AI 에이전트가 기업 접근 권한을 내부발 데이터 위험으로 바꾸다

Google News는 AI 에이전트에 관한 더 날카로운 경고를 제기했다. 기업 데이터에 대한 가장 큰 위협은 이미 유효한 자격 증명과 승인된 접근 권한을 보유하고 있을 수 있다는 것이다.

Dark Reading의 보도는 단일 침해 사고를 다루지 않는다. 이는 더 광범위한 보안 역전을 드러낸다. 기업은 에이전트가 유용한 업무를 자동화할 수 있도록 내부 접근 권한을 부여한다. 하지만 그 동일한 접근 권한은 오류, 악의적인 지시 또는 과도한 권한이 신뢰된 시스템 전반으로 민감한 정보를 이동시키게 할 수 있다.

전통적인 방어 체계는 침입자를 네트워크 밖에 막아두는 데 초점을 맞춘다. AI 에이전트는 합법적인 ID와 승인된 도구를 사용해 승인된 애플리케이션 내부에서 작동하는 경우가 많기 때문에 이 모델을 복잡하게 만든다. 이제 핵심 갈등은 방어자와 명백한 외부 공격자의 대결이 아니라 생산성과 통제의 충돌이다.

이 이야기를 접하는 Google News 독자는 이를 접근 거버넌스에 대한 경고로 받아들여야 한다. 기업이 이미 에이전트를 이메일, 문서, 데이터베이스, 브라우저 및 외부 API에 연결해 두었다면, 에이전트는 경계를 돌파할 필요가 없다.

Google News 헤드라인이 실제로 시사하는 것

AI 에이전트는 일반적인 접근 실수를 여러 기업 시스템을 가로지를 수 있는 자동화된 일련의 행동으로 바꾼다.

AI 에이전트는 모델을 사용해 작업을 계획하고, 도구를 선택하며, 제한된 인간 개입으로 행동하는 소프트웨어다. 챗봇과 달리 단순히 텍스트만 반환하지 않는다. 레코드를 검색하고, 메시지를 보내며, 파일을 수정하고, API를 호출하거나 워크플로를 실행할 수 있다.

이 차이는 보안 문제를 바꾼다. 챗봇은 컨텍스트에 제공된 정보를 노출할 수 있다. 에이전트는 추가 정보를 검색하고, 이를 결합·변환한 뒤 다른 곳으로 옮길 수 있다.

Google News 헤드라인의 근본적인 우려는 에이전트가 모든 회사 기밀을 보유한다는 데 있지 않다. 기업 정보는 일반적으로 클라우드 스토리지, 고객 시스템, 코드 플랫폼, 협업 도구와 같은 저장소에 남아 있다.

위험은 그러한 저장소와 에이전트 사이의 연결에서 발생한다. 공동 책임에 관한 Dark Reading의 보도는 기업이 에이전틱 서비스에 연결된 데이터와 사용자를 보호할 책임을 계속 진다고 강조한다.

한 에이전트가 사용자의 접근 권한을 상속하고 다른 에이전트가 일반 서비스 계정을 사용할 때, 이 책임은 더 관리하기 어려워진다. 두 설계 모두 예상치 못한 노출 경로를 만들 수 있다.

사용자 범위 에이전트는 직원이 접근할 수 있는 모든 것을 검색할 수 있으며, 여기에는 잊힌 공유 폴더도 포함된다. 서비스 ID는 개별 사용자가 필요로 하는 것보다 더 광범위한 권한을 보유할 수 있다.

에이전트는 각각 볼 때는 무해해 보이는 사실도 조합할 수 있다. 고객 목록, 내부 로드맵, 직원 디렉터리는 집계된 뒤 매우 민감한 정보가 될 수 있다.

이는 중요한 역전이다. 과거 기업 검색은 직원이 이미 읽도록 허용된 문서를 찾는 데 도움이 됐다. 이제 에이전트는 별도의 인간 판단 없이도 해당 문서를 찾아 후속 조치를 취할 수 있다.

