악성 AI 스킬이 기업 보안 위험을 확대한다

Google News는 기업 AI를 둘러싼 뚜렷한 충돌을 드러냈다. 에이전트는 스킬을 통해 유용한 기능을 얻는 반면, 공격자는 바로 그 확장 기능을 악용한다. 보안 업체 ESET의 최근 연구는 분석 대상 약 90만 개 가운데 3,000개가 넘는 악성 스킬을 식별했다. 이는 편리한 에이전트 기능을 소프트웨어 공급망 문제로 바꿔 놓는다.

우려는 하나의 마켓플레이스나 악성코드 캠페인에 그치지 않는다. AI 스킬은 지침, 스크립트, 외부 문서, 민감한 시스템에 대한 접근 권한을 결합할 수 있다. 따라서 손상된 스킬은 에이전트의 의사결정과 에이전트가 제어하는 도구 모두에 영향을 미칠 수 있다.

기업은 이제 자율성과 통제 사이에서 균형을 잡아야 한다. 개방형 생태계는 실험을 가속하지만, 신뢰 신호는 기존 소프트웨어 패키지를 둘러싼 신호보다 여전히 약하다. 연구자들은 이미 저장소의 인기, 마켓플레이스 승인, 정적 스캔이 모두 동시에 실패할 수 있음을 보여줬다.

Google News가 조명한 악성 AI 스킬

중요한 변화는 악성 확장 기능의 첫 등장 자체가 아니라 그 규모다.

ESET의 2026년 상반기 연구는 2025년 12월부터 2026년 5월까지 관찰된 위협 활동을 다뤘다. 회사는 약 90만 개의 AI 스킬을 분석해 수만 건의 의심 사례를 발견했다고 밝혔다. 이 중 3,000개 이상이 악성으로 분류됐다.

AI 스킬은 에이전트에 작업 완료 방식, 도구 사용법, 관련 정보 처리 방식을 알려주는 재사용 가능한 패키지다. 일부 스킬은 지침에 불과하다. 다른 스킬은 에이전트를 스크립트, 서비스, 파일, 명령줄 도구 또는 변화하는 웹 리소스와 연결한다.

연구 기간 중 분석 대상은 급격히 확대됐다. 조사 결과를 바탕으로 한 보도에 따르면 ESET은 3월 약 6만 개의 고유 스킬을 스캔했고, 5월에는 거의 90만 개를 스캔했다. 의심 탐지 건수는 이 기간 약 1만 건에서 2만5,000건 이상으로 증가했다.

악성 탐지 건수는 약 600건에서 3,000건 이상으로 늘었다. 이 수치가 모든 저장소의 감염률이 같다는 뜻은 아니다. 다만 보안팀이 평가해야 할 제3자 에이전트 행위의 규모가 커지고 있음을 보여준다.

ESET의 공개 위협 보고서 요약은 스킬을 에이전트가 사용하는 작은 기능 구성 요소로 설명한다. 회사는 조사한 저장소 전반에서 악성 및 의심 사례를 발견했다.

연구자들은 명령 실행, 코드 주입, 파일 접근, 자격 증명 로딩, 난독화, 외부 다운로드와 연관된 기능을 관찰했다. 이러한 기능이 자동으로 악성인 것은 아니다. 스킬의 표방된 목적이 이를 정당화하지 못할 때 위험해진다.

정상적인 개발자 스킬은 애플리케이션 빌드를 위해 셸 접근이 필요할 수 있다. 문서 보조 도구는 선택한 파일을 읽을 권한이 필요할 수 있다. 보안상 핵심 질문은 이러한 권한이 제한적이고 가시적이며 승인된 비즈니스 목적과 연결돼 있는지다.

전통적인 악성코드는 흔히 실행 파일, 첨부파일 또는 손상된 패키지 형태로 유입된다. 악성 AI 스킬은 또 다른 전달 형식을 추가한다. 유해한 지침은 에이전트가 운영 지침으로 받아들이는 일반 언어 안에 들어갈 수 있다.

이 설계는 탐지를 복잡하게 만든다. 검토 시 스킬에 식별 가능한 악성 바이너리가 없을 수도 있다. 대신 에이전트를 외부 페이지로 유도하거나, 나중에 새 지침을 받아오거나, 이미 존재하는 정상 도구를 오용하도록 할 수 있다.

