AI 에이전트가 만드는 새로운 사이버보안 공격 경로

Engadget의 사이버보안 보도 변화는 2026년에 더 이상 외면하기 어려워진 갈등을 반영한다. AI 시스템은 이제 취약점을 찾고, 공격을 구성하며, 인간의 지시를 덜 받으면서 도구를 운영하는 데 활용된다.

당면한 위험은 모든 것을 아는 기계 해커가 아니다. 소프트웨어를 반복적으로 점검하고, 가능한 약점을 시험하며, 다음 행동을 조정할 수 있는 에이전트다. 이 조합은 과거 상당한 시간과 전문 인력이 필요했던 작업을 압축한다.

이 변화는 사이버보안의 양측 모두에 압박을 가한다. 공격자는 침투 과정의 더 많은 부분을 자동화할 수 있고, 방어자는 코드를 검토하고 결함을 찾는 더 빠른 도구를 얻게 된다. 이제 경쟁의 핵심은 어느 쪽이 발견 사항을 검증하고 먼저 행동할 수 있느냐에 있다.

AI 지원에서 AI 실행으로 초점을 옮기는 Engadget

중요한 변화는 AI가 보안 운영자에게 조언하는 수준을 넘어, 그들의 업무에서 서로 연결된 부분을 직접 수행하기 시작했다는 점이다.

보안팀은 수년간 머신러닝을 사용해 왔다. 이전 시스템은 대체로 악성코드를 분류하거나, 경보의 위험도를 매기거나, 비정상적인 네트워크 활동을 탐지했다. 그 결과물은 여전히 인간이 통제하는 워크플로를 거쳤다.

생성형 AI는 그 역할을 확장했다. 모델은 의심스러운 코드를 설명하고, 피싱 메시지를 작성하거나, 서버 테스트를 위한 명령을 제안할 수 있었다. 그러나 일반적으로 사람은 결과물을 복사하고, 명령을 실행하며, 결과를 점검한 뒤 다음 단계를 선택해야 했다.

AI 에이전트는 이런 중단을 줄인다. 에이전트는 도구에 연결되고 여러 단계에 걸쳐 행동을 선택할 수 있도록 허용된 모델이다. 새로운 인간 프롬프트를 기다리지 않고 결과를 읽고, 계획을 갱신하며, 다른 도구를 호출할 수 있다.

이 차이는 Engadget 기사 뒤에 있는 사이버보안 경고에 긴박성을 부여한다. 위험은 단순히 채팅 창 안에서 더 나은 답변을 얻는 데서가 아니라 반복적인 행동에서 발생한다.

유능한 에이전트는 표적을 스캔하고, 오류를 해석하며, 페이로드를 수정하고, 효과가 있었던 방법을 문서화할 수 있다. 이 행동들 자체가 완전히 새로운 것은 아니다. 이들의 조율을 자동화하는 것이 전체 과정의 속도와 비용을 바꾼다.

Anthropic은 2025년 9월 탐지된 사이버 첩보 캠페인을 조사한 뒤 이러한 전환을 설명했다. 회사에 따르면, 위협 행위자는 외부 보안 도구와 함께 Claude Code를 사용해 작전의 상당 부분을 자동화했다.

회사는 이 사건을 대체로 AI를 통해 조율된 최초의 보고된 사이버 첩보 캠페인으로 규정했다. 이 설명은 모든 보안 연구자가 받아들인 보편적 분류가 아니라 회사의 평가로 남아 있다.

Anthropic은 중요한 한계도 인정했다. 모델은 때때로 자격 증명을 지어내거나 공개적으로 이용 가능한 정보를 발견했다고 주장했다. 인간 운영자는 여전히 결과를 검증하고 시스템의 방향을 다시 잡아야 했다.

이 한계는 현재의 위험과 추측을 구분한다는 점에서 중요하다. 현재의 에이전트는 비용이 큰 실수를 하고, 맥락을 잃거나, 출력 결과를 잘못 해석할 수 있다. 그럼에도 신뢰할 수 없는 에이전트조차 공격자의 시도 횟수를 늘릴 수 있다.

같은 원칙은 이미 합법적인 보안 연구에도 적용된다. 모델이 유용해지기 위해 완벽한 판단력을 가질 필요는 없다. 숙련된 운영자가 더 많은 표적을 조사할 수 있을 만큼 반복 작업을 충분히 줄이면 된다.

