Abnormal AI AgentCore 이메일 보안, 에이전트의 접근 범위를 제한해 확장

Abnormal AI는 매일 수십억 건의 이메일 메시지를 처리하는 탐지 시스템에 Amazon Bedrock AgentCore Code Interpreter를 배포했다. Abnormal AI AgentCore 이메일 보안 설계는 자율 에이전트에 임시 컴퓨팅 환경을 제공하지만, 해당 환경의 무제한 인터넷 접근은 허용하지 않는다. 이 제한은 사소한 구성 선택이 아니라 핵심 개념이다.

에이전트는 파이프라인에서 매일 발생하는 가장 어려운 사례 수만 건만 처리한다. 경량 분류기가 먼저 수십억 건의 메시지를 처리하고, 더 큰 머신러닝 모델이 수백만 건의 불확실한 결과를 검토한다. Abnormal은 앞선 단계에서 신뢰도 높게 분류할 수 없는 사례에만 에이전트 기반 분석을 할당한다.

이 아키텍처는 더 나은 이메일 보안을 위해 모든 메시지를 사용 가능한 가장 큰 모델로 보내야 한다는 단순한 관점에 도전한다. 또한 사람이 검토할 수 있도록 피싱 분류를 설명하는 Microsoft Security Copilot 같은 분석가 중심 시스템과도 다르다. Abnormal은 지연 시간, 격리, 예측 가능한 장애 경계가 즉시 중요한 인라인 탐지 파이프라인에 에이전트를 직접 배치한다.

이 배포가 중요한 이유는 에이전트가 행동 기반 위협 데이터를 분석하면서 스크립트를 작성하고 실행할 수 있기 때문이다. 이 기능은 고정 분류기보다 더 많은 유연성을 제공하지만, 동시에 새로운 공격 표면도 만든다. 이메일은 증거이자 잠재적으로 적대적인 입력이므로, 이를 분석하는 모든 에이전트는 안전하지 않은 결정을 내릴 수 있는 존재로 다뤄야 한다.

Abnormal의 해법은 선택적 승격과 제한된 실행을 중심으로 구축한 계층형 시스템이다. 모델은 임시 샌드박스 내부에서 계산, 집계, 검증할 여지를 얻는다. 주변 아키텍처는 무엇이 들어오고, 무엇이 나갈 수 있으며, 어떤 작업이 계속 불가능한지를 결정한다.

Abnormal AI AgentCore 이메일 보안은 가장 어려운 사례를 겨냥한다

핵심 변화는 Abnormal이 AI 에이전트를 추가했다는 데 있지 않다. 코드 작성 에이전트에게 전체 작업량을 맡기지 않은 채, 이를 실시간 탐지 파이프라인에 배치했다는 점이다.

배포 사례 연구에 따르면 Abnormal은 세 개의 처리 계층을 사용한다. 첫 번째 계층은 매일 수십억 건의 메시지에 소형 모델, 휴리스틱 규칙, 로지스틱 회귀 분류기를 적용한다. 이 방법들은 비용이 큰 분석이 필요하지 않은 사례를 처리한다.

불확실성이 남은 메시지는 두 번째 계층으로 넘어간다. 딥러닝과 기타 머신러닝 모델은 더 폭넓은 행동 신호를 바탕으로 매일 수백만 건의 메시지를 검사한다. 가장 해결하기 어려운 사례만 세 번째 계층에 도달한다.

마지막 계층은 인라인 에이전트와 Code Interpreter로 매일 수만 건의 메시지를 처리한다. 에이전트는 위협 인텔리전스 데이터를 받고, 동적으로 스크립트를 작성하며, 각 사례가 Abnormal의 행동 모델에 어떻게 부합하는지 분석한다. 이어 이메일이 받은편지함에 도달하기 전에 탐지 결정에 기여한다.

이 퍼널은 경제성과 신뢰성 모두에 중요하다. 모든 메시지에 범용 에이전트를 실행하면, 추가 가치가 가장 적은 곳에 가장 많은 컴퓨팅을 소비하게 된다. 또한 프로덕션 파이프라인의 더 큰 부분을 비결정적 동작에 노출하게 된다.