위험에는 악의적인 의도가 필요하지 않다. 모호한 요청은 지나치게 광범위한 검색으로 이어질 수 있다. 신뢰할 수 없는 계획은 잘못된 수신자나 목적지를 선택할 수 있다.

손상된 문서는 워크플로를 다른 방향으로 돌릴 수도 있다. 간접 프롬프트 인젝션은 이메일이나 웹페이지처럼 에이전트가 읽는 콘텐츠 안에 악의적인 지시가 숨겨져 있을 때 발생한다.

모델은 이러한 지시를 작업의 일부로 해석할 수 있다. 같은 에이전트가 비공개 데이터에 접근하고 외부와 통신할 수 있다면, 공격자는 탐색과 유출을 연결한 셈이 된다.

이 때문에 이 이야기는 하나의 헤드라인을 넘어 중요하다. 에이전트는 ID, 데이터, 애플리케이션, 행동이 만나는 지점에 위치한다. 연결 하나하나가 단일 실패가 도달할 수 있는 범위를 넓힌다.

따라서 즉각적인 변화는 아키텍처 차원에서 일어난다. 기업은 더 이상 소프트웨어에 데이터 접근 권한만 부여하지 않는다. 그 접근 권한이 어떻게 사용될지에 대한 재량까지 시스템에 부여하고 있다.

내부발 노출 경로

가장 위험한 에이전트 워크플로는 신뢰할 수 없는 콘텐츠, 민감한 데이터, 외부로 향하는 행동을 하나의 ID 아래 결합한다.

계정 검토를 준비하도록 요청받은 에이전트를 생각해 보자. 이 에이전트는 고객 레코드를 읽고, 내부 메시지를 검색하며, 최근 지원 사례를 확인한 뒤 요약을 만든다.

각 단계는 모두 정당해 보인다. 노출 경로는 검색된 항목 하나에 직원이 아닌 모델을 겨냥한 지시가 포함되어 있을 때 나타난다.

악의적인 지원 티켓은 에이전트에게 원래 작업을 무시하라고 지시할 수 있다. 또한 추가 레코드를 찾고 허용된 웹 요청을 통해 전송하도록 시스템을 유도할 수 있다.

공격자는 회사에 로그인하지 않는다. 에이전트가 일반적인 비즈니스 채널을 통해 들어온 공격자의 콘텐츠를 읽는다.

이 공격 패턴은 언어 모델만으로는 신뢰성 있게 강제할 수 없는 경계를 악용한다. 동일한 컨텍스트에는 사용자 지시, 검색된 사실, 시스템 가이드라인, 공격자가 통제하는 텍스트가 함께 포함될 수 있다.

모델은 이 요소들을 모두 언어로 처리한다. 레이블과 프롬프팅은 도움이 될 수 있지만, 결정론적인 인가 장벽을 만들지는 못한다.

에이전트의 도구는 이러한 약점을 중대한 문제로 만든다. 모델이 비공개 데이터에 접근하거나 세션 밖에서 행동할 수 없다면, 오염된 지시는 거의 가치가 없다.

개발자가 편의를 위해 광범위한 도구를 제공할수록 위험은 커진다. 범용 브라우저, 제한 없는 데이터베이스 커넥터, 셸 또는 메시징 기능은 많은 워크플로에 활용될 수 있다. 그러나 원래 기능이 전혀 필요로 하지 않았던 행동도 지원할 수 있다.

OWASP는 이 문제를 과도한 자율성으로 규정한다. 그 사례에는 수정, 삭제 또는 정보 전송도 가능한 확장 기능이 뒷받침하는 읽기 전용 작업이 포함된다.

권한은 또 다른 계층을 만든다. 하나의 제품 테이블을 읽도록 설계된 커넥터에는 쓰기 권한이나 관련 없는 레코드에 대한 가시성이 부여되어서는 안 된다.

일반적인 고권한 계정은 특히 위험하다. 이는 개별 사용자가 요청할 수 있는 범위와 에이전트 인프라가 검색할 수 있는 범위의 구분을 지워버릴 수 있다.