Google News 항목이 중요한 이유는 이러한 개별 발견을 기업 위험의 서사로 연결하기 때문이다. 위협은 더 이상 실험적인 개인용 에이전트에 국한되지 않는다. 스킬은 엔지니어, 마케터, 분석가, 디자이너, 영업팀이 사용하는 워크플로에 진입하고 있다.

이들 사용자는 확장 기능 설치를 소프트웨어 배포처럼 여기지 않을 수 있다. 짧은 텍스트 파일은 애플리케이션 설치 프로그램보다 덜 위험해 보인다. 그러나 그 파일을 읽는 에이전트는 이미 이메일, 클라우드 스토리지, 소스 코드 또는 내부 지식에 접근할 수 있다.

겉모습과 권한 사이의 간극이 핵심 긴장을 만든다. 스킬은 종종 문서처럼 보이지만, 실행 가능한 워크플로 로직처럼 작동할 수 있다. 기업은 이를 무해한 프롬프트처럼 관리해서는 안전하지 않다.

AI 에이전트 보안이 이제 공급망 방어를 닮아가는 이유

에이전트가 회사 시스템 안에서 행동하기 위해 스킬에 의존하는 순간, 그 스킬은 기업 의존성이 된다.

소프트웨어 공급망 보안은 구성 요소의 출처, 유지관리 주체, 배포된 버전, 업데이트가 프로덕션에 도달하는 방식을 추적한다. 악성 AI 스킬에도 같은 통제 수단이 다수 필요하다. 동시에 기존 패키지 스캔이 해석하도록 설계되지 않은 행동상 위험도 도입한다.

스킬은 소프트웨어 취약점을 악용하지 않고도 여러 신뢰된 도구를 조정할 수 있다. 예를 들어 에이전트에 자격 증명을 찾고, 파일을 변환한 뒤, 결과를 다른 곳으로 보내라고 지시할 수 있다. 개별 도구 호출은 각각 따로 볼 경우 정상적으로 보일 수 있다.

위험은 에이전트의 권한과 함께 커진다. 텍스트 초안 작성으로 제한된 보조 도구는 셸, 브라우저, 코드 저장소, 클라우드 계정에 연결된 도구보다 노출 범위가 작다. 기업 에이전트는 점점 후자에 가까워지고 있다.

이는 증폭 효과를 만든다. 스킬은 지침을 제공하고, 에이전트는 권한, 추론, 실행 능력을 제공한다. 공격자는 악성 확장 기능에 모든 기능을 직접 구현할 필요가 없다.

OpenClaw의 ClawHub 마켓플레이스는 초기 사례 연구가 됐다. 연구자들은 자격 증명과 암호화폐 자산을 겨냥한 악성 스킬을 기록했다. 일부는 이미 알려진 악성코드를 전달했고, 다른 일부는 에이전트 주도 거래를 조작했다.

Palo Alto Networks의 Unit 42는 2026년 2월부터 5월까지의 마켓플레이스 활동을 조사했다. 공급망 분석은 새 심사 조치가 도입된 뒤에도 차단되지 않은 악성 스킬 5개를 식별했다.

이 중 2개는 명령·제어 인프라와 연결된 macOS 정보 탈취기를 전달했다. 또 다른 하나는 스캐너 임계값을 우회하기 위해 파일을 부풀렸다. 추가 스킬들은 자율형 에이전트 특유의 행위를 통해 금융 조작을 시도했다.

Unit 42는 이 스킬 5개를 ClawHub에 신고했다. 마켓플레이스는 이를 삭제하고 관련 계정을 차단했다. 이 대응은 즉각적인 노출을 줄였지만, 근본적인 유통 문제를 없애지는 못했다.

이전 발견 사례는 이미 ClawHub가 VirusTotal과 ClawScan을 통합하도록 이끌었다. 이 서비스들은 사전 심사와 코드 수준 분석을 추가했다. OpenClaw는 Nvidia와 협력해 스킬 분석과 문서화 작업을 진행한다고도 발표했다.

이 과정은 시사하는 바가 크다. 마켓플레이스는 악성 캠페인이 등장한 뒤 방어 수단을 추가했지만, 연구자들은 계속해서 회피형 스킬을 찾아냈다. 이는 브라우저 확장 기능, 패키지 레지스트리, 모바일 애플리케이션을 둘러싼 오랜 경쟁과 닮아 있다.

