AI 에이전트 권한·감사 로그·가드레일 설계: 2025~2026 보안사고 유형과 점검표
2025~2026년 공개된 AI 에이전트·MCP 보안사고와 취약점 8건을 유형별로 정리하고, 요청자 권한 상속, 행동 등급별 승인 지점, 감사 로그 11개 항목, 개인정보·프롬프트 공격 가드레일 점검표를 담았습니다.
작성 올거나이즈코리아 마케팅팀 · 최종 갱신 2026년 11월 9일
AI 에이전트를 업무 시스템에 붙일 때는 에이전트가 요청한 사람보다 넓은 권한을 갖지 않게 하고, 되돌릴 수 없는 행동 앞에는 사람의 승인을 두고, 요청부터 실행까지 전 과정을 로그로 남겨야 합니다. 2025~2026년에 공개된 에이전트·MCP 보안사고와 취약점에서 확인되는 경로는 외부 콘텐츠에 숨긴 지시, 오염된 도구, 탈취되거나 과도한 권한, 승인 없는 실행입니다. 이 글에서 AI 에이전트는 문서를 읽고 도구를 호출해 다른 시스템에 값을 쓰거나 메일을 보내는 등 사람 대신 작업을 수행하는 AI를 말하며, 공개 사례를 유형별로 정리하고 권한 설계 원칙, 감사 로그 항목, 가드레일 점검표를 표로 담았습니다.
AI 에이전트는 챗봇과 보안 위험이 어떻게 다른가요?
챗봇은 답을 보여 주는 데서 끝나지만 에이전트는 그 답을 근거로 시스템을 직접 바꿉니다. 잘못된 판단이 메일 발송, 데이터 삭제, 외부 전송 같은 행동으로 이어지고, 한 번의 요청이 여러 시스템을 연달아 건드립니다.
| 위험 유형 | 발생 경로 | 결과 |
|---|---|---|
| 간접 프롬프트 인젝션 | 메일·이슈·웹 문서에 숨긴 지시를 에이전트가 읽고 따름 | 에이전트 권한 안의 데이터가 외부로 나감 |
| 도구 공급망 오염 | 악성 MCP 서버, 변조된 확장 프로그램 설치 | 도구를 거치는 데이터가 제3자에게 복사됨 |
| 과잉 권한 | 사용자보다 넓은 서비스 계정·토큰으로 실행 | 볼 수 없어야 할 데이터에 접근 |
| 승인 없는 실행 | 삭제·발송·명령 실행이 확인 없이 자동 수행 | 되돌릴 수 없는 변경 |
OWASP 생성형 AI 보안 프로젝트는 2025년 12월 에이전트 애플리케이션 보안 위험 Top 10을 따로 발표하면서 에이전트 행동 탈취, 도구 오남용과 악용, 신원·권한 남용을 대표 위협으로 꼽았습니다[1].
2025~2026년에는 어떤 에이전트 보안사고와 취약점이 공개됐나요?
MCP 같은 도구 연결 구간과 연동 토큰에서 사고와 취약점이 공개됐고, 코딩 에이전트가 운영 데이터를 지운 사고도 있었습니다. 아래 표는 원문 보고서나 공지로 확인한 사례를 실제 사고, 재현 실험, 취약점 공지로 구분해 정리한 것이며, 전체 발생 건수를 집계한 통계는 아닙니다.
