SQL MCP 서버 완벽 이해: AI 에이전트를 데이터베이스에 안전하게 연결하는 법

핵심 메시지

• SQL MCP 서버는 별개의 신제품이 아니라, 기존 Data API Builder(DAB)에 MCP 기능을 켠 것이다. 사람들이 검색하는 이름에 맞춰 붙인 두 번째 이름일 뿐이다.
• MCP(모델 컨텍스트 프로토콜)는 에이전트가 서비스와 상호작용하기 위한 표준으로, 에이전트와 데이터베이스 사이를 잇는 중간 서비스가 이 표준을 말해야 한다.
• SQL MCP 서버는 스키마 전체를 모델에 노출하지 않는 추상화 계층, 인증·인가 모델, 행·열 제한 같은 가드레일을 기본 제공해 "테이블 삭제" 같은 위험한 명령이 DB에 전달되지 않도록 막는다.
• 설정은 JSON 파일 하나로 이뤄지며 컨테이너로 배포된다. 테이블·뷰·저장 프로시저마다 REST·GraphQL·MCP 노출을 개별적으로 켜고 끌 수 있다.
• "엔티티 설명(describe entities)" 도구는 전체 스키마 대신 필요한 일부만 모델에 전달해, 테이블이 10개든 1만 개든 컨텍스트 창을 넘치게 하지 않아 환각을 줄인다.

쉽게 이해하기

마이크로소프트의 개발자 쇼 "Data Exposed"에서 진행자 Anna Hoffman과 게스트 Jerry가 SQL MCP 서버를 주제로 대화를 나눴다. 먼저 이름부터 정리한다. SQL MCP 서버는 사실 Data API Builder(DAB)에 MCP 기능을 켠 것과 같은 엔진이다. 아무도 "MCP 기능을 켠 Data API Builder"라고 검색하지 않고 "SQL MCP 서버"라고 검색하기 때문에, 발견 가능성을 높이려 붙인 두 번째 이름이라는 설명이다.

왜 REST·GraphQL을 앱에 제공하던 엔진에 MCP를 더했을까? 에이전트나 LLM 래퍼가 데이터를 활용하려면(예: RAG 패턴) 데이터베이스를 조회해야 하는데, 에이전트가 DB에 직접 말을 걸 방법은 없다. 그래서 둘 사이에 중간 서비스가 필요하고, 그 서비스는 에이전트가 이해하는 표준을 말해야 한다. 그 표준이 바로 MCP다. DAB에 MCP를 더하면서 에이전트도 앱이 하던 일(테이블 생성·조회·수정·삭제, 저장 프로시저 실행)을 할 수 있게 됐다.

핵심 가치는 안전장치다. 에이전트는 확률적이고 예측 불가능한 성격이 있어 DB 접근을 그냥 열어주면 위험하다. SQL MCP 서버는 DAB가 수년간 쌓아온 보안 기능을 그대로 물려받는다. 데이터베이스 전체 스키마가 에이전트로 새지 않게 하는 추상화 계층, 들어오는 인증과 DB로의 인가를 함께 다루는 인증 모델, 사용량을 조절하고 반환 행·열을 제한하는 기능 등이다. 그래서 "테이블 삭제"나 "데이터베이스 삭제" 같은 파괴적 명령은 애초에 DB로 번역되지 않는다.

사용법도 간결하다. DAB CLI로 연결 문자열만 주면 JSON 설정 파일 하나가 만들어지고, 이 파일 하나를 컨테이너에 마운트하면 SQL MCP 서버가 동작한다. 어떤 객체를 노출할지, 어떤 열과 사용자·역할에 무엇을 허용할지가 모두 이 파일에 담긴다. 테이블마다 REST·GraphQL·MCP 노출을 따로 제어할 수 있고, 열에 의미 있는 설명이나 별칭을 달아 모델이 그 열을 어떻게 다뤄야 하는지 더 정확히 알게 할 수도 있다. VS Code에 바로 설치해 로컬 개발 루프에서 쓰는 것도 가능하다.

규모 문제를 다루는 방식도 눈길을 끈다. SQL MCP 서버는 여덟 가지 도구를 제공하는데, 이 중 "엔티티 설명" 도구는 전체 스키마를 모델에 넘기는 대신, 지금 가능한 작업에 필요한 작은 부분집합만 전달한다. 덕분에 테이블이 10개인 작은 DB든 1만 개인 거대한 DB든 모델이 받는 정보량은 관리 가능한 수준으로 유지된다. 컨텍스트 창이 넘칠 때 환각이 생기기 쉬운데, 이를 억제하는 것이다. 필요 없는 도구(예: 삭제)는 하나씩 끌 수도 있다.

주요 인사이트

• 에이전트에 DB 접근을 줄 때는 오히려 "조금 긴장해야 한다"는 지적이 현실적이다. 에이전트는 결정적이지 않아 결과를 확신할 수 없으므로, 노출 범위를 좁히고 가능한 동작을 제한하는 문지기 역할의 중간 계층이 중요하다.
• SQL MCP 서버가 다른 DB용 MCP 서버와 차별화되는 지점은 바로 이 보안 계층이다. 추상화 계층, 인증 모델, 사용량 스로틀링, 행·열 제한 등을 갖춰 파괴적 명령 자체가 DB에 닿지 않게 한다.
• 거대한 스키마를 그대로 모델에 밀어 넣지 않고 필요한 부분만 노출하는 설계는, 백엔드 규모와 무관하게 프런트엔드 에이전트가 안정적으로 상호작용하게 해준다. 컨텍스트 창 과부하가 환각의 주요 원인이라는 점을 겨냥한 것이다.
• SQL MCP 서버는 DAB 2.0에 포함되며 오픈소스이자 무료다. 코드를 직접 열어볼 수 있고, 특별한 마법이 아니라 직접 구현했을 법한 방식을 대신 만들어 시간과 비용을 아껴준다는 점이 강조됐다.

자주 묻는 질문

관련 AI 소식