에이전트 스킬은 실제 콘텐츠가 내려받은 아티팩트 밖으로 확장될 수 있어 또 다른 복잡성을 더한다. 로컬 스킬은 에이전트에 온라인 문서를 읽으라고 지시할 수 있다. 검토된 스킬을 바꾸지 않아도 외부 페이지는 변경될 수 있다.

따라서 보안팀은 설치 시점의 판정에만 의존할 수 없다. 안전하다는 결과는 스캐너가 특정 시점에 관찰한 내용을 설명할 뿐이다. 모든 의존성이 변하지 않은 채 유지된다는 보장은 아니다.

직원이 스킬을 직접 추가할 수 있으면 기업 인벤토리 관리도 더 어려워진다. 기업은 에이전트 플랫폼을 승인했더라도 사용자가 이후 어떤 커뮤니티 확장 기능을 설치하는지 모를 수 있다. 이는 공식 승인된 제품 내부에 섀도 AI 행위를 만든다.

이 구분은 사고 대응에서 중요하다. 조사자는 어떤 스킬이 실행됐는지, 어떤 지침을 로드했는지, 어떤 도구를 호출했는지, 어떤 정보에 접근했는지를 알아야 한다. 일반적인 애플리케이션 로그는 이 전체 연결 고리를 포착하지 못할 수 있다.

조직은 이미 일부 시스템에 대해 소프트웨어 자재명세서(SBOM)를 유지한다. 에이전트 배포에는 모델, 도구, 스킬, 외부 지침 소스, 권한, 버전을 포괄하는 관련 기록이 필요하다. 이 지도가 없으면 대응팀은 노출 범위를 신뢰성 있게 판단할 수 없다.

검색 가능한 내부 기록은 위험한 확장 기능이 발견된 뒤 조사도 지원할 수 있다. 엔지니어링 지식 기반을 통해 로컬 기술 증거를 정리하는 팀은 검토 결정, 소유권, 개선 조치의 맥락을 보존할 수 있다.

그 기록이 런타임 보안을 대체하지는 않는다. 누가 어떤 이유로 의존성을 승인했는지 파악하는 데 도움이 된다. 더 큰 요구 사항은 에이전트가 무엇을 읽고, 호출하고, 전송할 수 있는지에 대한 지속적인 통제다.

핵심 트레이드오프는 에이전트 자율성과 기업 통제의 충돌이다

스킬은 반복적인 감독을 줄여 에이전트의 능력을 높이지만, 동시에 악성 지침이 작동할 여지도 제공한다.

기업 에이전트는 여러 단계의 작업을 완료할 수 있을 때 유용해진다. 요구 사항을 수집하고, 파일을 검사하고, 서비스를 조회하고, 결과물을 생성한 뒤, 결과를 전달할 수 있다. 사소한 행동마다 승인을 요구하면 그러한 가치의 상당 부분이 사라진다.

광범위한 자율성을 부여하면 사용성 문제는 해결되지만 잠재적 피해 범위는 커진다. 손상된 확장 기능은 에이전트의 생산성을 높이는 바로 그 연결을 재사용할 수 있다. 공격자는 에이전트의 승인된 워크플로를 통해 간접적으로 접근 권한을 물려받는다.

이는 단순히 개방형 플랫폼과 폐쇄형 플랫폼의 경쟁이 아니다. 선별된 카탈로그도 손상된 구성 요소를 배포할 수 있다. 비공개 스킬도 저장소, 유지관리자 계정 또는 외부 의존성이 변경된 뒤 위험해질 수 있다.

개방형 마켓플레이스는 게시와 설치의 마찰이 적을 수 있어 노출을 늘린다. 동시에 연구, 삭제, 커뮤니티 검토도 가능하게 한다. 모든 에이전트를 내부에서 작성한 스킬로만 제한하면 일부 위험은 줄겠지만, 새로운 유지관리 부담이 생긴다.

결정적인 문제는 권한이 최소 권한 원칙을 따르는지다. 랜딩 페이지 스킬에 SSH 키나 클라우드 자격 증명에 대한 무제한 접근 권한이 필요해서는 안 된다. 요약 스킬이 내려받은 셸 스크립트를 조용히 실행해서도 안 된다.