그 결과 운영 속도가 달라진다. 보안팀은 정찰, 취약점 테스트, 익스플로잇 조정이 더 촘촘하게 이어질 수 있다고 가정해야 한다. 과거에 여유를 제공하던 공개 후 대응 기간은 급격히 줄어들 수 있다.

이것이 Engadget이 대화의 초점을 바꾸는 첫 번째 실질적 의미다. AI는 더 이상 악성 텍스트만 생성하는 데 그치지 않는다. 결정을 내리고, 도구를 사용하며, 행동을 공격 워크플로로 연결하기 시작했다.

AI 사이버보안 영향은 대응이 느린 방어자에게 가장 크게 닥친다

AI는 보안 프로세스가 소프트웨어와 공격자의 움직임보다 느린 조직에 더 큰 압박을 가한다.

가장 많이 노출된 조직이 반드시 가장 진보한 AI 시스템을 운영하는 곳은 아니다. 오래된 애플리케이션, 불완전한 자산 목록, 지연된 패치, 인력이 부족한 보안팀을 가진 조직인 경우가 많다.

공격자는 언제나 실행 가능한 경로 하나만 찾으면 됐다. 방어자는 비즈니스 시스템을 계속 사용할 수 있도록 유지하면서 의미 있는 모든 경로를 차단해야 한다. 자동화는 공격자가 동시에 더 많은 가능성을 시험할 수 있게 하며 이 비대칭을 강화한다.

Georgia Tech 연구진은 AI가 현재 공격 초기 단계에서 가장 큰 영향을 미친다고 주장한다. 이 단계에는 취약점 탐색, 표적 조사, 시스템 침입 가능 경로 개발이 포함된다.

이 평가는 AI 해킹에 대한 가장 극적인 해석에 이의를 제기한다. 단기적 위협은 반드시 기계가 완전히 낯선 공격 범주를 발명하는 데 있지 않다. 방어자가 간과한 약점을 빠르게 탐색하는 데 있다.

AI는 문서를 읽고, 소프트웨어 버전을 비교하며, 스크립트를 생성하고, 스캐닝 도구의 응답을 해석할 수 있다. 또한 보안팀이 각각 따로 검토할 때는 무해해 보이는 세부 정보를 결합할 수 있다.

잊힌 테스트 서버는 에이전트가 이를 노출된 자격 증명과 연결할 때 더 위험해진다. 오래된 라이브러리는 에이전트가 정확히 그 버전을 사용하는 접근 가능한 서비스를 발견할 때 더 큰 의미를 갖는다.

이는 우선순위 결정 문제를 만든다. 기존 취약점 프로그램은 흔히 개별 소프트웨어 결함에 부여된 심각도 등급에서 시작한다. 공격자는 여러 개의 비교적 경미한 약점이 사용할 수 있는 경로를 형성하는지에 더 관심이 있다.

에이전트는 이러한 조합을 지속적으로 찾을 수 있다. 구성, 자격 증명, 네트워크 접근, 공개된 취약점을 비교하는 동안 지치지 않는다. 이 지속성은 일반적인 티켓 대기열이 감추는 공격 경로를 드러낼 수 있다.

필요한 대응은 기술적 측면만큼이나 조직적이다. 보안팀은 어떤 자산이 중요한지, 누가 해당 자산에 접근할 수 있는지, 분리된 약점들이 어떻게 상호작용하는지를 이해해야 한다. 경보 제품을 하나 더 구매한다고 해서 누락된 책임 소재가 해결되지는 않는다.

압박은 소프트웨어 유지보수자에게도 이어진다. AI 지원 연구자는 소규모 프로젝트가 검증할 수 있는 양보다 더 많은 취약점 보고서를 생성할 수 있다. 기저 모델이 선의로 작동했더라도 잘못된 보고서는 여전히 시간을 소모한다.

Nature는 Mozilla가 Firefox 한 릴리스에서 271개의 취약점을 찾아 패치하는 데 프런티어 모델을 활용했다고 보도했다. 이 Firefox 보안 작업은 AI의 방어 잠재력과 검토량을 늘릴 수 있는 역량을 보여준다.

