AI 에이전트 보안: 프롬프트 인젝션·MCP 취약점과 기업 방어 전략

핵심 메시지

• 에이전트는 단기·장기 기억을 갖고 도구를 호출하기 때문에, 메모리 오염이나 도구 오남용처럼 일반 애플리케이션에는 없던 공격면이 생긴다.
• 이미 보안팀이 파악하지 못한 에이전트가 기업 곳곳에서 돌아가고 있어, 방어의 첫걸음은 '무엇이 실행 중인지'를 완전히 파악하는 발견(discovery)이다.
• 코딩 에이전트는 파일시스템·터미널·클라우드 자격증명에 깊이 접근하는데, 공개 MCP 서버의 3분의 1이 탈취 수준 취약점을 가진 것으로 조사됐다.
• 브라우저 에이전트는 세션 쿠키·비밀번호를 그대로 쥐고 있어, 숨겨진 프롬프트 인젝션 한 번으로 고객 데이터가 유출될 수 있다.
• 흩어진 개별 제품을 이어 붙이는 대신, 모든 에이전트 트래픽을 중앙 AI 게이트웨이로 모아 신원·런타임·거버넌스를 통제하는 플랫폼 접근이 필요하다.

쉽게 이해하기

이 대담은 팔로알토네트웍스 부사장 아난드 오스왈이 기업 환경에서 AI 에이전트를 어떻게 안전하게 다룰지 설명하는 내용이다. 핵심 전제는 '에이전트 보안은 일반 애플리케이션 보안과 다르다'는 것이다.

에이전트는 과거 행동을 떠올리는 단기 기억과 사용자에 맞춰 개인화하는 장기 기억을 갖고, 스스로 도구를 호출한다. 그래서 기억을 오염시켜 행동을 바꾸는 메모리 포이즈닝, 가드레일을 벗어나게 만드는 프롬프트 인젝션, 모델 서비스 거부(DoS), 도구 오남용 같은 새로운 위협이 생긴다.

영상은 에이전트가 존재하는 네 가지 표면(사내 엔터프라이즈, SaaS, 엔드포인트, 브라우저)을 짚는다. 특히 개발자들이 쓰는 '바이브 코딩' 에이전트는 파일·터미널·소스코드·클라우드 자격증명에 깊이 접근하고 외부 MCP·서드파티 서버와 통신하기 때문에 공격면이 크게 늘어난다. 팔로알토 조사에 따르면 공개된 MCP 서버의 약 3분의 1이 탈취 수준 취약점을 갖고 있다.

브라우저 에이전트는 사용자의 세션 기록·쿠키·비밀번호를 지닌 채 24시간 일한다. 영업사원이 화상회의 중 에이전틱 브라우저로 잠재고객을 조사하다가 숨겨진 프롬프트가 심긴 페이지를 방문하면, 에이전트가 활성 세션을 이용해 고객 데이터를 외부로 보낼 수 있다는 예시가 제시된다.

방어 원칙은 일관적이다. 먼저 무엇이 돌아가는지 발견하고, 아티팩트·스킬을 공급망 위협 관점에서 스캔하며, 승인된 것만 실행하도록 통제하고, 런타임 위협을 검사한다. 나아가 신원 통제(에이전트가 무엇에, 얼마나, 어떤 권한으로 접근하는지)를 중앙 게이트웨이에서 적용하고, 개별 제품을 봉합하기보다 통합 플랫폼으로 접근하라는 것이 결론이다.

주요 인사이트

• '보안은 매번 옳아야 하지만 공격자는 한 번만 성공하면 된다'는 비대칭이 자동화 속도에서 더 치명적으로 작동한다.
• 에이전트가 사용자의 자격증명으로 동작하는 순간, 조작된 에이전트는 곧 사용자 본인의 권한으로 움직이는 위장 위협이 된다.
• MCP·A2A 같은 새 프로토콜과 다중 에이전트 호출은 편리함만큼 신원·도구·프로토콜 각각의 공격면을 곱셈으로 늘린다.
• 위험은 단순히 '증가(multiply)'하는 것이 아니라 형태를 바꾸며 '변이(mutate)'하기 때문에, 수동 대응이 아니라 AI로 AI를 막는 SOC가 필요하다.
• 에이전트 도입은 제로 트러스트 같은 미뤄둔 보안 과제를 함께 끌어올릴 계기가 된다.

자주 묻는 질문

관련 AI 소식