이 원칙이 익숙하게 들리는 이유는 실제로 익숙한 원칙이기 때문이다. 최소 권한은 수십 년 동안 ID 및 애플리케이션 보안을 이끌어 왔다. 에이전트 시스템에서는 에이전트가 개별적으로 허용된 여러 행동을 안전하지 않은 순서로 조합할 수 있어 집행이 더 어렵다.

스킬은 의미론적 계층에서도 작동한다. 지침은 자연어로 목표와 절차를 설명한다. 전통적인 보안 통제는 알려진 코드 패턴, 파일 해시, 네트워크 지표를 식별하는 데 탁월하다.

위험한 행위가 그럴듯한 운영 지침으로 표현될 때는 효과가 떨어진다. 지침은 에이전트에 사전 요건을 확보하거나, 계정을 검증하거나, 구성을 동기화하라고 요청할 수 있다. 유해한 의도는 맥락 속에서만 드러난다.

OWASP의 에이전트 스킬 가이드는 이 행동 계층을 도구 연결 계층과 구분한다. 도구는 가능한 행동을 정의하고, 스킬은 그러한 행동을 워크플로로 조율한다.

OWASP는 주요 위험으로 악성 스킬, 공급망 침해, 과도한 권한, 신뢰할 수 없는 외부 지침, 취약한 격리, 업데이트 드리프트를 꼽는다. 이 목록은 하나의 스캐너나 정책만으로는 전체 문제를 포괄할 수 없는 이유를 보여준다.

안전한 아키텍처에는 여러 경계가 필요하다. 마켓플레이스는 출처를 확립해야 한다. 에이전트 플랫폼은 권한을 강제해야 한다. 런타임 제어는 행동을 관찰해야 하며, 조직은 인벤토리와 소유권을 유지해야 한다.

인간의 승인은 의미 있는 위험을 중심으로 배치될 때 여전히 유용하다. 일반적인 초안을 내부 폴더로 전송하는 일은 자동으로 진행될 수 있다. 기밀 파일을 업로드하거나 프로덕션 인프라를 변경하는 작업에는 더 강력한 승인이 필요하다.

과제는 무의미한 프롬프트를 피하는 것이다. 사용자는 자신이 이해하지 못하는 요청도 일상적으로 승인하며, 특히 중단이 잦아질수록 그 경향이 강해진다. 승인 대화상자는 과도한 기본 권한이나 보이지 않는 의존성 변경을 보완할 수 없다.

기업 구매자는 스킬의 유용성과 신뢰성을 구분해야 한다. 인기는 채택을 보여줄 뿐 보안을 의미하지는 않는다. 많은 스타 수는 사회적 증거를 만들 수 있지만, 외부 지침의 현재 동작에 대해서는 아무것도 말해주지 않는다.

같은 주의는 마켓플레이스 배지에도 적용된다. 승인은 제출물이 검토를 통과했음을 확인할 수 있다. 하지만 연결된 리소스, 리포지터리 소유권 또는 하위 패키지가 안정적으로 유지될 것까지 보장하지는 않는다.

이러한 상충 관계는 기업 도입의 양상을 결정할 것이다. 모든 확장을 차단하는 보안팀은 실험을 관리되지 않는 환경으로 밀어낼 것이다. 무제한 설치를 허용하는 팀은 검사할 수 없는 의존성 그래프가 계속 확장되는 상황을 만들게 된다.

실현 가능한 중간 지점은 거버넌스가 적용된 자율성이다. 사용자는 승인된 기능에 접근할 수 있고, 고위험 작업은 계속 분리되고 관찰 가능하게 유지된다. 스킬에는 호스트 에이전트에서 사용할 수 있는 모든 권한이 아니라, 목적에 맞는 권한만 부여된다.

거버넌스가 적용된 자율성에는 권한 철회도 필요하다. 스킬이 안전하지 않게 되면 관리자는 모든 설치 위치를 찾아 비활성화하고, 노출된 자격 증명을 무효화하며, 관련 활동을 검토할 수 있어야 한다. 단순히 마켓플레이스에서 내려가는 것만으로는 충분하지 않다.