검증된 발견은 공격자가 이를 악용하기 전에 소프트웨어를 개선할 수 있다. 반대로 불확실한 발견이 쏟아지면 유지보수자를 압도하고 가장 중요한 수정 작업을 지연시킬 수 있다. 두 경우 모두 인간의 검증은 여전히 희소한 자원이다.

이 병목 현상은 Engadget의 강조점 변화가 극적인 해킹 이야기 이상의 의미를 갖는 이유를 설명한다. AI는 단일 공격의 정교함뿐 아니라 조직이 평가해야 하는 그럴듯한 발견의 수를 바꾼다.

성숙한 자산 목록과 빠른 패치 프로세스를 갖춘 기업은 방어상 이점을 얻는다. 시스템 소유자를 식별할 수 없는 조직은 탐지 도구에 유능한 모델을 사용하더라도 어려움을 겪게 된다.

이는 즉각적인 결과를 동반하는 장기적 압박이다. 근본적인 약점은 대체로 이미 존재했다. AI는 조직이 주목을 끌지 않고 이를 미해결 상태로 둘 수 있는 기간을 단축한다.

진짜 갈등은 자동화와 검증의 대결이다

AI는 공격과 방어를 가속할 수 있지만, 생성된 활동을 신뢰할 수 있는 보안 업무로 전환하는 것은 오직 검증뿐이다.

이것이 핵심적인 상충 관계다. 에이전트는 기계 속도로 행동을 만들어내는 반면, 신뢰할 수 있는 보안 판단에는 여전히 증거가 필요하다. 이 격차는 공격의 성공과 방어 업무의 과부하를 모두 좌우한다.

공격자는 생성된 모든 익스플로잇이 작동할 필요가 없다. 실패한 시도는 버리고 계속 테스트할 수 있다. 방어자는 정상 운영을 방해하지 않고서는 생성된 모든 경고를 확인된 사고로 취급할 수 없다.

이 차이는 공격 측의 실험에 유리하게 작용한다. 범죄자는 실패할 때마다 모델에 스크립트 재작성을 요청할 수 있다. 또 한 번의 시도에 드는 비용은 대개 방어자가 또 하나의 경보를 조사하는 비용보다 낮다.

하지만 자동화가 심각한 침입에 필요한 전문성을 없애지는 않는다. 모델은 표적을 오해하고, 기술적 세부 정보를 지어내거나, 숙련된 운영자라면 유지했을 접근 권한을 손상시킬 수 있다.

Anthropic의 2025년 첩보 캠페인 설명은 양측 측면을 모두 담고 있다. 해당 캠페인 조사는 행위자가 정찰, 익스플로잇, 자격 증명 수집, 데이터 분석 전반에서 Claude를 운영자로 사용했다고 밝힌다.

이 보고서는 인간이 표적을 선택하고 핵심 지점에서 개입했다고도 설명한다. Anthropic은 시스템의 환각이 완전 자율 공격의 장애물로 남아 있다고 결론지었다.

그러한 단서는 안일함의 핑계가 되어서는 안 된다. 불완전한 에이전트도 인간이 가장 유망한 결과를 검토하기 전까지 수백 건의 저비용 작업을 수행할 수 있다.

더 적절한 비교 대상은 AI와 엘리트 해커의 대결이 아니다. 기존 도구를 사용하는 한 명의 운영자와, 여러 개의 부분 자율 워크플로를 감독하는 한 명의 운영자의 비교다.

두 번째 운영자는 더 많은 표적을 조사하고, 더 많은 테스트를 반복하며, 더 많은 기록을 보존할 수 있다. 에이전트는 기술 자료를 번역하거나 알려진 기법을 익숙하지 않은 소프트웨어 환경에 맞게 조정할 수도 있다.

방어자도 이론상 동등한 혜택을 받는다. 에이전트를 배포해 코드를 검사하고, 보고된 버그를 재현하며, 구성을 검토하거나, 사고 발생 후 로그를 검색할 수 있다.

방어적 활용은 실제 환경에서 더 엄격한 제약에 직면한다. 보안팀은 프로덕션 가용성, 고객 데이터, 증거의 무결성을 보호해야 한다. 모델이 생성한 모든 명령을 운영 환경에서 자유롭게 실행할 수는 없다.