선택적 승격은 에이전트를 예외 처리기로 바꾼다. 앞선 단계는 예측 가능한 물량을 흡수하고, 에이전트는 전통적으로 인간 분석가에게 배정되던 것과 유사한 사례를 조사한다. 이 설계는 제품 포지셔닝이 아니라 불확실성에 따라 모델 복잡도를 사용한다.

이 아키텍처는 에이전트 실패가 초래할 운영상 결과도 제한한다. 세 번째 계층의 오류도 여전히 중요하지만, 에이전트가 모든 일반 메시지의 분류를 통제하지는 않는다. 별도 시스템이 오분류를 처리하고, 이를 활용해 더 광범위한 탐지 시스템을 개선한다.

Abnormal은 모니터링 시스템도 실시간 파이프라인을 검증한다고 말한다. AWS 사례 연구는 독립적인 정확도, 오탐률 또는 지연 시간 측정치를 공개하지 않는다. 따라서 이는 에이전트가 모든 기존 탐지 방식을 능가한다는 비교 증거가 아니라 운영 아키텍처를 문서화한 것이다.

회사는 인라인 경로 밖에서도 분석가 에이전트를 운영한다. 이 배치 시스템은 오분류와 튜닝 신호를 수집한 뒤, 더 큰 메시지 집합 전반에서 패턴을 탐색한다. 첫 번째 계층을 위한 후보 휴리스틱을 작성하고 두 번째 계층의 개선에도 기여한다.

AWS는 이 분석가 에이전트가 매주 약 100개의 배치 작업을 실행한다고 말한다. 개별 작업은 30분 이상 활성 상태로 유지될 수 있다. 모델 훈련은 Code Interpreter 세션 외부에서 이루어지므로, 일부 워크플로는 하루 전체에 걸친다.

이 피드백 루프는 에이전트에 두 번째 역할을 부여한다. 에이전트는 어려운 메시지만 판단하지 않는다. 이후 더 저렴한 분류기가 적용할 수 있는 규칙을 만들기 위해 어려운 결과에서도 패턴을 추출한다.

그 결과는 실용적인 업무 분담이다. 고정 규칙은 처리량을 제공하고, 훈련된 모델은 더 넓은 패턴 인식을 제공하며, 에이전트는 유연한 조사를 제공한다. 가장 비용이 큰 추론은 그러한 유연성의 목적이 분명한 사례에만 배정된다.

스크래치 패드는 더 많은 모델 컨텍스트가 아니라 컴퓨팅이다

Code Interpreter가 중요한 이유는 언어 생성을 계산으로 취급하는 대신, 에이전트가 계산하고 주장을 검증할 수 있게 해주기 때문이다.

대규모 언어 모델은 계산을 설명하면서도 잘못된 결과를 낼 수 있다. 유용한 스크립트를 제안하더라도, 그 스크립트가 올바르게 실행되는지는 알지 못할 수 있다. Abnormal의 에이전트에는 생성된 코드가 허용된 데이터에 대해 실행될 수 있는 작업 공간이 필요하다.

Amazon Bedrock AgentCore Code Interpreter는 API를 통해 이 작업 공간을 제공한다. 이 서비스는 명령 실행, 파일 업로드, 결과 반환을 위한 격리 환경을 에이전트에 제공한다. 특정 추론 루프나 에이전트 프레임워크를 강제하지는 않는다.

AWS는 이 기능을 완전 관리형 서버리스 실행 런타임으로 설명한다. 세션은 격리된 컴퓨팅, 메모리 및 파일시스템을 갖춘 경량 가상 머신인 일회성 MicroVM 내부에서 실행된다. 세션은 기본적으로 15분간 지속되며 최대 8시간까지 구성할 수 있다.

이 환경에는 일반적인 데이터 처리, 통계 및 시각화 라이브러리를 갖춘 Python 및 Node.js 런타임이 포함된다. 최대 100 MB 파일은 API를 통해 직접 전달할 수 있다. 더 큰 데이터세트에는 Amazon S3 또는 고객 관리형 파일시스템 구성을 사용할 수 있다.

컨텍스트와 컴퓨팅의 구분은 중요하다. 모델의 프롬프트에 위협 인텔리전스를 추가하면 모델이 해석할 자료가 늘어난다. Code Interpreter를 제공하면 에이전트가 그 자료를 프로그래밍 방식으로 변환, 집계, 비교, 검증할 수 있다.

