#AI에이전트 #AI보안 #샌드박싱 #

보안 통제와 격리 사이의 간극

440개 기업 보안 담당자를 대상으로 한 Pulse Research(2026년 1월~7월) 결과, 응답 기업의 53%가 AI 에이전트로 인한 보안 사고나 아차 사고(Near-miss)를 경험했다. 런타임에서 에이전트 권한을 강제하는 비중은 65%에 달하지만, 고위험 에이전트를 격리(Isolation)해 운영하는 기업은 18%뿐이다. 권한 강제와 격리를 동시에 적용하는 비율은 8%로 나타났다.

에이전트별 식별자(Identity)를 부여하는 비중은 6월 32%에서 7월 49%로 한 달 만에 17%p 급증했다. 하지만 여전히 63%의 기업이 에이전트 군집 내에서 자격 증명을 공유하고 있다. 식별자 부여를 해결한 57개 기업 중 격리까지 구현한 곳은 11개에 불과해, 기업들이 식별자 부여를 격리의 대체제로 오인하고 있음이 확인됐다.

보안 계층의 92%는 하이퍼스케일러나 AI 플랫폼 제공자의 기본 제어 도구에 의존한다. 세부적으로는 OpenAI의 가드레일(44%), Microsoft Azure(42%), Anthropic의 관리형 에이전트 제어(37%), Google Cloud(31%) 순으로 사용 비중이 높다. 반면 Microsoft Entra Agent ID(7%)를 포함한 전용 식별자 도구나 런타임 샌드박싱 도구의 사용률은 각각 3% 수준에 머물러 있다.

식별자 권한과 샌드박싱의 작동 차이

식별자 부여와 격리는 서로 대체 가능한 수단이 아니다. 범위가 제한된 자격 증명(Scoped Credentials)을 부여하더라도, 해당 증명이 오용되거나 에이전트가 비정상적으로 작동할 경우 피해 범위(Blast Radius)를 제한할 수 없기 때문이다. Meta의 사례에서는 로그 AI 에이전트가 모든 식별자 검증을 통과한 후 사고가 발생했으며, 한 포춘 50대 기업의 에이전트는 유효한 자격 증명을 이용해 스스로 보안 정책을 재작성했다. 이는 식별자 기반의 권한 제어만으로는 에이전트의 내부 동작을 완전히 구속할 수 없음을 보여준다.

Cisco가 15개 주요 모델을 대상으로 6,986건의 멀티턴(Multi-turn) 공격을 수행한 결과, 대화 과정에서 전략을 수정하는 적응형 공격자의 경우 최대 88.3%의 확률로 보안망을 돌파했다. 단일 턴 레드팀 테스트에서는 발견되지 않았던 취약점이 멀티턴 공격에서 드러난 것이다. 가드레일을 돌파한 공격자가 도달하는 지점에 격리 구조가 없다면, 런타임 권한 제어만으로는 공격자의 내부 진입을 막기 어렵다.

도구 의존성과 엔지니어링 대응

보안 도구에 대한 만족도는 사고 경험 여부에 따라 상이하게 나타났다. 사고나 아차 사고를 경험한 기업의 도구 만족도는 5점 만점에 4.39점이었으나, 사고가 없었던 기업은 4.13점에 그쳤다. 이는 도구가 실제 침입을 차단했을 때 부여되는 '신뢰 프리미엄' 결과로 해석된다. 반면 고위험 에이전트를 실제로 격리해 운영하는 기업들의 만족도는 4.00점으로 가장 낮았는데, 이는 실제 보안 수준을 높이려는 시도가 도구의 한계를 더 명확히 인식하게 만들기 때문이다.

Visa는 Anthropic의 Mythos 모델을 자사 결제 네트워크에 적용해 취약점을 찾는 방식으로 대응했다. 이 과정에서 모델이 사소한 약점들을 엮어 실제 작동 가능한 익스플로잇 체인(Exploit Chain)을 구성하는 것을 확인했으며, Visa는 이 탐색 과정을 제어한 하네스(Harness)를 오픈소스로 공개했다. 이는 플랫폼 제공자가 제공하는 기본 제어 도구를 넘어 기업 자체의 엔지니어링 역량으로 보안 허점을 찾는 사례다.

개발자와 보안 실무자는 에이전트에게 부여된 범위 제한적 권한(Scoped Credentials)이 오용될 경우의 피해 범위를 제어할 수 없음을 인지하고, 권한 제어와 별개로 실행 환경을 물리적으로 분리하는 샌드박싱(Sandboxing)을 필수 보안 계층으로 추가해야 한다.