| 유형 | 공개 사례 | 시기 | 경로 | 출처 |
|---|---|---|---|---|
| 도구 경유 인젝션(재현 실험) | 코드 저장소용 MCP 서버 | 2025년 5월 | 연구진의 시연 저장소에서, 공개 이슈에 숨긴 지시를 읽은 에이전트가 비공개 저장소 내용을 공개 영역에 게시 | [2] |
| AI 비서 명령 주입(취약점 공지) | 업무용 AI 비서 취약점(CVE-2025-32711) | 2025년 6월 | 인증되지 않은 공격자가 AI 명령 주입으로 네트워크를 통해 정보를 빼낼 수 있는 취약점 | [3] |
| 승인 없는 파괴적 실행(실제 사고) | 코딩 에이전트의 운영 DB 삭제 | 2025년 7월 | 코드 동결 지시가 있었는데도 에이전트가 운영 데이터베이스를 삭제 | [4] |
| 개발도구 공급망(실제 사고) | AI 코딩 확장 프로그램 배포본 변조 | 2025년 7월 | 공개 저장소에 들어간 악성 코드가 정식 배포 버전에 자동 포함(실행은 문법 오류로 실패) | [5] |
| 연동 토큰 탈취(실제 사고) | AI 챗봇 연동 앱의 OAuth 토큰 | 2025년 8월 | 탈취한 토큰으로 여러 기업 CRM에서 대량의 데이터를 내보냄 | [6] |
| 악성 MCP 서버(실제 사고) | 메일 발송용 MCP 패키지 | 2025년 9월 | 업데이트 버전에 외부 주소 숨은참조(BCC) 한 줄을 넣어 메일 내용 유출 | [7] |
| MCP 구현 취약점(취약점 공지) | 웹 서버 관리 도구의 MCP 기능(CVE-2026-33032) | 2026년 3월 | MCP 연동 기능 취약점, 위험도 9.8 | [8] |
| MCP 명령 주입(취약점 공지) | MCP SDK 표준입출력 연결 방식을 쓰는 게이트웨이(CVE-2026-30623) | 2026년 4월 | 검증 없이 받은 값으로 호스트에서 임의 운영체제 명령 실행 | [9] |
원인과 막는 지점은 유형마다 다릅니다. 인젝션 계열은 모델이 읽은 데이터와 따라야 할 지시를 구분하지 못하는 데서 시작하고, 에이전트 권한이 작업 범위보다 넓을수록 피해가 커집니다. 운영 DB 삭제는 되돌릴 수 없는 행동을 실행 계층에서 막지 못한 경우입니다. 토큰 탈취는 공격자가 훔친 토큰으로 직접 데이터를 내보낸 경우이고, 악성 패키지와 배포본 변조는 코드 자체가 바뀐 공급망 문제라 모델이 지시를 정확히 따라도 막지 못합니다. 코드 저장소 MCP 재현 실험 보고서는 모델 수준의 안전장치만으로는 부족하고 시스템 수준의 통제가 필요하다고 권고했습니다[2].
에이전트 권한은 어떻게 설계해야 하나요?
에이전트는 요청한 사람의 권한을 넘지 않도록, 검색 단계에서부터 사용자 권한으로 거른 뒤 작업하게 설계합니다. 서비스 계정 하나에 넓은 권한을 주고 화면에서만 가리는 방식은 인젝션이 한 번 성공하면 권한 전체가 노출됩니다.
| 원칙 | 설계 방법 |
|---|---|
| 요청자 권한 상속 | 원본 시스템의 문서 접근 권한(ACL)을 검색 색인에 함께 저장하고, 질의할 때 사용자 ID로 먼저 거른 뒤 검색 |
| 작업 범위 제한 | 세션마다 접근할 저장소·시스템을 필요한 것으로만 한정 |
| 토큰 최소화 | 연동 토큰은 필요한 범위와 짧은 만료 시간으로 발급하고 정기적으로 목록 점검 |
| 에이전트 식별 | 에이전트마다 고유 ID를 주고 사람 계정과 섞지 않음 |
| 권한 변경 반영 | 원본에서 권한이 바뀌면 색인에 반영되기까지의 시간을 정해 둠 |
코드 저장소 MCP 재현 실험 보고서도 에이전트가 접근할 수 있는 저장소를 작업에 필요한 범위로 제한하라고 권고했습니다[2]. 연동 토큰 탈취 사고에서 보듯 사람이 아닌 앱에 발급한 토큰도 공격 경로가 되므로, 사용자 계정과 같은 수준으로 관리해야 합니다[6].
승인 지점은 어디에 두면 되나요?
행동을 위험도별로 나누고, 외부로 나가거나 되돌릴 수 없는 행동에만 사전 승인을 둡니다. 읽기까지 모두 승인을 받게 하면 업무가 멈추고, 승인이 하나도 없으면 운영 DB 삭제 같은 사고를 막을 수 없습니다.
| 행동 등급 | 예 | 기본 처리 |
|---|---|---|
| 읽기(권한 안) | 문서 검색, 요약 | 자동 실행, 로그 기록 |
| 내부 쓰기(되돌릴 수 있음) | 초안 저장, 티켓 생성 | 자동 실행 또는 사후 검토 |
| 외부 전송 | 메일 발송, 외부 API 호출 | 사전 승인, 받는 곳 표시 |
| 되돌릴 수 없는 고위험 | 삭제, 송금, 권한 변경, 대량 발송 | 사전 승인과 이중 확인, 운영 환경 분리 |
| 권한 밖 | 다른 사용자 데이터 접근 | 차단 |
승인 지점은 도구를 실행하는 계층에 둬야 합니다. 운영 DB 삭제 사고에서는 모델에게 준 코드 동결 지시가 있었는데도 에이전트가 명령을 실행했습니다[4].