Abnormal AI 임원 Shrivu Shankar는 이 환경을 거의 모든 에이전트에 필요한 컴퓨팅 스크래치 패드라고 설명한다. 이러한 관점은 코드 실행을 소프트웨어 개발 보조 도구의 범위 밖으로 확장한다. 보안 에이전트는 집계, 행동 비교, 데이터 검증 또는 반복 가능한 점수 산정에 스크립트를 사용할 수 있다.

에이전트는 프로그램 방식의 검증기도 실행할 수 있다. 테스트, 린터, 통합 검사는 결과가 다른 프로덕션 구성 요소에 도달하기 전에 기계가 읽을 수 있는 피드백을 제공한다. 이는 정확성을 보장하지는 않지만, 에이전트에게 자신이 생성한 설명 이상의 증거를 제공한다.

이 접근 방식은 에이전트 설계에서 더 넓게 나타나는 패턴과 닮아 있다. 개발자들은 작업을 제안하는 모델과 이를 수행하는 런타임을 점점 분리하고 있다. 모델은 확률적 특성을 유지하는 반면, 실행 환경은 특정 작업에 대해 결정론적 결과를 제공한다.

AWS는 에이전트가 생성한 코드를 안전하게 실행하기 위한 인프라로 Code Interpreter를 처음 소개했다. Abnormal 파이프라인에서의 가치는 이 분리에서 나온다. Abnormal은 기존 에이전트 하니스를 유지하면서 격리된 컴퓨팅을 외부 서비스로 다룰 수 있다.

경량 하니스는 에이전트에 유연성도 제공한다. Abnormal은 엄격한 단계별 워크플로가 일반 도구와 결합한 고수준 원칙보다 성능이 낮을 수 있다고 말한다. 에이전트는 방법을 선택하지만, 주변 시스템이 설정한 경계 안에서 작동해야 한다.

이 균형은 어렵다. 자유가 너무 적으면 에이전트는 비용이 큰 고정 워크플로로 축소된다. 자유가 너무 많으면 신뢰할 수 없는 입력이 코드, 네트워크 요청, 파일 및 자격 증명에 영향을 미칠 수 있다.

스크래치 패드 모델은 중간 지점을 찾는다. 에이전트가 스크립트와 임시 아티팩트를 생성할 수 있는 로컬 자유를 제공한다. 그러나 해당 작업 공간을 둘러싼 프로덕션 환경에 대한 권한을 자동으로 부여하지는 않는다.

구축자에게 이 설계는 다른 모델이나 더 큰 컨텍스트 윈도우를 추가하기 전에 명확한 질문을 제시한다. 에이전트에 더 많은 지식이 필요한가, 아니면 계산할 수 있는 통제된 공간이 필요한가? 이 문제들은 서로 다른 인프라를 요구한다.

내부 에이전트를 구축하는 팀에는 모델 프롬프트 외부의 지속 가능한 기록도 필요하다. 검색 가능한 지식 베이스는 사양과 운영 조사 결과를 보존할 수 있다. 실행 샌드박스는 임시 상태로 유지하고, 승인된 지식은 거버넌스가 적용된 시스템을 통해 지속돼야 한다.

네트워크 송신이 없는 샌드박스는 에이전트 위험을 제한된 문제로 만든다

Abnormal의 가장 강력한 설계 선택은 에이전트가 예기치 않게 동작하더라도 분석 샌드박스의 무제한 네트워크 접근을 차단하는 것이다.

이메일 보안 에이전트는 외부인이 만든 콘텐츠를 처리한다. 공격자는 그 콘텐츠 안에 지시문, 링크, 인코딩된 자료 또는 적대적 텍스트를 넣을 수 있다. 모델은 이러한 요소를 증거로 해석할 수 있지만, 지시문으로 취급할 수도 있다.

이 문제는 신뢰할 수 없는 콘텐츠가 에이전트를 원래 작업에서 벗어나게 하려는 프롬프트 인젝션으로 알려져 있다. 모델 수준의 방어는 일부 공격을 인식할 수 있다. 그러나 모든 조작에 대해 결정론적 보장을 제공할 수는 없다.

따라서 Abnormal은 Code Interpreter용 샌드박스 네트워크 구성을 선택했다. 해당 구현에서 실행 환경은 공용 인터넷으로 나가는 네트워크 송신을 허용하지 않는다. 위협 인텔리전스는 분석을 위해 들어올 수 있지만, 생성된 코드는 그 정보를 외부 엔드포인트로 자유롭게 전송할 수 없다.