메모리는 노출 기간을 넓힌다. 에이전트 메모리는 이후 사용을 위해 사실이나 컨텍스트를 저장하며, 이는 세션 간 연속성을 유지하는 데 도움이 된다.

하지만 영속 메모리는 오염된 지시, 기밀 자료 또는 잘못된 보안 가정을 보존할 수 있다. 한 작업 중 도입된 문제가 나중에 다른 사용자나 워크플로에 영향을 줄 수 있다.

로그는 두 번째 데이터 저장소가 될 수 있다. 상세한 추적 기록은 팀이 에이전트의 결정을 조사하는 데 도움을 주지만, 프롬프트, 검색된 문서, 자격 증명 또는 개인 정보를 포함할 수 있다.

따라서 팀은 하나의 위험을 줄이는 동시에 다른 위험을 만들 수 있다. 보호가 미흡한 관측 가능성 데이터는 에이전트가 무엇을 보고 무엇을 시도했는지 기록하기 때문에 가치 있는 표적이 된다.

멀티 에이전트 시스템은 전송을 더 늘린다. 한 에이전트가 정보를 수집하고, 두 번째 에이전트가 이를 분석하며, 세 번째 에이전트가 결과를 전달할 수 있다.

모든 전달에는 인증된 ID, 제한된 권한, 검증된 데이터가 필요하다. 그렇지 않으면 손상된 구성 요소가 신뢰된 내부 트래픽처럼 보이게 하면서 유해한 지시를 하류로 전달할 수 있다.

외부 공격자는 여전히 중요하지만, 최종 행동은 기업 내부에서 발생한다. 이는 승인된 ID를 통해 도착하고 방어자가 정상으로 간주할 수 있는 애플리케이션 경로를 따른다.

이것이 내부발 문제다. 보안 실패는 합법적인 접근 권한에서 시작해 내부 데이터 경계를 넘고, 허용된 도구를 통해 외부로 빠져나간다.

ID 팀이 가장 먼저 압박을 받는 이유

AI 에이전트는 사용자처럼 행동하고, 서비스처럼 인증하며, 두 집단을 위해 구축된 거버넌스 프로세스보다 더 빠르게 작동한다.

인간 접근 시스템은 식별 가능한 직원, 직무 역할, 관리자 및 고용 수명 주기를 전제로 한다. 서비스 계정은 일반적으로 안정적인 기능을 수행하는 예측 가능한 소프트웨어를 지원한다.

에이전트는 어느 범주에도 완전히 들어맞지 않는다. 그 행동은 프롬프트, 검색된 컨텍스트, 사용 가능한 도구, 모델 버전 및 중간 결과에 따라 달라진다.

에이전트는 API 토큰으로 인증하고, 직원을 대신해 행동하며, 작업 일부를 다른 에이전트에 위임할 수 있다. 이로 인해 하나의 워크플로 안에 여러 ID가 생긴다.

보안 팀은 누가 요청을 시작했는지 알아야 한다. 또한 어떤 에이전트가 행동했는지, 어떤 자격 증명을 사용했는지, 누구의 인가가 적용됐는지도 파악해야 한다.

최종 행동은 이러한 ID에 계속 귀속될 수 있어야 한다. 이 연결 고리가 없으면 사고 대응자는 승인된 API 호출을 보면서도 그 배경에 있는 추론이나 사용자 의도를 이해하지 못할 수 있다.

NIST는 2026년 에이전트 ID 프로젝트에서 이 격차를 인식했다. 제안된 작업은 소프트웨어 에이전트의 식별, 인가, 감사 및 부인 방지에 초점을 맞춘다.

이러한 요구 사항은 확립된 ID 관행과 유사하지만, 에이전트는 운영 속도를 바꾼다. 분기별 접근 검토만으로는 한 작업이 끝난 지 몇 분 뒤 불필요해지는 권한을 통제할 수 없다.