감사 로그에는 무엇을 남겨야 하나요?
누가 어떤 에이전트로 무엇을 요청했고, 에이전트가 어떤 문서를 읽고 어떤 도구를 어떤 값으로 호출했으며, 누가 승인해 결과가 어떻게 바뀌었는지를 한 작업 단위로 묶어 남깁니다. 이 묶음이 있어야 사고가 났을 때 흐름을 다시 그리고 되돌릴 수 있습니다.
| 항목 | 기록 내용 | 용도 |
|---|---|---|
| 요청자 | 사람 사용자 ID, 소속, 인증 방식 | 책임 추적 |
| 에이전트 | 에이전트 ID, 설정 버전 | 변경 이력 대조 |
| 작업 묶음 | 세션·요청 ID로 연쇄 호출을 한 단위로 묶음 | 흐름 재구성 |
| 입력 | 마스킹한 사용자 요청 원문 | 인젝션 분석 |
| 검색 결과 | 참조 문서 ID, 권한 판정 결과 | 권한 우회 탐지 |
| 도구 호출 | 도구 이름, 버전, 전달한 값 | 공급망 이상 탐지 |
| 승인 | 승인자, 시각, 승인 화면에 보인 내용 | 승인 절차 증빙 |
| 실행 결과 | 성공 여부, 변경 전후 값 | 복구 |
| 외부 전송 | 목적지 도메인·주소 | 유출 탐지 |
| 가드레일 이벤트 | 차단·마스킹 발생 내역 | 정책 조정 |
| 보존 | 보존 기간, 위변조 방지 값 | 감사 대응 |
메일 발송용 MCP 패키지 사고처럼 숨은참조 한 줄로 유출되는 경우는 외부 전송 목적지 로그가 있어야 찾을 수 있습니다[7]. 로그에도 개인정보가 쌓이므로 로그 자체에도 마스킹과 접근 통제를 적용합니다. 보존 기간은 업권 규정과 회사 정책에 맞춰 정합니다.
개인정보·프롬프트 공격 가드레일은 무엇을 점검하나요?
입력과 출력의 민감정보 처리, 외부 콘텐츠를 지시가 아닌 데이터로 다루는지, 도구와 토큰 관리, 운영 환경 분리를 점검합니다. 개인정보보호위원회는 2025년 8월 생성형 AI를 개발·활용하는 기업·기관을 위한 개인정보 처리 안내서를 내놓았으므로 개인정보 항목은 이 안내서와 함께 봅니다[10].
| 구분 | 점검 항목 | 확인 방법 |
|---|---|---|
| 개인정보 | 입력·출력의 민감정보 마스킹 | 샘플 질의로 검증 |
| 개인정보 | 로그·캐시 보존 기간 | 정책 문서와 실제 설정 대조 |
| 개인정보 | 외부 모델 API로 데이터가 나가는지 | 네트워크 경로 점검 |
| 프롬프트 공격 | 외부 문서·메일·웹 내용을 지시가 아닌 데이터로 구분해 전달 | 인젝션 문구를 넣은 시험 문서 투입 |
| 프롬프트 공격 | 답변 속 링크·이미지의 외부 도메인 제한 | 허용 도메인 목록 확인 |
| 도구 | MCP·플러그인 허용 목록과 버전 고정 | 설치 목록 정기 대조 |
| 도구 | 새 버전 반영 전 변경 내용 검토 | 변경 내역·해시 확인 |
| 토큰 | 연동 토큰 권한 범위와 만료 | 토큰 목록 점검 |
| 운영 | 개발·운영 환경 분리 | 계정·DB 분리 확인 |
| 운영 | 정기 레드팀 점검 | 점검 결과 기록 |
악성 MCP 패키지 사고는 처음에는 정상이던 패키지가 업데이트 버전에서 바뀐 경우였습니다[7]. 허용 목록에 올린 도구도 버전을 고정하고, 새 버전은 변경 내용을 보고 반영해야 합니다.
금융·공공 온프레미스 환경에서는 어떻게 적용하나요?
