MITRE는 매월 콘텐츠 릴리스를 게시하며, 2026년 9월 기준 현재 버전은 v2026.09입니다.

CSA MAESTRO 및 AI Controls Matrix

Cloud Security Alliance가 2025년 2월 6일에 발표한, CSA MAESTRO는 에이전트형 AI를 위해 구축된 위협 모델링 프레임워크로, 기반 모델부터 에이전트 생태계까지 에이전트 시스템을 7개 계층으로 분해합니다. 보안 아키텍트는 이를 AI Controls Matrix v1.1과 함께 사용합니다. 이 버전은 2026년 6월 22일에 발표되었으며, 거버넌스, 리스크 및 컴플라이언스(GRC) 매핑을 위한 18개 도메인 전반의 247개 통제 목표를 제공합니다.

NIST IR 8596 및 IR 8587

NIST의 에이전트 지침은 신원 및 토큰에 중점을 두며, 이 두 문서는 서로 다른 단계에 있습니다. 위의 신원 규칙의 기반이 되는 Cyber AI Profile인 IR 8596은 2025년 12월의 초기 예비 초안 상태로 남아 있습니다. 토큰 보호에 관한 IR 8587은 2026년 9월에 최종 확정되었습니다. NCCoE는 IR 8587을 NIST SP 800-207 및 SP 800-63-4와 함께 적용하는 에이전트 신원 및 권한 부여 프로젝트를 제안했습니다.

CISA Agentic AI Guidance

ASD의 ACSC 및 기타 파트너와 함께 2026년 5월 1일에 발표된 CISA의 Careful Adoption of Agentic Artificial Intelligence (AI) Services 가이드는 개발자, 벤더 및 운영자에게 에이전트형 시스템 도입을 위한 모범 사례를 제공합니다. 이 가이드는 권한 확장, 행동 불일치, 불명확한 이벤트 기록을 에이전트형 시스템이 추가하는 위험으로 지목하며, 조직이 보안 모델과 위험 태세에서 에이전트형 AI를 고려할 것을 요구합니다.

ISO/IEC 42001

ISO/IEC 42001은 AI 관리 시스템에 대한 인증 가능한 표준으로, 2023년 12월에 처음 발표되었으며 GRC 팀과 CISO에게 에이전트 프로그램이 운영되는 거버넌스 구조를 제공합니다. 여기에는 에이전트별 통제가 없으므로 위의 기술 프레임워크 중 하나와 함께 사용하십시오.

EU AI Act

The EU AI Act(규정 (EU) 2024/1689)는 적용 범위에 포함되는 AI 시스템의 제공자와 배포자에게 의무 사항이지만, AI 에이전트 범주는 정의하지 않습니다. 에이전트는 이 법에 따라 AI 시스템으로 분류됩니다. 2026 Digital Omnibus는 독립형 시스템에 대한 고위험 의무의 시행 시점을 2027년 12월 2일로 옮겼습니다. 하나의 AI 에이전트 보안 프레임워크를 통제 기준선으로 선택하고, 이 법의 의무를 그 위에 매핑한 다음, 둘 다 프롬프트, 신원, 클라우드 자산, 조사 및 대응을 관리하는 도구와 연결하십시오.

SentinelOne으로 AI 에이전트 보호

에이전트는 기계 속도로 작동합니다. 이를 둘러싼 통제도 에이전트가 접근할 수 없는 위치에서 그 속도를 따라가야 합니다. SentinelOne Prompt Security는 에이전트, MCP 서버 및 프롬프트를 관리하고, Singularity™ Identity는 런타임에 자격 증명 탈취와 권한 상승을 차단합니다. Singularity Endpoint는 에이전트가 실행되는 호스트를 보호하며, Purple AI with Singularity Hyperautomation은 조사와 대응을 가속화합니다.

Prompt Security는 MCP Gateway, 브라우저 확장 프로그램, 보안 플러그인 및 API 통합을 통해 환경 내 모든 AI 에이전트와 MCP 서버를 찾아낸 다음, 각 에이전트가 접하는 모든 커넥터, 도구 및 플러그인을 매핑합니다. 각 에이전트와 MCP 서버의 위험을 점수화하고, 탈옥 시도를 방어하며, 에이전트가 접근하고 수행할 수 있는 작업에 대한 정책을 시행하고, 모든 세션, 작업 및 도구에 대해 검색 가능하고 타임스탬프가 포함된 로그를 유지합니다. Singularity Identity는 측면 이동을 차단하고, 침해된 신원을 비활성화하는 자동화된 조치를 수행하며, Entra ID, Okta, Ping, Duo 및 SecureAuth를 포함한 Active Directory 및 클라우드 ID 공급자 전반에서 취약하거나 노출되었거나 침해된 자격 증명을 지속적으로 스캔합니다.

Singularity Endpoint는 코딩 에이전트와 데스크톱 에이전트가 실행되는 워크스테이션 및 클라우드 워크로드에 Behavioral AI를 적용합니다. 온라인이든 오프라인이든 파일리스 멀웨어, 공급망 공격 및 제로데이 익스플로잇을 실시간으로 차단합니다. 수동 격리 단계를 기다리지 않고 침해된 호스트를 자율적으로 격리할 수 있으며, 1-Click rollback은 무단 변경을 되돌립니다. Singularity Cloud Security의 AI Security Posture Management는 클라우드 계정에서 AI 파이프라인과 모델을 탐지합니다.

Purple AI™ Agentic Investigation은 경고 분석을 수행하고, 증거를 표시하며, 보안 운영 센터(SOC)에 다음에 무엇을 해야 하는지 알려줍니다. IDC의 Business Value 연구에 따르면 고객은 위협을 63% 더 빠르게 식별했고 이를 55% 더 빠르게 조치했습니다. Singularity Hyperautomation은 Singularity Platform에 내장되어 있으며, 위의 격리 단계를 포함한 노코드 대응 워크플로를 실행합니다.

SentinelOne 데모 요청을 통해 팀이 모든 AI 에이전트에 넘을 수 없는 경계를 어떻게 설정할 수 있는지 확인해 보십시오.

AI 기반 사이버 보안 활용하기

실시간 감지, 머신 속도 대응, 전체 디지털 환경에 대한 종합적인 가시성을 통해 보안 태세를 강화하세요.

데모 신청하기

결론

모든 AI 에이전트 보안 통제는 하나의 규칙을 따릅니다. 즉, 에이전트가 자체 자격 증명을 사용하더라도 접근하거나 다시 쓸 수 없는 곳에 존재해야 합니다. 행동 기반 통제는 에이전트가 유해한 시도를 하는 빈도를 줄입니다. 인프라 통제는 탈취된 에이전트가 수행할 수 있는 작업에 대한 확실한 한계를 설정합니다. 먼저 인벤토리부터 시작하십시오. 존재 자체를 모르는 에이전트는 범위를 정하거나, 게이트를 적용하거나, 격리할 수 없기 때문입니다.

그다음에는 각 에이전트의 통제를 해당 에이전트가 보유한 권한에 맞추고, 실제로 격리가 필요해지기 전에 그 범위를 기록하며, 사고가 대응을 강제하기 전에 대응 절차를 연습하십시오. 프레임워크는 이미 위험을 명시하고 있으며, 이를 억제하는 통제도 이미 존재합니다. 지금 경계를 구축하면 침해된 에이전트는 팀이 미리 설정한 제한에 부딪히게 됩니다.