Sysdig AI Defense, 손상된 에이전트의 행동 순간을 겨냥하다
Sysdig는 11월 4일 Sysdig AI Defense를 출시하며, 에이전트 자체 계정의 기록이 불완전하더라도 승인되지 않은 에이전트 행동을 완료 전에 차단하겠다고 밝혔다. 이 제품은 소프트웨어가 실행되는 동안 제어를 적용하는 런타임 보안을 직원의 접근 권한으로 작동하는 에이전트에 적용한다. 핵심 제안은 에이전트의 설명을 실제 발생한 일에 대한 독립적인 검증과 대조해야 한다는 것이다.
이번 출시는 AI 도구를 승인했지만 그 행동에 대한 동등한 통제 장치를 마련하지 않은 기업에 압박을 가한다. 코딩 어시스턴트는 명령 실행이나 비즈니스 시스템 접근 권한을 얻는 순간 운영자가 될 수 있다. 그 경우 대화 이력만으로는 권한과 행동을 기록하기에 충분하지 않다.
NVIDIA의 OpenShell은 유용한 비교 대상이다. 두 접근 방식 모두 보안 결정을 모델의 판단 밖에 둔다. Sysdig는 에이전트 활동을 운영체제 증거 및 조직 정책과 연결하는 데 중점을 둔다. 근본적인 긴장은 현실적이다. 기업은 에이전트가 업무를 독립적으로 완료하기를 원하면서도 중요한 행동에 대한 통제권은 유지하고자 한다.
Sysdig AI Defense, 보안 결정을 실행 단계로 옮기다
Sysdig의 에이전트 보안 출시 발표는 macOS와 Windows를 명시적으로 포함한 정식 출시를 알린다. 회사는 행동 허용, 확인 요청, 도구 호출 차단, 프로세스 종료를 수행할 수 있는 제어 기능을 설명한다. 이는 독립적으로 입증된 보장이 아니라 제품 동작에 대한 공급업체의 주장이다.
구체적인 변화는 에이전트가 제안한 행동과 그 결과 사이에 조직의 결정을 배치한다는 점이다.
이 배치는 에이전트를 승인하는 일과 에이전트가 하는 모든 일을 승인하는 일이 서로 다른 결정이기 때문에 중요하다. 직원은 저장소 유지보수를 승인할 수 있지만 프로덕션 변경까지 승인하는 것은 아닐 수 있다. 에이전트가 이 차이를 이해하는지 여부가 변경의 성공을 결정해서는 안 된다.
개발자의 로컬 프로젝트와 관련된 가상의 유지보수 작업을 생각해 보자. 소스 파일 읽기, 테스트 실행, 패치 준비는 모두 할당된 업무에 부합할 수 있다. 그러나 관련 없는 자격 증명에 접근하거나 실행 중인 서비스를 변경하려면 다른 정당화가 필요하다.
따라서 보안 질문은 작업이 진행되는 과정에 따라 이어진다. 최초 승인은 목적을 설정하지만, 이후의 행동도 그 목적 안에 머물러야 한다. 최초 요청만 평가하는 시스템은 이후 발생하는 일탈을 판단할 근거가 제한적이다.
이 때문에 에이전트의 자신감 있는 설명도 불완전한 안도감만 제공한다. 에이전트는 행동을 정확히 설명하면서도 그 결과를 오해할 수 있다. 또는 조사에 중요한 중간 작업을 요약에서 누락할 수도 있다.
구매자에게 이번 출시는 증거와 집행의 구분을 만든다. 증거는 무슨 일이 있었는지 확인하는 데 도움이 된다. 집행은 작업이 진행되는지 자체를 바꾼다. 제품은 피해를 막지 못하면서도 유용한 기록을 제공할 수 있으므로, 조달 과정에서는 이러한 역량을 별도로 검토해야 한다.
Sysdig는 직원 기기에서 클라우드 환경까지 이르는 더 넓은 범위도 설명한다. 이 포지셔닝은 발표문에 명시된 가용성 설명과 함께 읽어야 한다. 구매자는 여전히 자신의 배포 환경에서 지원되는 플랫폼, 통합, 집행 지점에 대한 정확한 설명이 필요하다.
행동을 방지하는 것과 이미 진행 중인 작업을 중단하는 것 사이에도 차이가 있다. 제안된 작업을 차단하면 시작 자체를 막을 수 있다. 프로세스 종료는 실행이 시작된 뒤 이를 다루며, 부분적 변경과 정리에 다른 영향을 미친다.