온프레미스에서는 모델, 색인, 로그가 모두 기관 내부망에 있으므로 외부 전송 통제 지점이 줄고, 위의 권한·승인·로그 설계를 기관 보안 정책 안에서 직접 운영할 수 있습니다. 대신 도구 허용 목록과 업데이트 반입 절차를 기관이 직접 관리해야 합니다.
올거나이즈 알리는 SaaS와 온프레미스 두 형태로 같은 기능을 제공하고, 폐쇄망에서는 내부 인프라에 설치해 데이터를 외부로 보내지 않습니다[11]. 역할 기반 접근 제어, 감사 로그와 추적, 콘텐츠 가드레일을 기본 기능으로 갖췄고, 답변의 인용 위치를 원본 문서 위에 하이라이트해 감사할 때 답변과 근거를 대조할 수 있습니다[11].
공개 사례로는 우리투자증권이 2026년 1월 올거나이즈와 시작한 전사 AI 전환 프로젝트가 있습니다. 내부 업무 시스템과 연동해 실제 업무를 수행하는 AI 에이전트를 목표로, 언어모델을 온프레미스로 운영하고 암호화, 민감정보 마스킹, 접근 권한 제어를 적용한다고 밝혔습니다[12]. 금융권 망분리 규제와 구성별 조건은 금융권 망분리 환경에서 생성형 AI 쓰는 법에, 에이전트 개념은 에이전틱 AI란 무엇인가에 정리했습니다. 에이전트를 운영하며 생기는 문제는 도구를 연결하는 것과 도구가 대화하게 만드는 것에서 다뤘습니다.
자주 묻는 질문
Q. 프롬프트 인젝션은 더 좋은 모델로 바꾸면 해결되나요?
코드 저장소 MCP 재현 실험 보고서는 모델 수준의 안전장치만으로는 부족하고 시스템 수준의 통제가 필요하다고 권고했습니다[2]. 권한 상속, 실행 계층의 승인, 외부 전송 통제를 함께 둬야 합니다.
Q. 에이전트에게 서비스 계정 하나로 전체 권한을 줘도 되나요?
권하지 않습니다. 요청자 권한으로 검색 단계에서 거르고, 세션마다 접근 범위를 제한하는 것이 기본입니다.
Q. 승인 단계가 많으면 업무가 느려지지 않나요?
행동 등급별로 나누면 됩니다. 읽기와 되돌릴 수 있는 내부 쓰기는 자동으로 두고, 외부 전송과 되돌릴 수 없는 행동에만 사전 승인을 둡니다.
Q. MCP 도구는 어떻게 관리하나요?
허용 목록, 버전 고정, 새 버전 변경 내용 검토, 외부 전송 목적지 로그를 함께 운영합니다. 2025~2026년에는 악성 MCP 패키지와 MCP 구현 취약점이 잇따라 공개됐습니다[7][8][9].
Q. 감사 로그는 얼마나 보관해야 하나요?
업권 규정과 회사 정책에 따릅니다. 로그에도 개인정보가 들어가므로 보존 기간과 열람 권한을 함께 정해야 합니다.
에이전트 도입 환경에 맞는 권한·로그 설계가 궁금하다면 도입 상담으로 문의해 주세요.
출처
- OWASP GenAI Security Project, 에이전트 애플리케이션 Top 10 발표(2025년 12월 9일) 원문
- Invariant Labs, GitHub MCP 취약점 보고(2025년 5월 26일) 원문
- NVD, CVE-2025-32711(2025년 6월 11일) 원문
- Fortune, 코딩 에이전트 운영 DB 삭제 보도(2025년 7월 23일) 원문
- AWS 보안 공지 AWS-2025-015(2025년 7월 23일) 원문
- Google Threat Intelligence, Salesloft Drift 연동 토큰 탈취 분석(2025년 8월) 원문
- Snyk, 악성 MCP 서버 postmark-mcp 분석(2025년 9월 25일) 원문
- NVD, CVE-2026-33032(2026년 3월 30일) 원문
- LiteLLM, MCP stdio 명령 주입 공지 CVE-2026-30623(2026년 4월 21일) 원문
- 개인정보보호위원회, 「생성형 인공지능(AI) 개발·활용 위한 개인정보 처리 기준 제시한다」 보도자료(2025년 8월 6일) 원문
- 올거나이즈, 홈페이지
- 올거나이즈 블로그, 매일경제 보도: 우리투자증권 AI 전환 프로젝트 착수(2026년 1월)