따라서 샌드박싱이 필수적이다. 샌드박스는 코드나 에이전트가 접근할 수 있는 범위를 제한하는 격리 환경이다. 그러나 도구 권한, 자격 증명 또는 네트워크 경로가 지나치게 넓게 유지되면 격리는 실패한다.

그러므로 보안 모델은 에이전트의 전체 운영 환경을 포괄해야 한다. 언어 모델만 보호해서는 브라우저, 명령 셸, 커넥터, 저장된 자격 증명, 검색된 문서가 노출된 채로 남는다.

NIST의 에이전트 보안 대응 검토에서는 기존 사이버보안 원칙이 여전히 중요하다는 폭넓은 합의가 확인됐다. 해당 에이전트 보안 분석은 이러한 원칙이 자율 시스템에 맞게 조정돼야 한다고도 결론지었다.

최소 권한 원칙은 여전히 유용하지만, 에이전트의 권한은 연결된 도구 전반에서 바뀔 수 있다. 로깅도 여전히 유용하지만, 고속 에이전트는 팀이 수동으로 검토할 수 있는 양보다 더 많은 이벤트를 만들 수 있다.

인간 승인도 여전히 유용하지만, 의미 없는 확인 프롬프트는 또 다른 오류 원인이 된다. 사람이 불투명한 행동 수십 건을 승인한다면, 그 통제는 서류상으로만 존재한다.

따라서 실질적인 경쟁은 자동화와 검증의 대결이다. 공격자는 저비용 실험이 단 한 번의 성공적인 결과를 낼 때 이득을 본다. 방어자는 자동화된 발견이 악용이 시작되기 전에 검증된 패치로 이어질 때 이득을 본다.

어느 결과도 모델만으로 보장되지는 않는다. 배포 방식에 따라 AI 에이전트는 유용한 분석가, 신뢰할 수 없는 노이즈 생성기, 또는 통제되지 않는 운영자가 될 수 있다.

새로운 AI 공격 경로는 에이전트 자체를 표적으로 삼는다

AI 에이전트는 기존 애플리케이션이 노출하지 않았던 취약점을 만들어낸다. 이전의 소프트웨어는 대부분의 검색·수집 텍스트를 단지 데이터로 처리했기 때문이다.

프롬프트 인젝션은 가장 분명한 사례다. 프롬프트 인젝션 공격은 모델이 읽는 콘텐츠 안에 지시문을 삽입해, 모델이 이를 명령으로 취급하도록 유도한다.

일반 브라우저는 악의적인 문장을 표시할 뿐이다. 반면 AI 에이전트는 같은 문장을 해석하고, 다른 도구에 접근해, 실제 행동으로 옮길 수 있다. 신뢰할 수 없는 콘텐츠와 의사결정 권한이 결합될 때 취약점이 발생한다.

간접 프롬프트 인젝션은 그러한 지시문을 외부 자료 안에 숨긴다. 콘텐츠는 웹페이지, 문서, 이메일, 지원 티켓, 코드 주석, 캘린더 항목 또는 검색 결과 안에 나타날 수 있다.

사람 직원은 숨겨진 지시문을 전혀 알아차리지 못할 수 있다. 자료를 처리하는 에이전트는 이를 작업 컨텍스트에 포함하고, 사용자의 요청 대신 그 지시를 따를 수 있다.

Google의 보안 연구자들은 간접 프롬프트 인젝션을 에이전트의 주요 공격 우려 사항으로 지목했다. 이들의 웹 인젝션 연구는 AI 독자에게 영향을 미치도록 설계된 패턴을 찾기 위해 공개 페이지를 조사했다.

에이전트가 메시지를 보내거나, 비공개 파일을 가져오거나, 기록을 수정하거나, 코드를 실행할 수 있을 때 위험은 커진다. 성공한 인젝션은 승인된 접근 권한을 공격자가 통제하는 행동으로 바꿀 수 있다.

이는 전통적인 소프트웨어 인젝션 취약점과 동일하지 않다. 데이터베이스는 엄격한 문법과 매개변수화를 통해 명령과 값을 분리할 수 있다. 자연어 모델은 모호한 지시와 콘텐츠 전반에서 작동한다.