정적 스캐너가 신뢰 경쟁에서 밀리고 있다

가장 강력한 경고는 이용 가능한 스캐너를 통과한 뒤 26,000개가 넘는 에이전트에 도달한 것으로 알려진, 겉보기에는 무해한 리서치 스킬에서 나왔다.

AIR Security 연구진은 brand-landingpage라는 스킬을 만들었다. 이 스킬은 비기술 사용자가 Google의 Stitch 디자인 도구로 랜딩 페이지를 구축하도록 돕는 것처럼 보였다. 실제 기능을 제공했기에 제안의 신뢰성도 높았다.

연구진은 이 스킬을 156개 스킬과 약 36,000개의 GitHub 스타를 보유한 인기 오픈소스 컬렉션에 제출했다. 기여는 며칠 후 승인됐다. 이후 AIR는 마케터, 디자이너, 영업 담당자를 겨냥한 Instagram 광고로 이 스킬을 홍보했다.

패키지된 스킬에는 처음부터 명백한 악성 페이로드가 들어 있지 않았다. 대신 에이전트를 연구진이 통제하는 도메인의 설치 문서로 안내했다. 해당 도메인은 처음에는 방문자를 합법적인 Stitch 서비스로 리디렉션했다.

AIR는 이후 외부 지침을 변경했다. 수정된 페이지는 에이전트에게 스크립트를 다운로드하고 실행하라고 지시했다. 실험에서 페이로드는 영향받은 사용자에게 알리기 위해 이메일 주소를 수집했다.

연구진은 어떤 에이전트도 피해를 입지 않았다고 밝혔다. 또한 이 기법이 비공개 대화와 연결된 내부 시스템에 도달할 수도 있었다고 말했다. 그러한 더 광범위한 영향은 실험에서 확인된 손실이 아니라 가능한 결과였다.

AIR의 통제된 스킬 테스트 설명에 따르면 Cisco, Nvidia, skills.sh의 스캐너는 해당 제출물을 안전한 것으로 표시했다. 이 결과는 정적 검토의 구조적 한계를 드러냈다.

스캐너는 스킬의 현재 파일을 검사해도 외부에 호스팅된 미래의 콘텐츠를 놓칠 수 있다. 외부 문서는 변경 가능한 의존성으로 작동한다. 마켓플레이스와 사용자가 신뢰를 형성한 뒤에도 소유자는 지침을 바꿀 수 있다.

이 방법은 기존 소프트웨어 생태계에서 발생하는 지연형 악성 업데이트와 닮았다. 차이는 전달 방식에 있다. 공격자는 에이전트가 나중에 권위 있는 절차적 지침으로 해석할 일반 언어를 바꿀 수 있다.

정적 분석은 여전히 가치가 있다. 알려진 악성 코드, 난독화된 명령, 의심스러운 URL, 과도한 권한, 위험한 패키지 의존성을 식별할 수 있다. 실수는 한 번의 깨끗한 스캔을 지속 가능한 신뢰 결정으로 취급하는 데 있다.

행동 기반 테스트는 한 겹의 방어를 더한다. 샌드박스는 제한된 에이전트 환경에서 스킬을 실행하고, 시도된 파일 접근, 다운로드, 명령, 네트워크 통신을 관찰할 수 있다. 이 접근법은 그럴듯한 텍스트 뒤에 숨은 행동을 드러낼 수 있다.

하지만 샌드박싱에도 한계가 있다. 공격자는 활성화를 지연시키거나, 환경 신호에 반응하거나, 알려진 분석 시스템에는 무해한 지침을 제공할 수 있다. 또한 테스트는 스킬과 기업 내부 도구 간의 모든 상호작용을 예측할 수 없다.

따라서 설치 후에도 지속적인 모니터링이 중요하다. 보안 시스템은 스킬이 새 도메인에 접속하거나, 더 넓은 데이터 접근을 요청하거나, 실행 패턴을 바꾸거나, 예상된 목적 밖의 도구를 호출할 때 이를 탐지해야 한다.

콘텐츠 고정은 외부 지침의 변경 위험을 줄일 수 있다. 기업은 검토된 문서 버전을 보존하거나 다운로드되는 구성 요소에 암호학적 해시를 요구할 수 있다. 에이전트는 변경 가능한 URL이 나중에 제공하는 내용을 자동으로 신뢰해서는 안 된다.

