발표에서 확인된 핵심 사실

대화 과정에서 공격자가 전략을 계속 수정하며 접근하는 멀티턴 공격은 AI 모델의 보안을 최대 88.3% 확률로 무너뜨렸다. 질문 하나로 취약점을 찾는 단발성 테스트로는 발견하지 못했던 틈새가 대화가 길어지는 환경에서 대거 노출된 결과다. 15개의 플래그십 모델을 대상으로 6,986건의 공격을 수행한 Cisco의 연구 결과가 VB Transform 2026에서 공개됐다.

멀티턴 공격은 한 번의 질문으로 끝내지 않고 대화를 주고받으며 AI의 방어 체계를 서서히 무력화한다. 공격자가 AI의 반응을 보고 다음 수를 결정하는 방식으로 접근하면, 단일턴 레드팀 테스트(보안 취약점을 찾기 위해 공격자 입장에서 공격을 시도하는 과정)로는 막기 어렵다. 대화의 맥락이 쌓일수록 모델의 보안 제어력이 약해지는 지점이 확인됐다.

하지만 많은 기업은 여전히 AI 제공자가 기본으로 제공하는 제어 기능에만 의존하고 있다. 설문 대상 기업의 82%가 제공자 기본 제어(AI 서비스 업체가 기본적으로 설정해둔 보안 장치)를 주 보안 계층으로 사용한다. 에이전트마다 별도의 관리 ID를 부여해 권한을 제한한 곳은 32%, 고위험 에이전트를 샌드박스(외부와 격리되어 안전하게 프로그램을 실행하는 가상 공간)에 가둔 곳은 30%에 불과했다.

권한 부여, 임시 샌드박스, 런타임 실행 제어라는 3단계 보안

사용자가 허용한 범위 밖의 데이터에는 에이전트가 절대 접근할 수 없도록 빗장을 걸었다. Box는 권한 부여라는 첫 번째 단계로 에이전트가 호출한 사람보다 더 많은 콘텐츠에 접근하는 일을 막는다. 이어 각 작업이 수행될 때마다 임시 샌드박스(외부와 격리된 가상 실행 공간)를 새로 생성해 에이전트가 탈취당하더라도 피해 범위가 밖으로 퍼지지 않게 가둔다. 마지막으로 런타임 실행 제어를 통해 도구 호출을 현재 작업에 꼭 필요한 기능으로만 좁혀 프롬프트 인젝션(악의적인 명령어를 넣어 시스템을 조종하는 공격) 같은 시도를 차단한다. 세 겹의 동심원 구조로 방어막을 쳐서 에이전트의 행동 반경을 엄격하게 제한했다.

에이전트가 직접 공격 시나리오를 짜고 실행한 뒤 성공 여부까지 판정한다. Cisco는 에이전틱(스스로 판단하고 행동하는) 테스트 프레임워크를 도입해 보안 취약점을 찾아낸다. 이 프레임워크 내부의 에이전트는 먼저 배포 시나리오를 면밀히 평가하고 이에 맞는 관련 공격 방법을 개발한다. 그다음 해당 공격이 실제로 추진할 가치가 있는지 스스로 판단해 실행에 옮기고, 그 결과가 성공적이었는지 다시 평가하는 과정을 거친다. 공격자의 사고방식을 그대로 복제한 AI를 활용해 방어 체계의 빈틈을 실시간으로 검증하는 방식이다.

투자금과 참여 투자자가 보여주는 신호

54%의 기업이 AI 에이전트 보안 사고를 겪었거나 간신히 피했다. 2026년 6월 가 107개 기업을 대상으로 조사한 결과다. 실제로 사고가 터진 곳은 18%였고, 피해가 나기 직전에 발견한 사례는 36%에 달했다. 에이전트가 가진 권한이 생각보다 위험하게 작동하고 있다는 증거다.

250억 달러라는 거액을 들여 Palo Alto Networks가 CyberArk(계정 및 권한 관리 솔루션)를 인수했다. CrowdStrike는 SGNL에 7억 4천만 달러를 지불하기로 했고, Cisco는 Astrix Security를 4억 달러에 인수하겠다고 밝혔다. 이들은 모두 기업들이 아직 제대로 구축하지 못한 신원 확인과 격리 계층을 강화하려는 목적이다. 보안 기업들이 에이전트의 활동 범위를 가두는 울타리 시장에 집중하고 있다.

15개의 폐쇄형 플래그십 모델을 분석한 결과, 에이전트 보안을 위해 Box사가 적용한 권한 제어, 임시 샌드박스(외부와 차단된 가상 실행 환경), 런타임 실행 제어(실행 중인 동작을 실시간으로 감시하고 제어하는 기술)로 이어지는 3중 격리 계층을 구축해야 한다.