이 제한은 두 가지 목표를 충족한다. 첫째, 외부 웹사이트나 서비스가 실행 중 세션의 동작을 바꿀 수 없으므로 재현성이 향상된다. 둘째, 모델이 악의적인 지시를 따르거나 안전하지 않은 코드를 생성하더라도 데이터 유출을 제한한다.

이것이 이 글의 핵심 긴장 관계다. 에이전트의 유연성과 제한된 실행 사이의 관계다. 시스템은 모델이 계산을 선택하고 스크립트를 작성할 자유를 제공한다. 인프라는 해당 스크립트가 도달할 수 있는 곳을 제한한다.

AWS는 Code Interpreter용으로 여러 네트워크 모드를 지원한다. Sandbox 모드는 지원되는 Amazon S3 작업을 포함해 제한된 외부 접근을 제공한다. Public 모드는 인터넷 리소스를 허용하며, VPC 모드는 환경을 승인된 프라이빗 리소스에 연결한다.

이러한 옵션을 서로 바꿔 쓸 수 있는 편의 설정으로 취급해서는 안 된다. Public 접근은 에이전트가 할 수 있는 일을 확장하지만, 가능한 데이터 유출 및 의존성 위험도 확장한다. VPC 접근은 가치 있는 내부 시스템에 도달할 수 있으므로 실행 역할과 네트워크 정책이 매우 중요해진다.

Abnormal은 기존의 네트워크 격리 하네스에 관리형 샌드박스를 추가했다. 이러한 심층 방어 방식은 하나의 격리 경계만으로 충분하다고 보지 않는다. 또한 이 회사는 어떤 데이터가 Code Interpreter로 들어가는지, 에이전트가 어떤 쓰기 작업을 수행할 수 있는지도 통제한다.

이 아키텍처는 에이전트 개발 분야에서 등장하고 있는 보안 가이드라인과도 일치한다. Anthropic은 에이전트 격리에 파일 시스템과 네트워크 경계가 모두 필요하다고 주장한다. 이그레스 제한이 없다면 침해된 프로세스가 접근 가능한 비밀 정보를 외부로 전송할 수 있다.

Anthropic의 이후 격리 분석은 이 근본적인 요지를 더 직접적으로 설명한다. 확률적 감독은 접근 가능한 리소스에 대한 견고한 경계를 대체할 수 없다. 모델이 잘못된 결정을 내리더라도 격리는 그 결과를 제한한다.

AWS 문서는 또 다른 중요한 단서를 덧붙인다. 각 AgentCore 세션에는 격리된 CPU, 메모리 및 파일 시스템 리소스가 할당되며, 이후 MicroVM은 종료된다. 그러나 권한, 세션 매핑, 입력 검증, 자격 증명 및 연결된 도구에 대한 책임은 여전히 고객에게 있다.

보안 가이드라인 역시 MicroVM 내부의 코드가 해당 환경에 할당된 자격 증명에 접근할 수 있다고 경고한다. 다른 세션으로부터의 격리가 현재 세션 내에서 과도한 권한을 안전하게 만들지는 않는다.

따라서 안전한 샌드박스에는 일회성 컴퓨팅 그 이상이 필요하다. 구축자는 실행 역할의 범위를 제한하고, 네트워크 경로를 제한하며, 도구 입력을 필터링하고, 불필요한 자격 증명을 제외해야 한다. 또한 실행이 끝난 뒤 어떤 아티팩트가 외부로 나갈 수 있는지도 결정해야 한다.

이그레스 차단 패턴은 입력이 자체적으로 완결된 작업에 특히 효과적이다. 에이전트는 범위가 제한된 증거 패키지를 받아 로컬에서 계산한 뒤, 제한된 결과를 반환할 수 있다. 임의의 웹사이트나 외부 API가 필요한 워크플로는 더 어려운 정책 문제를 만든다.

한 가지 해법은 중개형 도구 계층이다. 일반적인 네트워킹 권한을 부여하는 대신, 에이전트가 통제된 프록시를 통해 이름이 지정된 도구를 호출하도록 하는 방식이다. 각 도구는 인증, 입력 검증, 허용 목록, 로깅 및 제한된 출력 스키마를 강제할 수 있다.

