OWASP LLM 톱10 2026 분석 — 과도한 에이전트 권한 3위 급등, AI 보안의 진짜 병목

핵심 메시지

• 2026년 OWASP LLM 톱10에서 프롬프트 인젝션과 민감정보 유출이 1·2위를 유지했지만, 가장 크게 움직인 항목은 세 계단 뛰어올라 3위가 된 "과도한 권한(excessive agency)"이다.
• OWASP는 이번에 커뮤니티 투표뿐 아니라 실제 사고 데이터베이스를 함께 반영했고, 그 결과 실무자의 체감 순위와 실제 사고 건수가 어긋나는 지점이 드러났다.
• 프로젝트 리드들의 결론은 "속지 않는 모델을 만들려 하지 말고, 모델이 속더라도 중요한 것이 무너지지 않는 시스템을 그 주위에 만들라"는 것이다.
• 블랙햇 2026에서는 악성 캘린더 초대장 하나로 이미 인증된 에이전트를 조종해 자격증명 탈취와 코드 실행까지 이어지는 연구가 공개됐다.
• AI 관련 침해를 겪은 조직의 92%가 자사 AI 구현에 제대로 된 접근 통제를 두지 않았다고 답했다.

쉽게 이해하기

OWASP가 대규모 언어모델 애플리케이션을 겨냥한 2026년판 보안 위험 톱10을 내놓았다. 프롬프트 인젝션이 1위, 민감정보 유출이 2위로 지난 판과 같은 자리를 지켰지만, 패널들이 주목한 것은 세 계단 올라 3위에 오른 "과도한 권한"이었다. 에이전트가 스스로 판단해 도구를 쓰고 다른 시스템에 인증하며 실제로 행동을 취하기 시작하면서, 문제의 무게중심이 옮겨갔다는 뜻이다.

패널들은 이제 질문이 바뀌었다고 말한다. 예전에는 "AI가 하는 말을 조작할 수 있는가"였다면, 지금은 "AI가 하는 행동을 조작할 수 있는가"다. 프롬프트 인젝션은 여전히 진입점이지만, 피해 범위를 결정하는 것은 그 에이전트에게 우리가 얼마나 많은 권한을 줬는지다. 에이전트는 사실상 권한 있는 계정과 같고, 유용해지려면 접근 권한을 가질 수밖에 없다는 근본적 딜레마가 여기에 있다.

이번 판의 방법론도 눈에 띈다. OWASP는 전문가 커뮤니티 투표와 실제 사고 기록을 함께 사용했는데, 두 지표가 엇갈리는 대목이 있었다. 실무자들이 최대 우려로 꼽은 프롬프트 인젝션은 사고 건수 기준으로는 상위 10위에도 들지 못했다. OWASP는 이를 "방어 편향"으로 설명한다. 워낙 눈에 보이는 공격면이라 이미 방어를 많이 쌓아 올렸고, 그래서 사고 기록까지 도달하지 않는다는 것이다.

반대 방향의 어긋남이 더 위험하다. 실무자들은 잘못된 정보(misinformation)를 크게 걱정하지 않지만 사고 데이터는 그 반대를 가리킨다. 잘못된 정보는 공격면이 뚜렷하지 않아 탐지도 예방도 어렵고, 모델 드리프트처럼 긴 시간에 걸쳐 서서히 진행된다. 게다가 사용자는 이미 어느 정도의 환각을 당연하게 여기도록 길들여져 있어, 오염의 징후를 알아채기 어렵다. 에이전트가 잘못된 정보를 받아 스스로 행동하기 시작하면 이 문제는 곧바로 실제 사고가 된다.

두 번째 주제는 CISA가 2021년 기준을 대체해 발표한 2026년 SBOM 최소 요건이다. 의존성의 의존성까지 기록하도록 요구 항목 하나가 깊이 기준에서 커버리지 기준으로 바뀌었다. 하지만 OWASP 창립자의 지적처럼, 성공의 척도는 문제를 얼마나 빠짐없이 목록화했는가가 아니라 실제 위험을 얼마나 줄였는가다. 패널들은 SBOM을 취약점·노출 관리와 위협 인텔리전스에 연결하고 비즈니스 맥락을 붙여야 비로소 보안 역량이 된다고 정리했다.

마지막은 블랙햇 2026 현장 이야기다. AI 에이전트 자체가 새로운 공격면이 되고 있다는 것이 핵심 관찰이다. 에이전틱 브라우저를 연구한 팀은 악성 캘린더 초대장만으로 이미 인증된 에이전트를 조종해 자격증명 탈취, 데이터 유출, 지속성 확보, 단말에서의 코드 실행까지 시연했다. 연구팀이 붙인 이름은 "의도 결탁(intent collusion)"으로, 공격자가 원하는 일이 곧 사용자가 원하는 바를 이루는 최선의 방법이라고 에이전트를 설득하는 방식이다.

주요 인사이트

• 이 목록을 규정 준수 체크리스트로 읽으면 절반만 쓰는 것이다. 패널들은 시나리오를 하나 골라 탁상 훈련으로 돌려보라고 권한다. 내일 이 공격이 벌어지면 탐지할 수 있는가, 봉쇄할 수 있는가, 그리고 사후에 AI가 실제로 무엇을 했는지 재구성할 수 있는가.
• 블랙햇 연구에서 실제로 효과가 있었던 통제는 하나같이 AI가 결정권을 갖지 못하는 것들이었다. 최소 권한, 분리, 그리고 협상 불가능한 경계선이다.
• 에이전트는 정상 자격증명과 평소 쓰던 승인된 도구를 사용하기 때문에, 사용자의 의도를 완전히 거스르면서도 사용자는 끝까지 눈치채지 못할 수 있다. 침해된 단말을 찾는 기존 헌팅 방식으로는 잡히지 않는다.
• 한 정리에 따르면 어떤 조직에서도 관련 통제의 배포율이 31%를 넘지 못했고, 이미 80%가 AI 관련 보안 사고를 겪었다. 도입 속도에 비해 통제 정비가 한참 뒤처져 있다는 신호다.
• LLM은 명령과 데이터를 구분하지 못한다. 한 패널은 이를 자기가 모르는 언어로도 스크래블 대회에서 우승하는 선수에 비유했다. 뜻을 이해하지 않고도 정답을 낼 수 있기에, 권한이 붙는 순간 예상 밖의 행동이 나온다.

자주 묻는 질문

관련 AI 소식