네트워크 제어는 또 다른 검문 지점을 제공한다. 인터넷 접근이 필요 없는 스킬에는 이를 부여해서는 안 된다. 그 밖의 스킬도 승인된 도메인, 메서드, 목적지로 제한할 수 있다.

런타임 가시성은 네트워크 트래픽을 넘어 확장돼야 한다. 방어자는 사용자 요청, 선택된 스킬, 가져온 지침, 모델 판단, 도구 호출, 그에 따른 데이터 이동을 연결하는 추적 기록이 필요하다. 그렇지 않으면 각 행동은 행동 맥락을 잃게 된다.

AIR 실험이 인기 있는 모든 스킬이 안전하지 않다는 것을 증명하는 것은 아니다. 이는 일반적인 신뢰 신호가 잘못된 결론을 중심으로 정렬될 수 있음을 보여준다. 평판, 마켓플레이스 승인, 스캐닝은 모두 같은 악의적으로 설계된 아티팩트를 뒷받침했다.

이것이 기업 리더가 유지해야 할 회의적 관점이다. 보안 벤더는 AI 전용 스캐너를 도입하고 있지만, 어떤 스캐너도 변경 가능한 워크플로에 영구적인 보증을 제공할 수는 없다. 제품 주장은 실제 우회 테스트와 투명한 실패율을 기준으로 평가해야 한다.

Google News 보도는 인식을 높일 수 있지만, 인식만으로 기술적 통제가 확립되지는 않는다. 구매자는 스킬이 검토를 통과한 뒤에도 에이전트 플랫폼이 행동을 제한할 수 있다는 증거를 필요로 한다. 예방과 격리는 함께 작동해야 한다.

확대되는 위험으로 압박받는 주체들

에이전트 플랫폼, 보안 벤더, 기업 구매자는 이제 어느 한쪽도 단독으로 통제할 수 없는 의존성에 대한 책임을 함께 지고 있다.

마켓플레이스 운영자가 가장 즉각적인 압박을 받는다. 이들은 빠른 커뮤니티 성장과 게시자 검증, 아티팩트 검토, 업데이트 제어, 사고 대응 사이의 균형을 맞춰야 한다. 제출 마찰이 커지면 성장이 느려질 수 있지만, 약한 통제는 신뢰를 훼손한다.

에이전트 플랫폼 개발자는 실행 환경을 통제한다. 스킬을 호스트 권한으로 실행할지, 컨테이너 내부에서 실행할지, 제한된 도구를 통해 실행할지를 결정한다. 이들의 아키텍처는 악성 지침이 어디까지 도달할 수 있는지를 결정한다.

보안 벤더는 다른 시험대에 놓여 있다. 코드, 자연어, 변경 가능한 웹사이트, 합법적인 관리 도구를 통해 표현되는 유해한 행동을 식별해야 한다. 기존 엔드포인트와 네트워크 신호는 여전히 가치가 있지만, 의미론적 맥락이 필수적이 된다.

기업 보안팀은 문제 전체를 외부에 맡길 수 없다. 어떤 플랫폼을 조직에 도입할지, 해당 플랫폼에 어떤 연결을 부여할지를 선택하는 것은 이들이다. 또한 직원이 검토 없이 커뮤니티 스킬을 설치할 수 있는지도 결정한다.

개발자는 코딩 에이전트가 흔히 셸과 리포지터리 접근 권한을 보유하기 때문에 여전히 고위험 집단이다. 악성 스킬은 소스 코드, 패키지 자격 증명, 서명 키, 클라우드 토큰 또는 배포 구성을 노릴 수 있다.

비기술 사용자는 다른 유형의 노출에 직면한다. 마케팅이나 영업 스킬은 이메일, 고객 기록, 브랜드 자산, 회의 노트, 콘텐츠 시스템에 접근할 수 있다. 친숙한 인터페이스는 기반 에이전트의 권한을 감출 수 있다.

따라서 조달팀에는 모델 정확성을 넘어서는 질문이 필요하다. 플랫폼이 설치된 스킬을 어떻게 발견하는지, 버전을 어떻게 기록하는지, 외부 지침을 어떻게 처리하는지, 사용자 환경을 어떻게 분리하는지를 물어야 한다.

