AI에이전트 시대에 필요한 다층 보안 설계

자율적으로 판단하고 행동하는 AI에이전트를 시스템에 통합하는 기업이 늘어나면서, 기존의 애플리케이션 계층만의 보안 대책으로는 불충분하다는 견해가 확산되고 있다. Nutanix의 제품 관리 담당 시니어 디렉터 오스카 월버그는 악의적인 프롬프트(AI에 대한 지시문)를 차단하는 가드레일이 있어도, 에이전트가 잘못된 판단으로 데이터베이스를 삭제하거나 본래의 용도 이외에 인증 정보를 사용해 기밀 데이터를 유출시키는 위험은 막을 수 없다고 지적한다. 이것이 에이전트를 실험 단계에서 본격 운영 환경으로 이행시킬 때의 근본적인 문제다.

AI에이전트란, 인간이 매번 지시하지 않아도 스스로 상황을 판단하고 여러 시스템에 걸쳐 처리를 실행할 수 있는 소프트웨어를 의미한다. 편리한 반면, 한번 데이터 센터 내에서의 실행 권한을 부여하면, 그 행동 범위는 넓고 복잡해진다. 기존의 '입구만 지킨다'는 발상으로는 에이전트가 내부에서 야기하는 위험을 포괄할 수 없다는 문제가 있다. 이러한 상황을 배경으로, 인프라·스토리지·컴퓨트·네트워크·제어 기반을 아우르는 다층 방어(심층 방어)의 개념이 다시 주목받고 있다.

월버그가 제시하는 아키텍처는 크게 세 개의 계층으로 구성된다. 첫 번째 계층은 인프라 계층이다. 여기에서의 주요 역할은 '어떤 에이전트가 환경 내에서 작동하는가'라는 신뢰의 출발점을 확립하는 것이다. 플랫폼의 정당성 확인(증명), 기밀 컴퓨팅, 보안 부트와 같은 기술을 사용해 하드웨어 수준에서 신뢰의 근거를 마련한다. 에이전트가 작동을 요청했을 때, 그 요청이 진정한 에이전트에서 온 것인지를 시스템이 검증할 수 있는 상태를 만드는 것이 목표다.

두 번째 계층은 네트워크 계층으로, 에이전트가 다른 에이전트나 API, 사내 시스템과 통신할 때의 경로를 관리한다. 에이전트가 다수 동시에 작동하면 통신의 복잡성이 급증하므로, 어떤 경로에서 어떤 통신을 허용할지를 엄밀히 정의할 필요가 있다. 세 번째 계층은 제어 기반(컨트롤 플레인)으로, 인프라와 네트워크 두 계층을 아우르며 전체 정책을 통괄하는 역할을 담당한다. 각각의 계층이 서로 다른 위험 범주에 대처함으로써, 동일한 제어를 중복시키지 않고 보안의 허점을 없애는 구조가 된다.

이 설계 사상의 핵심에 있는 것은 영신이 없는 신뢰의 원칙, 즉 '처음부터 아무것도 믿지 않는다'는 개념이다. 에이전트가 정당하다고 확인될 때까지 모든 접근을 제한하고, 확인 후에도 필요 최소한의 권한만을 부여한다. 월버그는 단일 보안 제품이나 한 회사의 공급업체만으로 이러한 다층 방어를 실현할 수 없다고 명확히 하며, 여러 기술·제품이 연계할 때 비로소 유효하게 기능한다고 설명한다.

AI에이전트의 보안 설계는 기존의 '침입을 방지한다'는 발상에서 '내부에서의 행동 자체를 어떻게 제어할 것인가'라는 단계로 이행하고 있다. 에이전트가 본격 운영 환경에서 다루는 정보의 범위와 실행할 수 있는 작동이 확대될수록, 어느 계층에 어떤 위험을 배정할지를 명확히 하지 않은 채 운영하는 위험성은 증가한다. 특히 금융 등의 규제 산업에서는 AI 워크로드를 다른 시스템과 물리적·논리적으로 분리하고, 에이전트가 주어진 범위 밖에서 작동할 수 없도록 하는 체계를 구축하는 것이 필수가 된다. 다층 방어의 원칙을 AI에이전트 시대의 맥락에 맞춰 구체적인 구현 방침으로 내려 놓는 움직임은 향후 기업 보안 설계에 있어 중요한 논점 중 하나로 자리 잡고 있다.