투자금과 참여 투자자가 보여주는 신호

3,000만 달러의 시리즈 A 투자금이 AI 보안의 중심축을 모델 보호에서 정체성 거버넌스(누가 어떤 권한을 가졌는지 관리하는 체계)로 옮겼다. Battery Ventures와 YL Ventures가 주도하고 Akamai Technologies가 전략적으로 참여한 이번 투자는 Hush Security로 향했다. 기업들이 단순히 묻고 답하는 AI 어시스턴트 단계를 지나, 스스로 판단해 움직이는 자율 소프트웨어 에이전트를 현장에 배치하기 시작했기 때문이다. 이제는 모델 자체를 지키는 것보다 에이전트의 신원을 확인하고 권한을 제어하는 완전히 다른 보안 모델이 필요해졌다.

기업 내부에서 쓰이는 AI 소프트웨어는 크게 세 갈래로 구분된다. 우선 Claude나 Cursor, VS Code 통합 도구처럼 데스크톱 코딩과 업무 효율을 높이는 생산성 에이전트가 있다. 다음은 Microsoft Foundry, Salesforce Agentforce, AWS AgentCore 같은 서비스 위에서 구동되는 플랫폼 에이전트다. 마지막은 기업이 고유한 비즈니스 프로세스나 고객 응대 애플리케이션을 위해 내부적으로 직접 구축한 커스텀 에이전트다. 이렇게 성격이 다른 에이전트들이 실무에 투입되면서, 각각의 정체성을 명확히 구분하고 통제하는 일이 보안의 핵심 과제가 됐다.

기술이 실제로 작동하는 방식

사용자의 광범위한 권한을 그대로 물려받은 AI 에이전트는 보안 로그의 추적 가능성을 무너뜨린다. 많은 에이전트가 복잡한 작업을 완료하기 위해 실행한 사용자의 OAuth(앱 간 데이터 접근을 허용하는 디지털 열쇠) 권한이나 관리자 자격 증명을 그대로 가져다 쓰기 때문이다. 여기에 유효 기간이 긴 API 키까지 더해지면 보안 구멍은 더 커진다. 로그상에서 특정 작업이 실제 사람이 직접 수행한 것인지, 아니면 사용자를 대신해 자율적으로 움직인 에이전트의 소행인지 구분하기 어려운 속성 부여 문제가 발생한다. 정체성이 모호한 상태로 권한만 비대해진 셈이다.

Hush Security는 에이전트와 기업 리소스 사이에 Identity Gateway(출입 권한을 관리하는 보안 검문소)를 배치해 이 문제를 해결한다. 이 플랫폼은 에이전트를 단순히 또 다른 애플리케이션으로 취급하지 않고, 네트워크 내의 에이전트를 찾아내 각각 고유한 정체성을 부여하며 책임질 인간 소유자와 연결한다. 특히 프로그램이 실제로 작동하는 런타임 시점에 작업별로 필요한 최소 권한만 정밀하게 중개하는 역할을 수행한다. 모든 접근과 활동 내역은 중앙 집중식 감사 로그에 기록되어 누가 무엇을 했는지 명확히 알 수 있다. 에이전트에게 사람의 신분증을 빌려주는 대신 전용 신분증을 발급해 통제하는 방식이다.

확인해야 할 핵심 지점

Fortune 500 기업들은 2028년까지 평균 15만 개가 넘는 AI 에이전트를 운영할 것으로 Gartner(IT 리서치 기업)는 내다봤다. 1년 전만 해도 기업당 15개 미만이었던 수치와 비교하면 도입 속도가 매우 가파르다. 하지만 Omdia(글로벌 시장조사기관) 연구에 따르면 조직의 96%가 자율 AI 에이전트를 위해 설계되지 않은 기존 거버넌스 모델(기업의 IT 자원 관리 및 통제 체계)에 의존하며 보안 위협에 노출되어 있다.

사용자의 모든 특권을 무기한으로 물려받는 방식 대신 최소 에이전시(least agency, 특정 작업에 필요한 최소 권한만 부여하는 원칙)를 적용하는 것이 Hush Security(AI 정체성 관리 솔루션)의 전략이다. 에이전트가 사용자의 권한을 통째로 상속받는 것이 아니라, 현재 실행 중인 특정 작업에 꼭 필요한 권한만 그때그때 부여받는 구조다. 모든 작업은 기록되고 속성이 부여되며, 관리자는 단일 제어판에서 에이전트의 액세스를 즉시 종료할 수 있다.

보안 사고 발생 시 감사 로그에서 특정 작업이 사람이 한 것인지 에이전트가 한 것인지 명확히 구분할 수 있는 식별 기준을 확보해야 한다. 인간의 권한을 그대로 상속받거나 유효기간이 긴 API 키를 사용하는 방식은 위험하며, 에이전트에게 개별 정체성을 부여하고 단기 권한을 브로커링(중개)하는 방식이 안전하다.