이 설계는 샌드박스를 일반적인 인터넷 연결 머신으로 바꾸지 않으면서도 유용한 외부 작업을 유지한다. 또한 보안 팀에는 에이전트가 무엇을 요청했고 도구가 무엇을 반환했는지에 대한 기록을 제공한다.

Abnormal의 배포가 프롬프트 인젝션을 제거하는 것은 아니다. 대신 성공한 인젝션이 하나의 환경 안에서 달성할 수 있는 범위를 줄인다. 이는 모델이 항상 악성 콘텐츠를 인식할 것이라고 말하는 것보다 더 방어 가능한 프로덕션 주장이다.

3계층 파이프라인은 보안 벤더와 에이전트 구축자 모두에 압박을 가한다

Abnormal의 아키텍처는 설득력 있는 에이전트 답변을 생성하는 수준을 넘어, 실제 운영 제약 아래에서 범위가 제한된 결정을 내려야 한다는 기준을 제시한다.

이메일 보안 벤더는 이미 규칙, 평판 시스템, 머신러닝 및 행동 분석을 사용하고 있다. 새로운 압박은 유연한 에이전트를 탐지 워크플로의 더 깊은 곳에 배치하는 데서 나온다. 경쟁사들은 에이전트를 분석가 옆에 둘지, 아니면 분류 경로에 직접 둘지를 결정해야 한다.

Microsoft의 접근 방식은 단순한 승자를 만들지 않으면서 유용한 비교 대상을 제공한다. Security Copilot Phishing Triage Agent는 이메일 콘텐츠, 발신자 평판 및 행동 신호를 평가한다. 분석가가 검토하거나 재정의할 수 있는 분류와 자연어 근거를 생성한다.

이 피싱 트리아지 모델은 관리되는 에이전트 ID, 정의된 트리거, 접근 권한 및 작업 권한을 강조한다. 투명성과 사람의 검토를 워크플로의 중심에 가깝게 배치한다.

반면 Abnormal의 보고된 배포는 신중히 필터링된 메시지 하위 집합에 인라인 에이전트를 사용한다. 출력은 전달 전에 의사결정에 참여하지만, 주변에는 모니터링과 별도의 학습 시스템이 배치된다. 차이는 기본 모델 역량보다는 워크플로 내 배치에 있다.

어느 접근 방식도 인간 분석가를 불필요하게 만들지는 않는다. Abnormal의 가장 어려운 사례는 전통적으로 분석가의 주의가 요구됐을 사례들이다. 에이전트는 그러한 조사 작업 일부를 흡수하지만, 인간은 여전히 통제를 설계하고, 실패를 해석하며, 모델 변경을 관리한다.

이 아키텍처는 범용 에이전트 플랫폼 벤더에게도 압박을 준다. 프로덕션 런타임은 코드 실행 이상의 기능을 지원해야 한다. 세션 격리, 수명주기 제어, 관측 가능성, 예측 가능한 파일 처리 및 관리자가 이해할 수 있는 네트워크 정책이 필요하다.

관리형 서비스는 일회용 컴퓨팅을 운영하는 데 필요한 작업을 줄인다. 그러나 애플리케이션 수준의 설계 결정을 없애지는 않는다. 구축자는 여전히 어떤 입력이 샌드박스에 도달하는지, 세션을 작업에 어떻게 매핑하는지, 어떤 결과가 프로덕션 시스템을 변경할 수 있는지를 선택한다.

3계층 퍼널은 또 다른 교훈을 제공한다. 에이전트 확장은 부분적으로 라우팅 문제다. 팀은 모든 요청이 동일한 모델, 컨텍스트, 도구 및 컴퓨팅 예산을 받을 자격이 있다고 가정하는 대신, 불확실성을 측정하고 선택적으로 에스컬레이션해야 한다.

이 원칙은 보안을 넘어 적용된다. 고객 지원 시스템은 일상적인 요청을 결정론적 워크플로로 라우팅하고 모호한 사례에만 에이전트를 할당할 수 있다. 데이터 시스템은 먼저 고정된 변환을 사용한 뒤, 스키마나 증거가 충돌할 때 에이전트를 호출할 수 있다.