상시 접근 권한은 누적 문제를 만든다. 팀은 파일럿을 위해 권한을 부여하고, 편의를 위해 이를 유지하다가, 나중에는 에이전트를 또 다른 시스템에 연결한다.

관리자가 의도적으로 하나의 고권한 슈퍼 에이전트를 만들지 않더라도 에이전트의 실질적인 도달 범위는 커진다. 개별 권한이 결합되어 위험한 경로를 형성할 수 있다.

예를 들어 데이터베이스 읽기 접근만으로는 안전해 보일 수 있다. 외부 웹 접근 역시 정당한 리서치 작업을 지원할 수 있다.

그러나 이 기능들이 함께 있으면 민감한 레코드가 조직 밖으로 나갈 수 있다. 보안 팀은 총위험이 각각의 권한을 개별적으로 볼 때보다 크기 때문에 이러한 조합을 흔히 독성으로 부른다.

압박은 애플리케이션 소유자에게도 가해진다. 이들은 에이전트에 범용 관리 인터페이스를 넘겨주기보다 더 좁은 기능을 제공해야 한다.

일정 관리 에이전트는 캘린더 예약을 생성해야 할 수 있다. 그렇다고 모든 이벤트를 삭제하거나 모든 참석자의 비공개 메모를 읽을 권한까지 반드시 필요한 것은 아니다.

데이터 소유자는 관련된 결정을 내려야 한다. 소프트웨어가 기계 속도로 정보를 검색하고, 요약하고, 재배포할 수 있을 때 기존 사용자 권한이 여전히 적절한지를 판단해야 한다.

기술적으로 수천 개 문서를 열 수 있는 직원도 실제로는 모두 검토하지 않는다. 에이전트는 그 접근 권한을 빠르게 순회하며 과거에는 노출을 제한했던 실질적 마찰을 제거할 수 있다.

그렇다고 모든 에이전트가 사용자보다 적은 접근 권한을 받아야 한다는 뜻은 아니다. 인가는 요청된 작업, 목적지, 데이터 민감도 및 제안된 행동을 고려해야 한다는 의미다.

정적인 역할 기반 접근 제어만으로는 이러한 모든 조건을 표현할 수 없다. 기업에는 워크플로 전반의 정책 검사가 필요하며, 특히 민감한 검색이나 외부 통신 전에 중요하다.

Google News는 조직 소유권을 가로지르는 보안 이슈를 확산시키고 있다. ID 팀은 자격 증명을 통제하고, 애플리케이션 팀은 도구를 구축하며, 데이터 팀은 정보를 분류한다.

AI 프로그램 리더는 종종 배포 속도를 통제한다. 이 그룹들이 독립적으로 움직이면, 에이전트는 각자의 공백을 상속하고 이를 하나의 실행 경로로 연결한다.

생산성 약속이 이제 보안 현실과 충돌한다

에이전트는 컨텍스트와 권한을 얻을수록 더 유용해지지만, 바로 그 기능은 조작이나 오류로 인한 피해도 키운다.

유용한 기업용 에이전트는 실제 업무를 완수할 만큼 충분히 알아야 한다. 관련 시스템에 접근할 수 있어야 하고, 사용자 컨텍스트를 이해하며, 승인된 행동을 수행할 권한도 필요하다.

그러한 기능을 제거하면 더 안전하지만 제한적인 챗봇이 된다. 기능을 확장하면 유능한 작업자가 되지만, 그 실수는 운영상 영향을 초래할 수 있다.

이것이 Dark Reading 보도의 핵심적인 트레이드오프다. 목표는 에이전트 자율성을 없애는 것이 아니다. 자율성이 무제한 권한으로 변질되는 것을 막는 데 있다.

보안 통제는 위험을 줄일 수 있지만, 어느 하나도 단독으로 완전한 해답을 제공하지는 못한다. 프롬프트 필터는 익숙한 악성 언어를 탐지할 수 있지만, 공격자는 지시를 인코딩하거나 위장할 수 있다.