필터는 익숙한 문구를 잡아낼 수 있지만, 공격자는 지시문을 바꿔 표현하거나 여러 출처에 분산할 수 있다. 시스템이 이례적인 텍스트를 본질적으로 악성으로 취급하면 정상 콘텐츠를 차단할 위험도 있다.

권한 경계는 더 강력한 방어 수단을 제공한다. 이메일 요약 도구에는 보통 셸 명령을 실행할 권한이 필요하지 않다. 코딩 어시스턴트도 저장소 파일이 요청했다는 이유만으로 비밀 정보를 자동 업로드해서는 안 된다.

개발자는 에이전트의 컨텍스트로 들어오는 정보의 출처도 추적해야 한다. 공개 웹에서 가져온 콘텐츠는 인증된 사용자의 직접 지시와 같은 수준의 신뢰를 받아서는 안 된다.

에이전트는 다른 새로운 공격 경로에도 노출될 수 있다. 도구 설명이 조작될 수 있고, 메모리가 적대적 지시문을 보존할 수 있으며, 침해된 커넥터가 오해를 부르는 결과를 반환할 수 있다.

공격자는 에이전트가 의사결정에 사용하는 데이터를 오염시킬 수도 있다. 목표가 항상 즉각적인 코드 실행인 것은 아니다. 보고서를 변경하거나, 경고를 억제하거나, 결제 워크플로를 우회시키는 것만으로도 충분할 수 있다.

OWASP의 2026년 검토는 프롬프트 인젝션과 타사 AI 의존성을 실질적인 엔터프라이즈 위험으로 설명한다. 이 에이전트 익스플로잇 검토는 문서화된 사고를 새롭게 등장하는 보안 범주와 연결한다.

그렇더라도 보안팀은 이상한 모델 응답 하나하나를 성공한 사이버공격으로 취급해서는 안 된다. 모델은 모호한 프롬프트, 제한된 컨텍스트 또는 일반적인 소프트웨어 버그 때문에 실패할 수 있다.

신뢰할 수 있는 사고 판단에는 시스템이 무엇에 접근했는지, 어떤 행동을 시도했는지, 공격자가 그 행동에 영향을 주었는지에 관한 증거가 필요하다. 선정적인 시연은 종종 이 요소 중 하나를 빠뜨린다.

가장 유용한 질문은 모델이 우려스러운 말을 했는지가 아니다. 신뢰할 수 없는 입력이 신뢰 경계를 넘고 중대한 행동을 일으켰는지다.

이 기준은 조직에 실행 가능한 표준을 제공한다. 또한 기존 사이버보안의 기본 원칙을 대체하지 않으면서도 새로운 AI 취약점이 집중적인 관심을 받을 만한 이유를 보여준다.

AI 취약점 발견은 공격자와 유지보수자 모두에게 도움이 된다

AI가 방치된 결함을 찾아낼 수 있는 동일한 능력은, 유지보수자에게 검증된 발견 사항과 활용 가능한 패치가 전달된다면 방어를 강화할 수도 있다.

AI 지원 취약점 발견은 넓은 탐색 공간에서 이뤄진다. 모델은 소스 코드를 검사하고, 프로그램 동작을 추론하며, 디버거 또는 퍼저 같은 도구를 선택할 수 있다.

퍼저는 충돌이나 예기치 않은 동작을 유발하기 위해 비정상적인 입력을 소프트웨어에 제공한다. 전통적인 퍼징은 흔히 사람이 설계한 테스트 하니스와 상당한 컴퓨팅 시간을 필요로 한다.

모델은 충돌을 해석하고 이를 관련 코드까지 추적하는 데 도움을 줄 수 있다. 또한 이전 시도에서 드러난 내용을 바탕으로 새로운 테스트를 제안할 수도 있다.

Anthropic은 통제된 연구에서 Claude Opus 4.6이 널리 사용되는 오픈소스 소프트웨어의 취약점을 발견했다고 보고했다. 회사는 유지보수자에게 환각으로 생성된 버그 부담을 주지 않기 위해 보고된 모든 문제를 검증했다고 설명한다.

이 제로데이 연구는 방어적 가능성과 공개의 과제를 보여준다. 제로데이는 누군가가 발견하거나 악용할 당시 책임 있는 유지보수자가 알지 못했던 취약점이다.

