예측 불가능한 에이전트 행동과 인프라 계층의 제어 필요성

기존의 가드레일 시스템은 개별 요청이 정책에 부합하는지만 확인하는 무상태(Stateless) 제어 방식에 의존하여 에이전트의 전체적인 행동 패턴을 감지하지 못했다. 에이전트가 개별적으로는 정당한 호출을 수행하더라도, 전체 시퀀스 관점에서는 예산을 초과하는 주문을 반복하거나 잘못된 계좌로 자금을 이체하는 위험한 패턴을 생성할 수 있다. McKinsey는 'State of AI Trust in 2026' 보고서를 통해 조직의 약 80%가 이미 AI 에이전트의 위험한 행동을 경험했으며, 이러한 보안 및 리스크 우려가 에이전트 AI 확장의 최대 장벽이라고 분석했다.

Amazon Bedrock AgentCore는 보안 제어 권한을 개별 개발팀이 구현하는 애플리케이션 코드가 아닌 인프라 계층에 배치하여 모든 에이전트에 일관되게 강제하는 설계를 도입했다. AgentCore 게이트웨이는 MCP(Model Context Protocol) 서버, LLM, 에이전트, 지식 베이스로 트래픽을 라우팅하는 완전 관리형 서버리스 진입점 역할을 수행한다. 모든 AI 트래픽이 이 게이트웨이를 통과하므로, 에이전트의 내부 로직이나 프롬프트와 관계없이 인프라 수준에서 결정론적인 제한 사항을 적용할 수 있다. 이는 보안 승인 프로세스를 개별 에이전트 단위의 협상이 아닌 플랫폼 차원의 표준화된 관리 체계로 전환하는 기반이 된다.

Dogwood 기반의 시계열 정책(Temporal Policies)을 통한 시퀀스 제어

Amazon Bedrock은 Cedar 정책 언어를 기반으로 구축된 AI 에이전트 전용 오픈소스 정책 언어인 Dogwood를 도입하여 시계열 정책(Temporal Policies) 기능을 구현했다. Dogwood는 Apache 2.0 라이선스로 제공되어 정책 평가 과정의 투명성을 보장하며, Cedar의 기본 기능에 속도 제한, 시간 윈도우, 전제 조건 단계, 에스컬레이션 트리거와 같은 시간적 구성 요소를 추가했다. 이를 통해 정책 엔진은 단일 요청을 독립적으로 판단하지 않고, 해당 세션 내에서 에이전트가 이전에 수행한 액션들의 시퀀스를 분석하여 다음 호출의 허용 여부를 결정한다.

구체적인 제어 사례로, 정책 엔진은 이전 호출에서 반환된 값과 현재 호출의 입력 값이 일치하는지 확인하여 데이터 흐름의 정합성을 검증하고 잘못된 계좌로의 이체를 차단한다. 또한 세션 내에서 에이전트가 소비한 누적 금액을 실시간으로 합산하여, 개별 요청이 승인 임계값 아래에 있더라도 전체 예산에 도달하면 다음 구매 요청을 즉시 거부한다. 특정 작업들이 정의된 순서대로 수행되었는지 확인하거나, 고위험 액션 실행 전 세션 내에 기록된 인간의 승인 단계가 존재하는지를 필수 조건으로 설정할 수 있다. 이러한 제어는 에이전트의 코드 외부인 게이트웨이 계층에서 실행되므로, 에이전트가 프롬프트를 통해 정책 로직을 우회하거나 추론하여 무력화하는 것이 불가능하다.

게이트웨이 속도 제한(Rate Limiting)을 통한 비용 및 자원 거버넌스

AgentCore 게이트웨이는 사용자별 요청 수, 모델별 처리 토큰 수, 연결 유지 시간을 직접 제한하는 상한선 설정 기능을 제공하여 에이전트의 자원 과소비 리스크를 차단한다. 요청 수 제한은 에이전트가 도구 호출 실패 시 무한히 반복하는 재시도 루프로 인해 트래픽이 폭증하는 상황을 방지한다. 토큰 제한은 복잡한 추론이 필요한 작업에서 에이전트가 과도한 토큰을 소비하여 비용을 급증시키는 사례를 억제한다. 연결 유지 시간 제한은 실제 트래픽은 적지만 세션을 길게 점유하는 리서치 작업이 시스템 자원을 고갈시키는 것을 막는다.

이러한 제한 설정은 기업이 기존에 사용하던 OAuth 또는 IAM ID를 연동하여 사용자, 팀, 도구, 모델별로 서로 다른 용량 상한선을 구성할 수 있도록 지원한다. 측정 기준이 되는 시간 윈도우는 초 단위와 분 단위로 세분화하여 적용되며, 설정 즉시 에이전트 코드 수정 없이 실시간으로 반영된다. Forrester는 'The State Of Agentic AI In 2026'에서 에이전트 AI가 규모를 확장하지 못하는 핵심 이유로 비용 예측 불가능성을 꼽았는데, 게이트웨이 수준의 속도 제한은 에이전트의 동작 방식에 관계없이 물리적인 비용 상한선을 제공함으로써 이 문제를 해결한다. 플랫폼 팀은 이제 스로틀링 로직을 직접 개발하는 대신 구성(Configuration)을 통해 용량 할당을 관리한다.

결정론적 거버넌스 체계로의 전환과 적용 기준

AgentCore의 거버넌스 체계는 '기본 거부(Deny by Default)' 원칙을 따르며, 모든 판단을 결정론적으로 수행하여 보안 책임자가 자율 시스템의 경계를 확신할 수 있게 한다. 차단된 모든 호출은 호출 당시의 전체 컨텍스트가 포함된 로그로 기록되어, 검토자가 단순히 거부 결과뿐만 아니라 어떤 정책 조건이 충족되지 않았는지 구체적인 이유를 분석할 수 있다. 이는 에이전트의 자율적 행동을 신뢰하는 방식에서 벗어나, 인프라가 설정한 물리적 경계가 세션 전체 과정에서 유지됨을 보장하는 구조다.

에이전트 제어 설계를 위해 조직은 아래의 [무상태 제어 vs 시계열 제어 적용 범위 비교 기준]을 통해 가드레일 전략을 선택해야 한다.

- **단일 요청 기반 무상태(Stateless) 제어**: '누가 이 도구를 호출할 수 있는가', '입력값에 금지어가 포함되었는가'와 같이 요청 단일 건의 정당성만으로 판단 가능한 권한 부여 및 필터링 단계에 적용한다.

- **세션 시퀀스 기반 시계열(Temporal) 제어**: '이전 단계의 결과값이 현재 입력값과 일치하는가', '세션 누적 비용이 예산을 초과했는가', '필수 승인 단계가 선행되었는가'와 같이 액션의 순서와 누적 상태가 중요한 비즈니스 로직 검증 단계에 적용한다.

보안 및 비용 가드레일을 개별 에이전트의 애플리케이션 코드에서 분리하여 인프라 계층에서 결정론적으로 강제함으로써 운영 신뢰성을 확보해야 한다.