모델 기반 가드레일은 더 근본적인 한계에 직면한다. 확률적 시스템이 또 다른 확률적 시스템을 평가하며, 유사한 취약점이 두 계층 모두에 영향을 미칠 수 있다.

사람의 승인은 행동이 드물고 중대한 결과를 낳을 때 도움이 된다. 그러나 직원들이 실질적으로 검토할 수 없는 복잡한 요청을 일상적으로 승인하게 되면 그 유용성은 떨어진다.

승인 프롬프트에는 명확한 정보도 필요하다. 사용자는 단지 “워크플로 계속” 또는 “커넥터 사용”으로 설명된 행동을 판단할 수 없다.

인터페이스는 리소스, 작업, 수신자, 데이터 범주를 식별해야 한다. 또한 요청된 행동이 원래 작업을 따르는 이유를 설명해야 한다.

최소 권한은 발생 가능한 피해를 줄인다. 그러나 변화하는 다단계 워크플로에 필요한 최소 권한을 정의하는 일은 전통적인 단일 애플리케이션의 범위를 설정하는 것보다 어렵다.

한 단계에서는 적절한 권한이 다음 단계에서는 과도할 수 있다. 영구 액세스보다 임시적이고 작업에 귀속된 자격 증명이 더 나은 모델을 제공한다.

런타임 모니터링은 또 다른 계층을 제공한다. 비정상적인 검색 규모, 새로운 대상지, 이례적인 도구 조합, 또는 에이전트의 기준 행동에서 벗어나는 행위를 탐지할 수 있다.

그러나 이상 탐지에는 이력, 맥락, 신뢰할 수 있는 귀속 정보가 필요하다. 새 에이전트는 안정적인 기준선이 없을 수 있고, 정당한 워크플로도 크게 달라질 수 있다.

Dark Reading은 현재 에이전트의 약 90%가 낮은 수준의 자율성을 지닌다는 Gartner 연구를 보도했다. 나머지 10%는 더 광범위한 도구, 데이터 액세스, 런타임 재량권을 보유한다.

이러한 고자율성 시스템은 실패 모드가 단순히 잘못된 텍스트를 생성하는 데 그치지 않기 때문에 집중적인 통제가 필요하다. 운영 시스템을 변경하거나 기밀 데이터를 이동시킬 수 있다.

같은 보고서는 400명 이상의 기술 및 보안 리더를 대상으로 한 벤더 설문조사도 인용했다. 응답자의 84%는 자신의 에이전트가 민감한 데이터에 접근할 수 있다고 답했다.

또 다른 67%는 에이전트가 접근해서는 안 될 정보에 접근했다고 믿었다. 이 수치는 보안 벤더 설문조사에서 나온 것이므로, 보편적인 사고 발생률이 아니라 우려를 나타낸다.

그럼에도 이 결과는 아키텍처적 위험과 일치한다. 기업은 신원, 도구, 데이터 경로, 상속된 권한의 완전한 목록을 갖추기 전에 에이전트를 연결하는 경우가 많다.

회의적인 관점도 필요하다. 모든 에이전트가 새로운 종류의 파국적 위협을 의미하는 것은 아니다.

많은 위험은 서비스 계정, 과도한 권한, 안전하지 않은 통합, 취약한 데이터 거버넌스와 관련된 익숙한 실패와 닮아 있다. 더 잘 정립된 통제로 이들 중 상당 부분을 예방할 수 있다.

달라지는 것은 그 조합이다. 에이전트는 공격자가 통제하는 언어를 처리하면서 동적으로 행동을 선택하는 반면, 전통적인 통합은 미리 정해진 코드 경로를 따른다.

이 차이는 행동을 덜 예측 가능하게 만든다. 또한 초기 로그인 품질보다 런타임 인가의 품질을 더 중요하게 만든다.

에이전트 데이터 노출을 제한하는 통제 수단

모델 내부의 지시는 자체 권한을 강제할 수 없으므로, 기업에는 모델을 둘러싼 결정론적 통제가 필요하다.