또한 권한 철회를 이해해야 한다. 관리자는 모든 엔드포인트에서 스킬을 비활성화할 수 있는가? 스킬이 설치되어 있던 기간에 어떤 자격 증명을 사용할 수 있었는지 식별할 수 있는가?

컴플라이언스팀은 증거를 중요하게 볼 것이다. 에이전트가 승인되지 않은 스킬을 통해 고객 정보를 전송했다면, 조직은 어떤 일이 일어났는지 재구성해야 한다. 일반적인 챗봇 대화 기록만으로는 모든 후속 도구 호출을 설명하지 못할 수 있다.

사고 대응 담당자도 비슷한 요구에 직면한다. 이들에게는 변경 불가능한 로그와 신뢰할 수 있는 타임라인이 필요하다. 또한 제거된 스킬이 예약 프로세스나 변경된 구성처럼 다른 위치에 지속성을 만들었는지도 알아야 한다.

Unit 42의 조사 결과는 이 문제를 보여준다. 연구진은 악성 마켓플레이스 활동과 연관된 지속성 메커니즘을 관찰했다. 눈에 보이는 목록을 제거한다고 해서 배포된 모든 페이로드나 명령 채널이 자동으로 무력화되지는 않았다.

기업은 악성 설치가 확인된 뒤 에이전트 자격 증명이 노출됐을 가능성이 있다고 취급해야 한다. 이는 관련 토큰을 철회하고, 인증 활동을 검토하며, 수정된 파일을 확인하고, 외부 연결을 조사한다는 의미다.

위험은 모든 배포 환경에 균등하게 분포하지 않는다. 합성 데이터를 사용하는 격리된 리서치 에이전트는 제한적인 결과를 초래한다. 프로덕션 시스템에 연결된 자율 에이전트는 훨씬 더 큰 통제 문제를 만든다.

이 구분은 정책을 이끌어야 한다. 조직은 접근 가능한 데이터, 사용 가능한 도구, 자율성, 네트워크 도달 범위, 비즈니스 영향을 기준으로 에이전트와 스킬을 분류할 수 있다. 고위험 조합에는 더 엄격한 검토와 모니터링이 적용된다.

이 압박은 AI 거버넌스 프로그램에도 미친다. 많은 프로그램이 모델 선택, 개인정보 보호 조건, 출력 정확성, 허용 가능한 사용에 초점을 맞춘다. 악성 AI 스킬은 모델 거버넌스보다 애플리케이션 보안에 더 가까운 운영 의존성을 도입한다.

거버넌스 위원회에는 문서화된 원칙뿐 아니라 기술적 소유권이 필요하다. 누군가는 스킬 소스를 승인하고, 인벤토리를 유지하며, 권한 경계를 설정하고, 신뢰하던 의존성이 변경될 때 대응해야 한다.

성공적인 접근법은 단일 부서에 의존하지 않을 것이다. 플랫폼 엔지니어링은 배포 제어를 강제할 수 있다. 보안팀은 행동을 모니터링하고, 비즈니스 소유자는 허용 가능한 작업과 데이터 접근을 정의한다.

이런 조정이 없다면 조직은 만족스럽지 않은 두 경로를 만들게 된다. 승인된 에이전트는 도움이 되기에는 지나치게 제한된 상태로 남고, 직원들은 통제가 덜한 대안을 설치하게 된다. 두 결과 모두 기업의 감독 역량을 약화한다.

방어 체계가 따라잡고 있는지를 보여줄 세 가지 신호

다음 단계는 마켓플레이스 통제, 기업 런타임 증거, 독립적인 탐지 테스트를 통해 측정될 것이다.

첫 번째 신호는 주요 스킬 레지스트리가 검증 가능한 출처와 불변 버전 관리를 채택하는지 여부다. 마켓플레이스는 게시자를 식별하고, 검토된 아티팩트를 보존하며, 모든 변경 사항을 공개해야 한다. 외부 지침에도 인벤토리 및 무결성 제어가 필요하다.

레지스트리가 이러한 조치를 광범위하게 구현한다면 공격자가 신뢰받는 콘텐츠를 교체할 때 더 큰 마찰에 부딪히게 된다. 이는 오픈 스킬 생태계가 커뮤니티 기여를 포기하지 않고도 성숙할 수 있다는 주장을 강화할 것이다.