배치 분석가는 두 번째로 재사용 가능한 패턴을 제공한다. 프로덕션 실패는 반복되는 원인을 탐색하고 더 저렴한 규칙을 제안하는 오프라인 에이전트로 전달될 수 있다. 사람 또는 자동화된 검증기는 이러한 제안을 승격하기 전에 평가할 수 있다.

하지만 이 피드백 루프는 거버넌스 문제를 낳는다. 과거 오분류에서 도출된 후보 휴리스틱은 일시적인 패턴을 인코딩하거나 편향된 표본을 증폭할 수 있다. 구축자는 이전 파이프라인 단계를 업데이트하기 전에 평가 세트, 출시 제어 및 롤백 경로를 마련해야 한다.

AWS 사례 연구는 이러한 운영 세부 사항을 제공하지 않는다. 별도의 시스템이 오류로부터 학습하고 모니터링이 라이브 시스템을 검증한다고 설명한다. 하지만 승인 임계값, 평가 방법론 또는 프로덕션에 도달하는 에이전트 제안의 비율은 공개하지 않는다.

엔드투엔드 지연 시간도 공개하지 않는다. 인라인 이메일 탐지는 전달 제약 아래에서 작동하며, 느린 3계층은 사용자 경험에 영향을 줄 수 있다. 선택적 라우팅은 이러한 노출을 줄이지만, 구축자에게는 여전히 백분위 지연 시간과 타임아웃 동작이 필요하다.

비용 역시 마찬가지로 불분명하다. 이 퍼널은 수십억 건의 일상적 메시지에 에이전트 컴퓨팅을 실행하지 않도록 설계됐을 가능성이 높다. 공개된 자료는 메시지당 비용, 세션 활용률 또는 자체 관리형 샌드박스와의 인프라 비교를 제공하지 않는다.

이러한 누락이 아키텍처를 무효화하지는 않는다. 이는 유용한 고객 사례 연구와 독립적으로 검증된 성능 증거 사이의 경계를 정의한다. 엔터프라이즈 구매자는 워크로드별 측정을 요청하면서 이 패턴을 평가해야 한다.

보안 리더에게 가장 유용한 질문은 한 벤더가 “에이전틱” 탐지를 보유했는지가 아니다. 에이전트가 의사결정 경로 어디에 들어가는지, 어떤 증거를 받는지, 실패 시 무엇이 일어나는지다.

플랫폼 팀에게도 질문은 마찬가지로 구체적이다. 에이전트가 좁게 범위가 정해진 환경 안에서 가치 있는 작업을 완료할 수 있는가, 아니면 제안된 워크플로가 광범위한 자격 증명과 개방형 네트워킹에 의존하는가?

유용한 작업에 무제한 접근이 필요하다면, 그 설계는 핵심적인 트레이드오프를 해결하지 못한 것이다. 단지 그 위험을 런타임으로 이전했을 뿐이다.

Abnormal AI 사례 연구가 입증하지 못하는 것

이 배포는 신뢰할 수 있는 격리 패턴을 보여주지만, 정확도, 속도 또는 총 운영 비용의 독립적인 개선을 입증하지는 않는다.

핵심 출처는 Abnormal의 참여로 작성된 AWS 기사다. AWS는 인프라를 제공하고 Abnormal은 소개되는 고객이다. 독자는 규모 수치와 워크플로 설명을 회사에 귀속된 주장으로 받아들여야 한다.

보고된 물량은 여전히 유익하다. 수십억 건의 메시지가 1계층으로 들어오고, 수백만 건이 2계층에 도달하며, 매일 수만 건이 에이전트에 도달한다. 그러나 이러한 수치는 에이전트가 최종 판정을 얼마나 자주 개선하는지는 보여주지 않는다.

몇 가지 누락된 측정값은 평가를 바꿀 수 있다. 오탐률은 어려운 정상 메시지가 추가 위험에 노출되는지를 보여준다. 미탐률은 에이전트가 이전 모델이 놓친 공격을 포착하는지를 보여준다.

분석가 검토 데이터도 도움이 될 것이다. 사람이 에이전트의 결정을 자주 뒤집는다면, 3계층은 자율 탐지보다는 우선순위 지정 도구로 기능할 수 있다. 뒤집기가 드물더라도 구매자는 모니터링이 침묵하는 오류를 포착한다는 증거가 필요하다.

