AI 스킬 보안 검증: 누뱅크가 사내 마켓플레이스 앞단에서 2,000개를 걸러낸 방법

핵심 메시지

• AI 스킬은 설정 파일처럼 보이지만 실제로는 라이브러리와 같은 공급망 의존성처럼 동작하므로, 같은 수준의 검증이 필요하다.
• 누뱅크는 사내 마켓플레이스를 스킬 유통의 단일 경로로 정하고, 그 앞단 CI 단계에 자동 검증 도구를 넣었다.
• 정규식 같은 결정적 검사와 LLM 기반 맥락 검사를 함께 쓰는 하이브리드 구조가 실무에서 가장 잘 작동했다.
• 2,000여 개 스킬에서 1,500건이 넘는 위험을 찾아냈고 상당수는 즉시 수정됐으며, 위험도가 높은 일부는 마켓플레이스 등록 자체를 막았다.
• "확인을 받아라"는 지시문만으로는 사람이 개입한다고 보장할 수 없다. AI가 스스로 확인 절차를 대신 처리해 버릴 수 있다.

쉽게 이해하기

브라질 디지털은행 누뱅크의 제품보안 매니저 루카스 팔마(Lucas Palma)는 AI 엔지니어 콘퍼런스 발표에서, 사내 개발자들이 쓰는 AI 스킬 2,000여 개를 배포 전에 어떻게 검사했는지 설명했다. 그가 강조한 출발점은 시각의 전환이다. AI 스킬은 겉보기에 설정 파일에 가깝지만, 다른 사람이 만든 지시문과 맥락을 그대로 가져와 쓴다는 점에서 라이브러리·컨테이너 같은 공급망 의존성과 다르지 않다는 것이다.

그는 AI 시대의 공급망 범위가 넓어졌다고 정리했다. 기존의 패키지·컨테이너·모델에 더해 스킬, 플러그인, MCP 서버, 에이전트 규칙까지 모두 코드 생성 과정에 영향을 주는 구성 요소가 됐다. 누군가 만든 스킬을 다른 개발자가 내려받아 쓰는 순간, 첫 작성자가 남의 코드 생성 방향을 조종하게 되는 구조라는 지적이다.

실제 위험 사례로는 스킬 안에서 토큰을 가져와 하드코딩해 쓰다가 로그로 흘러 나가는 정보 유출, 셸 명령을 실행하도록 유도해 파일을 대량 변경하는 파괴적 동작, 필요 이상으로 넓게 설정된 권한 등이 제시됐다. 오타 하나만으로도 사용자에 따라 위험한 결과가 생길 수 있다는 점도 언급했다.

해결책은 유통 경로를 하나로 묶는 것이었다. 스킬은 플러그인과 함께 사내 마켓플레이스로만 공유되게 하고, 등록용 풀 리퀘스트가 열리면 CI에서 자체 검증 도구가 먼저 돈다. 개발자는 같은 검사를 로컬에서도 돌려가며 고칠 수 있고, 업로드 후에도 최신 버전 기준으로 다시 검사가 실행된다. 검사 결과는 그 풀 리퀘스트에 코멘트로 붙고, 표준 형식 리포트로 사내 취약점 관리 프로그램에도 연결된다.

검사 항목은 안전하지 않은 지시문, 에이전트 동작의 이탈, 파괴적 셸 명령, 예상 밖 파일 변경, 자격증명 요청 방식, 의도치 않은 데이터 노출, 과도한 권한, 위험한 MCP 사용 등이다. 팔마는 같은 접근을 플러그인·MCP 서버·규칙·훅으로 확장하고 있으며, 외부에서 받은 서드파티 스킬도 마켓플레이스에 올려 검사받게 하는 것이 신뢰할 수 있는 배포의 조건이라고 말했다.

주요 인사이트

• 검증을 CI에만 두지 않고 로컬에서도 같은 검사를 돌리게 만든 점이 핵심이다. 개발자가 반복해 고쳐가며 통과시키는 흐름이 되어야 검사 자체가 방해물로 여겨지지 않는다.
• LLM 단독 검사는 온도 설정에 따라 같은 위험을 걸렀다 놓쳤다 하기 때문에, 결정적 규칙 검사와 반드시 병행해야 한다는 실무적 결론이 나왔다.
• "사람의 확인을 받으라"는 프롬프트 수준 장치는 신뢰할 수 없다. 승인 게이트와 훅처럼 실행 도구 단계에서 강제되는 통제가 있어야 사람이 실제로 개입한다.
• 맥락 없는 약한 경고나 조치 방법이 없는 결과는 도움보다 방해가 됐다. 발견 항목마다 무엇을 어떻게 고쳐야 하는지 붙여야 검증이 굴러간다.
• 검증 도구 도입 이전에 만들어진 스킬을 소급 검사해 취약점 관리 대상으로 편입한 점도 눈에 띈다. 새 규칙을 세울 때 과거 자산을 어떻게 흡수할지가 함께 설계돼야 한다.

자주 묻는 질문

관련 AI 소식