레지스트리가 계속 인기와 일회성 스캐닝에 의존한다면, 현재의 위험 평가는 더 설득력을 얻는다. 가치 있는 스킬에 사용자가 축적될수록 더 많은 지연형 페이로드와 의존성 탈취가 예상돼야 한다.

두 번째 신호는 엔터프라이즈 에이전트 플랫폼이 강제 가능한 스킬 수준의 권한을 제공하는지 여부다. 관리자는 파일, 도구, 자격 증명, 명령어, 네트워크 대상에 대한 경계를 설정할 수 있어야 한다. 이러한 경계는 모든 배포 환경에서 해당 스킬을 따라야 한다.

명확한 런타임 추적도 마찬가지로 중요하다. 보안 분석가는 어떤 행동이 그 행동을 유발한 스킬 및 외부 지침과 연결되는지 파악할 수 있어야 한다. 로그는 로컬 변조에도 보존되어야 하며 조직 전반의 검색을 지원해야 한다.

플랫폼이 이러한 통제 기능을 제공한다면 악성 스킬은 더 쉽게 격리할 수 있다. 여전히 환경에 유입될 수는 있지만, 관련 없는 자산에 도달할 수 있는 능력은 줄어든다. 이는 가장 심각한 엔터프라이즈 시나리오의 위험을 낮출 것이다.

플랫폼이 모든 스킬에 에이전트의 전체 권한을 노출한다면, 위험은 엔드포인트에 집중된 채로 남는다. 간과된 확장 프로그램 하나가 서로 무관한 여러 시스템에 대한 접근 권한을 상속받을 수 있다.

세 번째 신호는 변형되거나 지연 실행되는 공격에 대한 독립적인 테스트다. 스캐너 평가는 외부 지침 변경, 신뢰된 도메인 리디렉션, 휴면 페이로드, 리포지터리 탈취, 그리고 안전하지 않은 순서로 사용되는 정상 도구를 포함해야 한다.

26,000-agent experiment은 그러한 테스트의 한 사례를 제공했다. 향후 평가는 반복 가능한 방법론, 투명한 샘플, 그리고 의심되는 행위와 확인된 멀웨어를 구분하는 공개를 필요로 한다.

독립적인 도구 전반에서 일관된 탐지가 이뤄진다면 시장이 공통된 보안 기준을 구축하고 있음을 시사할 수 있다. 큰 차이가 나타난다면 공급업체들이 여전히 악성 행위를 서로 다르게 정의하고 있음을 보여줄 것이다.

조직은 완벽한 표준을 기다릴 필요가 없다. 설치된 스킬을 목록화하고, 각 스킬을 담당자, 출처, 버전, 권한, 외부 의존성과 연결하는 것부터 시작할 수 있다.

고권한 에이전트를 격리하고 네트워크 접근을 제한하며 민감한 작업에는 승인을 요구할 수 있다. 또한 사용자가 처음 설치할 때뿐 아니라 의존성이 변경될 때도 스킬을 다시 검사할 수 있다.

팀은 제거되었거나 새롭게 경고 대상으로 지정된 스킬을 인시던트 대응의 촉발 요인으로 다뤄야 한다. 대응 과정에서는 자격 증명, 지속성, 데이터 접근, 외부 통신을 점검해야 한다. 로컬 스킬을 삭제하는 것은 첫 단계일 뿐이다.

악성 AI 스킬을 둘러싼 Google News의 관심은 한 가지 실용적인 질문으로 이어져야 한다. 조직은 모든 엔터프라이즈 에이전트가 무엇을 수행하도록 허용되어 있는지 설명할 수 있는가? 답이 불완전하다면 코드, 클라우드 시스템, 고객 데이터, 내부 커뮤니케이션에 연결된 에이전트부터 시작해야 한다. 스킬을 매핑하고 불필요한 권한을 제한하며, 그 행동을 조사하는 데 필요한 증거를 보존해야 한다. AI 에이전트 보안은 완벽한 스캐너 하나를 찾는 데 달려 있지 않다. 겉으로 유용해 보이는 확장 프로그램이 엔터프라이즈 인시던트가 되기 전에 신뢰할 수 있는 배포, 제한된 권한, 지속적인 관찰, 신속한 철회를 결합하는 데 달려 있다.