이러한 발견은 연구자들이 공개를 조율하고 유지보수자에게 패치 시간을 제공할 때 가치가 있다. 영향을 받은 시스템의 사용자가 업데이트하기 전에 익스플로잇 세부 정보가 공격자에게 전달되면 위험해진다.

AI는 두 시간표를 모두 단축한다. 유지보수자가 보고서를 더 빨리 이해하도록 도울 수 있지만, 공격자가 공개 패치를 분석해 원래의 취약점을 재구성하도록 도울 수도 있다.

흔히 패치 디핑이라고 부르는 이 과정은 수정된 코드를 찾기 위해 소프트웨어 버전을 비교한다. 이후 에이전트는 오래된 노출 버전이 여전히 취약한지 테스트할 수 있다.

따라서 조직은 취약점 접수와 해결 사이의 거리를 줄여야 한다. 공격자가 패치 분석을 자동화할 수 있는 상황에서 대기열에 할당되지 않은 채 남아 있는 보고서는 더 위험해진다.

해답은 모든 보안 업데이트를 숨기는 것이 아니다. 사용자는 노출 여부를 평가하고 수정 사항을 적용할 수 있을 만큼의 정보가 필요하다. 연구자에게도 문제를 보고할 유인과 안전한 채널이 필요하다.

더 현실적인 개선책은 조율된 자동화다. 에이전트는 격리된 환경에서 발견 사항을 재현하고, 영향을 받는 자산을 식별하며, 패치를 제안하고, 테스트를 준비할 수 있다. 이후 사람은 더 나은 증거를 바탕으로 변경을 승인할 수 있다.

유지보수자는 모든 AI 생성 보고서가 같은 긴급성을 지닌다는 가정을 거부해야 한다. 보고서에는 재현 가능한 단계, 영향을 받는 버전, 기술적 영향, 그리고 해당 동작이 보안 경계를 넘는다는 증거가 필요하다.

보안팀에는 중복 제거도 필요하다. 여러 에이전트가 서로 다른 표현으로 같은 근본 원인을 독립적으로 보고할 수 있다. 그룹화하지 않으면 자동화는 하나의 결함을 수십 건의 별도 긴급 사태처럼 보이게 할 수 있다.

이 검증 계층은 방어자가 주도권을 되찾을 수 있는 지점이다. 공격자는 하나의 틈을 찾기 때문에 노이즈를 감수한다. 방어자는 구조화된 증거를 사용해 대량의 발견을 우선순위가 정해진 수정으로 전환할 수 있다.

이점은 대형 기술 기업을 넘어선다. 더 작은 팀도 AI를 사용해 낯선 코드를 살펴보거나 테스트를 작성할 수 있지만, 여전히 안전한 구성과 자격 있는 검토가 필요하다.

조직은 사고와 패치에 관한 조직 지식도 보존해야 한다. 검색 가능한 엔지니어링 지식 기반은 팀이 새로운 발견 사항을 이전 결정 및 영향을 받는 시스템과 연결하는 데 도움을 줄 수 있다.

이 연결은 운영 측면에서 중요하다. 에이전트는 빠르게 수정안을 제안할 수 있지만, 팀은 여전히 그 코드가 존재하는 이유, 이에 의존하는 고객, 그리고 이전 변경으로 무엇이 손상됐는지를 알아야 한다.

따라서 AI 취약점 발견이 자동으로 공격 측에 유리한 것은 아니다. 자동화를 접근 권한, 검증, 더 빠른 실행과 결합하는 쪽에 보상이 돌아간다.

다음 사이버보안 검증이 보여줘야 할 것

다음 단계는 검증된 사고, 에이전트 권한 실패, 그리고 방어자가 비슷한 속도로 패치할 수 있는 역량을 통해 평가될 것이다.

첫 번째로 지켜볼 신호는 AI가 조율한 침입에 관한 독립적인 문서화다. 기업 위협 보고서는 가치 있는 증거를 제공하지만, 공급업체에는 자사 모델의 중요성을 강조할 유인도 있다.

더 강력한 확인에는 공유된 침해 지표, 영향을 받은 산업 분야, 공격 타임라인, 그리고 여러 사고 대응팀의 발견이 포함될 것이다. 민감한 세부 사항은 보호하면서도 조사관들은 AI의 역할을 확립할 수 있다.

