#AI에이전트 #에이전트보안 #샌드박스 #

보안 통제 현황과 사고 발생률

조사 대상 기업의 53%가 이미 AI 에이전트 시스템을 프로덕션 환경에서 운영 중이며, 27%는 파일럿 또는 제한적 배포 단계에 있다. 에이전트의 실제 운영 환경 진입 속도에 맞춰 보안 노출 범위도 함께 확장됐다. 전체 조직의 53%가 에이전트 관련 보안 이벤트를 경험했으며, 이 중 19%는 실제 침해 사고로 확인됐고 38%는 피해 발생 전 차단된 '아차 사고(near-miss)'로 분류됐다.

통제 계층의 불균형은 관찰과 권한 부여에 비해 실제 피해를 제한하는 '격리' 단계에서 두드러진다. 런타임에서 범위가 지정된 권한(scoped permissions)을 강제하는 기업은 65%, 에이전트 활동을 모니터링하고 로그를 남기는 기업은 56%에 달한다. 반면, 고위험 에이전트를 샌드박스 등에 격리해 운영하는 기업은 18%에 불과했다. 프로덕션 환경에서 에이전트를 운영하는 기업만으로 범위를 좁혀도 격리 강제 비율은 21%였으며, 권한 강제와 격리를 동시에 적용한 사례는 8%에 그쳤다.

심층 방어(defense-in-depth) 관점에서 보면 현재의 보안 계층 순서는 역전된 상태다. 보안 운영 센터(SOC)와 최고정보보호책임자(CISO) 수준에서 관찰은 '무슨 일이 일어났는가'를 알려주고, 강제는 '사고를 예방'하는 수단이다. 하지만 예방 조치가 실패했을 때 피해 범위(blast radius)를 물리적으로 제한하는 것은 격리 단계다. 현재 기업들은 감시와 권한 설정이라는 상위 계층은 구축했으나, 정작 최후의 보루인 격리 계층은 비워둔 '격리 간극(containment gap)' 상태에 놓여 있다.

ID 관리 체계와 보안 스택 구성

에이전트별 개별 ID 부여 비율은 49%로 나타났으나, 실제 운영 중인 플릿(fleet) 내에서 자격 증명(credential)을 공유하는 사례는 63%에 달한다. 개별 에이전트에게 범위가 지정된 관리형 ID를 부여하면서 동시에 플릿 내 자격 증명 공유가 전혀 없는 깨끗한 상태를 유지하는 기업은 29%뿐이다. ID 관리 체계가 개선되고는 있으나, 여전히 많은 기업이 편의성을 위해 자격 증명을 공유하는 구조적 취약점을 안고 있다.

보안 스택의 구성은 모델 제공사나 하이퍼스케일러(hyperscaler)가 제공하는 네이티브 도구에 압도적으로 의존하고 있다. 주요 보안 계층을 사용하는 기업의 92%가 이들의 도구를 지목했다. 세부적으로는 OpenAI의 가드레일(44%), Microsoft Azure(42%), Anthropic의 관리형 에이전트 컨트롤(37%), Google Cloud(31%) 순으로 활용도가 높았다. 이는 기업들이 별도의 전문 보안 솔루션을 도입하기보다 AI 모델을 공급받는 플랫폼의 기본 보안 기능을 그대로 사용하는 경향이 강함을 보여준다.

방어 체계의 신뢰도와 교체 의향

AI를 활용한 공격자가 방어 체계보다 앞서 있다고 믿는 기업의 비중은 30%로, 방어 체계가 우위에 있다고 보는 비중과 동일한 수준이다. 보안 도구에 대한 만족도 점수는 5점 만점에 4.29점으로 역대 최고치를 기록했음에도 불구하고, 향후 12개월 내에 에이전트 보안 도구를 도입, 추가 또는 교체할 계획이 있다는 응답은 74%에 달했다. 이는 현재 사용하는 스택에 만족하면서도, 동시에 이를 교체해야 할 필요성을 느끼는 모순적인 상황을 나타낸다.

실무자는 권한 설정과 모니터링 로그 확보만으로는 에이전트의 자율성 확대에 따른 위험을 완전히 제어할 수 없음을 인지해야 한다. 특히 자격 증명 공유가 발생하는 환경에서 권한 강제 조치가 실패할 경우 피해가 플릿 전체로 확산될 수 있으므로, 고위험 에이전트를 대상으로 한 샌드박스 격리 환경 구축을 최우선 순위로 검토해야 한다.