첫 번째 요건은 에이전트 인벤토리다. 보안 팀은 존재 자체를 알지 못하는 신원, 커넥터, 도구, 데이터 저장소를 관리할 수 없다.

인벤토리에는 운영 중인 에이전트, 내부 파일럿, 벤더 애플리케이션, 직원이 설치한 어시스턴트가 포함되어야 한다. 여전히 활성 상태인 자격 증명을 보유한 폐기 프로젝트도 포착해야 한다.

각 에이전트에는 고유한 신원이 필요하다. 공유 API 키는 귀속을 가리고 권한 해지를 어렵게 만든다.

이 신원은 소유자, 승인된 목적, 모델, 도구 세트, 수명 주기 상태에 매핑되어야 한다. 기업은 프로젝트가 종료되거나 소유자가 퇴사할 때 이를 비활성화해야 한다.

두 번째 요건은 작업 범위 인가다. 액세스 결정은 사용자가 요청한 내용과 에이전트가 현재 제안하는 행동을 평가해야 한다.

한 폴더를 요약해 달라는 요청이 모든 리포지터리에 대한 검색을 인가해서는 안 된다. 이메일 초안 작성 요청이 자동으로 발송 권한을 부여해서도 안 된다.

세 번째 요건은 읽기와 행동의 분리다. 신뢰할 수 없는 콘텐츠를 처리하는 에이전트가 영향력이 큰 도구를 자동으로 제어해서는 안 된다.

OWASP의 agent security guidance는 최소 도구 액세스, 격리된 메모리, 위험한 행동에 대한 사람의 검토, 구조화된 모니터링을 권고한다.

한 가지 아키텍처 옵션은 구성 요소를 분리하는 방식이다. 제한된 모델이 외부 콘텐츠를 읽고, 권한 있는 구성 요소는 검증된 구조화 정보만 받는다.

이 접근 방식이 조작을 제거하지는 않지만, 적대적 텍스트에서 인가된 행동으로 이어지는 직접 경로를 끊는다.

네 번째 요건은 데이터를 인지하는 강제 적용이다. 도구는 요청된 정보를 반환하기 전에 해당 정보의 분류를 평가해야 한다.

강제 적용 지점은 모델 외부에 있어야 한다. 모델은 쿼리를 제안할 수 있지만, 어떤 레코드와 필드를 사용할 수 있는지는 결정론적 정책이 결정해야 한다.

기업은 사용자의 보안 컨텍스트도 보존해야 한다. 한 직원을 대신해 행동하는 에이전트가 더 광범위한 서비스 신원으로 조용히 전환해서는 안 된다.

가능한 경우 읽기 전용 액세스가 기본값이어야 한다. 쓰기, 삭제, 발송, 게시, 결제 기능에는 더 좁은 범위와 더 강력한 검사가 필요하다.

다섯 번째 요건은 대상지 통제다. 조직은 에이전트가 무엇을 읽을 수 있는지에 집중하면서, 결과를 어디로 보낼 수 있는지는 간과하는 경우가 많다.

허용 목록 도메인, 승인된 수신자, 콘텐츠 검사, 제한된 네트워크 경로는 데이터 유출을 제한할 수 있다. 이러한 통제는 프롬프트 방어가 실패하더라도 여전히 유용하다.

여섯 번째 요건은 보호된 메모리다. 민감한 자료는 명확한 목적, 보존 기간, 액세스 경계 없이 장기 메모리에 들어가서는 안 된다.

메모리는 사용자와 워크스페이스 간에 격리된 상태로 유지되어야 한다. 팀은 저장된 컨텍스트에서 자격 증명, 개인정보, 의심스러운 지시를 검사해야 한다.

일곱 번째 요건은 실질적인 관찰 가능성이다. 로그는 사용자 요청, 에이전트 신원, 도구 호출, 인가 결정, 데이터 범주, 행동 결과를 기록해야 한다.