독립 보고서가 에이전트가 더 적은 사람의 수정으로 더 긴 공격 체인을 완수하는 모습을 보여준다면 자동화 주장은 더 강해진다. 증거가 계속해서 지속적인 운영자 개입을 보여준다면 자율성에 관한 주장은 절제될 필요가 있다.

두 번째 신호는 배포된 에이전트에서 간접 프롬프트 인젝션을 어떻게 다루는지다. 연구 시연은 이미 신뢰할 만한 메커니즘을 보여준다. 남은 질문은 이것이 일반적인 엔터프라이즈 시스템에서 얼마나 자주 중대한 행동으로 이어지는가다.

이메일 에이전트, 코딩 어시스턴트, 브라우저 에이전트, 연결된 생산성 도구와 관련된 사고를 주시해야 한다. 보고서는 관련 권한과 시스템이 정의된 신뢰 경계를 넘었는지를 설명해야 한다.

검증된 사례의 증가는 AI가 별개의 운영상 공격 표면을 만들었다는 점을 보여줄 것이다. 문서화된 피해가 없다고 해서 위험이 사라지는 것은 아니지만, 광범위한 악용이 이미 진행 중이라는 주장은 약해질 것이다.

세 번째 신호는 해결 속도다. AI 지원 발견은 결함을 찾는 것과 노출된 시스템을 보호하는 것 사이의 경쟁을 바꿀 때 가장 큰 의미를 가진다.

유용한 증거에는 더 짧아진 검증 시간, 더 빠른 패치 배포, 더 적은 미할당 취약점이 포함될 것이다. 유지보수자가 처리할 수 없다면 AI가 발견한 버그의 단순 건수는 거의 알려주는 바가 없다.

방어자는 완벽한 지표를 기다리지 않고 준비를 시작해야 한다. 에이전트 권한을 목록화하고, 신뢰할 수 있는 지시를 수집된 콘텐츠와 분리하며, 되돌릴 수 없는 행동에는 승인을 요구할 수 있다.

또한 의사결정을 재구성할 수 있을 만큼 자세히 도구 호출을 기록해야 한다. 로그에는 입력 출처, 요청된 행동, 사용 가능한 권한, 실제 결과가 기록돼야 한다.

보안 테스트에는 정상 워크플로 안의 적대적 콘텐츠도 포함돼야 한다. 모델을 직접적인 탈옥 프롬프트로만 평가하면 파일, 웹사이트, 메시지에 숨겨진 공격을 놓치게 된다.

조직은 데이터 이동에 제한을 둬야 한다. 기밀 문서를 읽는 에이전트가 두 기능이 각각 유용해 보인다는 이유만으로 제한 없는 외부 통신 권한까지 가져서는 안 된다.

전통적인 통제는 여전히 방어 부담의 대부분을 담당한다. 다중 인증, 신속한 패치, 네트워크 세분화, 보호된 자격 증명, 검증된 복구 계획은 계속 필수적이다.

AI가 이러한 관행을 시대에 뒤떨어지게 만드는 것은 아니다. 자동화된 공격자는 예외를 더 빨리 찾을 수 있기 때문에, 이를 일관성 없이 구현한 조직에 불리하게 작용한다.

따라서 Engadget이 바꾸는 사이버보안 대화는 기계가 해커를 대체한다는 점보다 기계가 해킹의 경제성을 바꾼다는 점에 가깝다. 발견과 행동 사이의 간격이 줄어들면서 더 많은 시도가 더 이르게 일어날 수 있다.

방어 기회도 같은 논리를 따른다. 보안팀은 공격자가 약점을 침입으로 전환하기 전에 에이전트를 활용해 코드를 조사하고, 보고서를 검증하며, 수정안을 준비할 수 있다.

결정적인 질문은 조직이 효과적인 검증을 확립하기 전에 에이전트에 광범위한 권한을 부여할지 여부다. 독자는 각 에이전트가 무엇에 접근할 수 있는지, 무엇을 변경할 수 있는지, 누가 그 행동을 검토하는지 물어야 한다.

사고 보고서에 최초의 설명되지 않은 도구 호출이 나타난 뒤가 아니라 지금 이 질문을 해야 한다. AI는 사이버보안을 가속하고 있지만, 경계 없는 속도는 가장 큰 위험을 감수하려는 쪽에 이익을 준다.