평균값은 운영 실패를 감출 수 있으므로 지연 시간 분포가 중요하다. 일반적인 분류가 빠르게 끝나더라도, 소수의 장기 실행 세션이 메일을 지연시킬 수 있다. 타임아웃과 폴백은 모델 품질만큼 신중히 테스트해야 한다.

결정론적 주장에도 같은 주의가 적용된다. 공개 인터넷 접근을 제거하면 외부 변동성은 줄어들지만, 모델 출력은 여전히 확률적일 수 있다. 소프트웨어 라이브러리, 입력 순서, 런타임 버전 및 오케스트레이션 로직도 결과에 영향을 줄 수 있다.

“이그레스 없음” 역시 정확하게 해석해야 한다. 이는 샌드박스에서의 공용 네트워크 통신을 제한한다. 들어오는 데이터를 자동으로 검증하거나, 유해한 로컬 계산을 막거나, 반환된 아티팩트에 민감한 정보가 없음을 보장하지는 않는다.

따라서 출력 제어는 여전히 필요하다. 생성된 보고서 자체에 기밀 데이터가 포함될 수 있다. 스크립트는 인터넷에 접속하지 않아도 과도하게 큰 아티팩트를 만들거나, 세션 리소스를 소모하거나, 오해를 불러일으키는 결과를 생성할 수 있다.

영구 스토리지는 추가 고려 사항을 만든다. Abnormal은 작업이 세션보다 오래 지속될 때 파일을 체크포인트로 사용한다. 이 패턴을 채택하는 구축자는 보존 기간, 접근 경계, 암호화, 동시 쓰기 및 아티팩트 소유권을 정의해야 한다.

파일 시스템은 복구 지점이지 보안 정책이 아니다. 일시적 세션을 떠난 데이터는 다른 곳에 영구적으로 남는다. 그 보호는 이후 스토리지 서비스와 이를 사용하는 애플리케이션에 달려 있다.

장기 실행 작업은 ID 관리도 복잡하게 만든다. 하루 동안 진행되는 프로세스는 여러 세션과 외부 학습 작업을 거칠 수 있다. 각 인계에는 인증된 작업 ID, 명시적 입력 및 검증 가능한 출력이 필요하다.

관측 가능성은 이러한 전환을 재구성하는 데 도움이 된다. AgentCore는 Amazon CloudWatch로 로그를 전송하고 AWS CloudTrail을 통해 활동을 감사할 수 있다. 팀은 민감한 메시지 콘텐츠를 또 다른 시스템에 복사하지 않으면서 무엇을 기록할지 여전히 선택해야 한다.

에이전트 모니터링에는 운영 및 보안 신호가 모두 필요하다. 실행 오류, 타임아웃 및 리소스 소비는 신뢰성 문제를 드러낸다. 예기치 않은 명령, 차단된 네트워크 시도 및 비정상적인 출력 크기는 적대적이거나 혼란스러운 동작을 드러낼 수 있다.

구축자는 실패 경로도 의도적으로 테스트해야 한다. 샌드박스가 시작되지 않거나, 스크립트가 제한을 초과하거나, 모델이 유효하지 않은 코드를 생성하면 어떻게 되는가? 시스템에는 불확실성을 조용히 안전으로 분류하지 않는 안전한 폴백이 필요하다.

Abnormal의 경우 초기 탐지 계층이 이러한 주변 구조의 일부를 제공한다. 공개된 사례는 모든 3계층 실패에 대한 최종 폴백을 명시하지 않는다. 이 공백은 기술 평가 과정에서 검토할 가치가 있다.

따라서 이 사례 연구는 규모만으로 예상될 수 있는 것보다 더 좁은 결론을 뒷받침한다. 라우팅이 에이전트 워크로드를 엄격히 제한하면, 관리형 일시적 컴퓨팅은 대용량 보안 파이프라인에 적합할 수 있다. 강력한 격리는 모델 실패의 결과도 줄일 수 있다.

이 사례는 모든 보안 의사결정이 에이전트의 혜택을 받는다는 사실을 입증하지는 않는다. 더 단순한 시스템이 확신을 갖고 해결할 수 없는 작고 어려운 꼬리 사례에서 유연한 컴퓨팅이 가치 있다고 Abnormal이 판단하는 위치를 보여준다.