그러나 모든 비밀 정보를 평문으로 복사해서는 안 된다. 조사 기록도 또 다른 노출 표면이 될 수 있으므로, 마스킹과 통제된 액세스가 필수적이다.

검색 가능한 지식 기반에도 명확한 소스 권한과 검색 경계가 필요하다. 검색 편의성이 문서 수준의 액세스 규칙을 없애서는 안 된다.

마지막으로 팀은 전체 워크플로를 테스트해야 한다. 모델 평가만으로는 신원, 검색, 메모리, 도구, 외부 콘텐츠가 상호작용할 때 어떤 일이 일어나는지 알 수 없다.

레드 팀은 오염된 문서, 오해를 부르는 이메일, 과도한 요청, 사용자 간 메모리 테스트, 승인되지 않은 대상지를 활용해야 한다. 모델, 프롬프트, 커넥터 또는 정책이 변경될 때마다 테스트를 반복해야 한다.

이번 Google News 경고 이후 주시할 세 가지 신호

다음 시험대는 기업이 광범위하고 상시적인 에이전트 액세스를 가시적이고 일시적이며 강제 가능한 권한으로 대체하는지 여부다.

첫 번째 신호는 에이전트 전용 신원의 도입이다. Microsoft와 다른 플랫폼 제공업체는 에이전트를 등록하고, 권한을 할당하며, 행동을 기록하는 방법을 추가하고 있다.

등록만으로는 충분하지 않다. 기업이 모든 행동을 에이전트, 요청을 시작한 사용자, 자격 증명, 위임된 서비스까지 추적할 수 있게 될 때 의미 있는 변화가 나타날 것이다.

이러한 기록이 표준 신원 거버넌스 및 사고 대응 시스템에 나타난다면, 내부에서 발생하는 위험을 조사하기가 더 쉬워진다. 공유 토큰에 계속 의존한다면 이러한 진전은 약화될 것이다.

두 번째 신호는 런타임에서의 강제 적용이다. 보안 팀에는 전체 에이전트를 중단하지 않고도 하나의 도구 호출을 거부할 수 있는 통제가 필요하다.

작업에 귀속된 자격 증명, 짧은 인가 기간, 데이터를 인지하는 정책, 제안된 작업을 식별하는 승인 프롬프트를 주시해야 한다. 이러한 기능은 자율성과 통제가 공존할 수 있다는 근거를 강화할 것이다.

“안전한 에이전트”에 관한 마케팅 주장은 그 자체로는 거의 증거가 되지 않는다. 구매자는 인가가 모델 외부에서 이루어지는지, 그리고 정책이 모든 후속 요청에 적용되는지 물어야 한다.

세 번째 신호는 공개된 사고 증거다. 시장에는 에이전트 실패, 아차 사고, 데이터 노출에 대한 일관된 보고가 여전히 부족하다.

유용한 공개 자료는 시작 입력, 사용 가능한 도구, 실제 적용 권한, 실패한 보호 장치, 최종 영향을 설명해야 한다. 이런 세부 정보 없는 집계 주장은 새로운 통제가 작동하는지 보여줄 수 없다.

규제기관과 표준화 단체도 여기서 중요하다. NIST의 에이전트 표준 작업은 기업에 신원, 인가, 감사 가능성을 위한 공통 언어를 제공할 수 있다.

벤더들이 더 많은 워크플로에 에이전트를 배치함에 따라 Google News는 계속 경고를 노출할 것이다. 독자는 자극적인 헤드라인을 넘어 각 사건 뒤의 액세스 경로를 살펴봐야 한다.

어떤 기업용 에이전트를 신뢰하기 전에 세 가지 질문을 던져야 한다. 무엇을 읽을 수 있는가, 무엇을 할 수 있는가, 결과를 어디로 보낼 수 있는가?

조직이 강제 가능한 정책과 감사 가능한 기록을 통해 이 세 가지 모두에 답할 수 없다면, 그 에이전트는 단순한 어시스턴트가 아니다. 잘못된 지시를 기다리는 무제한 내부 신원이다.