이 패턴이 대규모 환경에서도 유지되는지 보여줄 세 가지 신호

다음 시험대는 Abnormal과 AWS가 격리 아키텍처를 측정 가능한 탐지 성과와 연결하는 운영 증거를 공개하느냐이다.

첫 번째 신호는 워크로드 품질 데이터다. 오탐률, 미탐률, 분석가의 재정의 사례, 그리고 기존의 3단계 프로세스 대비 측정 가능한 개선을 살펴봐야 한다. 이러한 결과는 에이전트가 아키텍처 복잡성만 더하는 것이 아니라 탐지 가치를 제공한다는 주장을 강화할 수 있다.

그런 측정치가 없다고 해서 실패가 입증되는 것은 아니다. 다만 가장 강력한 주장은 벤더가 보고한 구현 경험의 범주에 머물게 된다. 구매자는 자체 트래픽과 위협 프로필을 활용해 통제된 평가를 수행해야 한다.

두 번째 신호는 관리형 코드 실행 서비스에서의 더욱 세밀한 정책 제어다. 더 제한적인 송신 허용 목록, 도구별 권한 부여, 아티팩트 스캔, 자격 증명 브로커링, 세부적인 세션 출처 추적 등이 유용한 발전 사례다. 이러한 제어 기능은 전체 샌드박스를 광범위하게 확장하지 않으면서도 필요한 기능을 부여함으로써 트레이드오프를 개선할 수 있다.

무제한 네트워킹으로 향하는 움직임은 이러한 패턴을 약화시킨다. 통합은 더 쉬워질 수 있지만, 확률적 모델 방어 체계에 더 큰 부담을 준다. 가장 안전한 아키텍처는 가능한 한 권한을 모델 외부에 둔다.

세 번째 신호는 다른 보안 벤더들의 선택적 에이전트 라우팅 도입이다. Microsoft는 이미 에이전트를 피싱 분류 및 분석가 워크플로와 연결하고 있다. 다음으로 중요한 단계는 벤더가 투명한 폴백과 검토 경로를 유지하면서 에이전트를 인라인에 배치할 수 있다는 증거다.

더 폭넓은 도입은 Abnormal의 3단계 퍼널이 업계 패턴으로 자리 잡고 있음을 시사할 수 있다. 분석가 전용 코파일럿으로 후퇴한다면 지연 시간, 신뢰성 또는 거버넌스가 여전히 인라인 자율성을 가로막고 있음을 의미할 것이다.

빌더들은 시장의 판단을 기다릴 필요가 없다. 제한된 워크로드와 명시적인 평가 기준을 통해 지금 이 아키텍처를 시험할 수 있다. 입력 패키지가 자체적으로 완결되어 있고 결정론적 검증기가 결과를 판정할 수 있는 사례부터 시작하라.

지속적인 자격 증명은 실행 환경 외부에 유지하라. 하나의 작업에 필요한 데이터와 도구만 부여하라. 모든 문서, 메시지, 웹사이트, 도구 응답을 잠재적으로 적대적인 입력으로 취급하라.

세션 종료를 정리 작업의 세부 사항이 아니라 설계의 일부로 만들어야 한다. 승인된 아티팩트만 보존하고, 감사 가능한 작업 ID에 연결하라. 모든 타임아웃, 잘못된 형식의 결과, 사용할 수 없는 의존성에 대해 안전한 동작을 정의하라.

무엇보다 퍼널을 측정하라. 각 단계에서 해결되는 사례 수, 에스컬레이션이 발생하는 이유, 다음 단계가 결과를 개선하는지를 기록하라. 에이전트 컴퓨팅은 측정 가능한 가치를 통해 자신의 자리를 얻어야 한다.

Abnormal AI AgentCore 이메일 보안 사례의 핵심은 결국 절제된 제한에 있다. 에이전트는 고정형 시스템이 해결할 수 없는 사례를 조사할 만큼의 자유를 받는다. 그러나 추론이 유용해 보인다는 이유만으로 무제한적인 접근 권한을 받지는 않는다.

이는 모든 프로덕션 에이전트 팀이 마주하는 실질적인 질문이다. 일회용이며 관찰 가능하고 엄격히 제한된 환경 안에서, 여러분의 에이전트는 어떤 가치 있는 작업을 끝낼 수 있는가? 먼저 그 경계를 구축한 뒤, 그 안에 어느 정도의 자율성을 둘지 결정하라.