이러한 차이가 런타임 제어의 근거를 약화하는 것은 아니다. 오히려 유용성을 판단하는 질문을 정한다. 에이전트가 차단되었다는 일반적인 주장보다 어떤 작업이 어느 경계에서 어떤 결과 전에 멈췄는지가 더 의미 있다.
따라서 이번 발표는 행동 수준 거버넌스를 중심으로 한 제품 출시로 이해해야 한다. 손상된 에이전트가 해결된 보안 문제가 되었다는 사실을 입증하지는 않는다. 그 의미는 조직의 권한을 대화형 지침 안에 남겨 두지 않고 실행의 일부로 만든 데 있다.
에이전트 자율성, 보안팀과 비즈니스 책임자에게 압박을 가하다
가장 즉각적인 압박은 에이전트가 접근할 수 있는 리소스를 책임지는 팀에 가해진다. 보안 담당자는 노출 수준을 이해해야 하며, 비즈니스 책임자는 어떤 행동이 정당한지 결정해야 한다. 중단이 업무에 영향을 미칠 때 개발자는 이 두 책임 사이에 놓인다.
Sysdig가 공개한 에이전트 사용 조사 결과는 한 소프트웨어 개발 회사에서 한 달간 관찰한 내용을 설명한다. 에이전트를 사용하는 직원 가운데 절반은 엔지니어링 부서 밖에서 일했다. 공급업체는 관찰 사례의 82%에서 에이전트 로그에 자격 증명 파일 읽기가 빠져 있었다고도 보고했다.
이 결과는 기업 행동을 대표하는 척도가 아니라 특정 배포 환경을 설명한다. 그럼에도 구체적인 문제를 제기한다. 엔지니어링 부서만을 대상으로 한 승인 프로세스로는 비즈니스 부서 전반에 분산된 활동을 관리할 수 없다.
영향을 받는 데이터를 소유한 조직은 다른 부서가 에이전트를 선택하더라도 허용 가능한 사용 방식을 정의해야 한다.
재무 워크플로와 소프트웨어 유지보수 워크플로는 유사한 기술 작업을 포함할 수 있지만, 비즈니스상 의미는 다를 수 있다. 파일 읽기는 승인된 대사 작업을 지원할 수도 있고 관련 없는 직원 정보를 노출할 수도 있다. 프로세스 이름만으로는 이 차이를 판단할 수 없다.
같은 문제는 접근을 인증하는 데 쓰이는 비밀 정보나 토큰인 자격 증명에서도 나타난다. 이를 보유했다고 해서 기술적 역량은 생기지만, 특정 작업을 수행할 권한이 반드시 생기는 것은 아니다. 직원의 접근 권한을 사용하는 에이전트는 이 모호성을 물려받는다.
이는 정책을 소프트웨어가 집행할 수 있는 결정으로 전환해야 한다는 압박을 만든다. 에이전트가 데이터베이스 내보내기를 시도할 때 “AI를 책임감 있게 사용하라”는 지침은 거의 도움이 되지 않는다. 누군가는 관련 리소스, 허용된 목적, 대상 위치, 승인 권한을 식별해야 한다.
비즈니스 책임자는 그 선택을 모두 탐지 엔진에 위임할 수 없다. 조직이 규칙을 정의하면 보안 제품은 그 규칙을 적용할 수 있다. 하지만 고객 데이터 내보내기가 승인된 영업 워크플로에 속하는지 독립적으로 결정할 수는 없다.
개발자 역시 관련 제약에 직면한다. 폭넓은 권한은 실험을 단순화하지만 실패를 격리하기 어렵게 만든다. 좁은 권한은 격리 능력을 높이는 반면, 정당한 작업이 경계에 부딪힐 가능성도 높인다.
이 긴장은 에이전트가 중단에 대응할 때 드러난다. 에이전트는 멈추거나, 추가 권한을 요청하거나, 다른 방법을 시도할 수 있다. 대체 방법은 합리적인 문제 해결일 수도 있고 제한을 우회하려는 용납할 수 없는 시도일 수도 있다.
그 구분은 거부된 행동의 목적에 달려 있다. 정책이 특정 대상 위치를 금지한다면 에이전트가 명령을 바꿔도 계속 적용되어야 한다. 그렇지 않으면 조직은 기술 하나만 제한하고 근본적인 작업은 계속 가능하게 둔 셈이 된다.
지식 워크플로는 이 문제를 소프트웨어 개발 밖에서도 중요하게 만든다. 검색 가능한 엔지니어링 지식 기반은 팀이 승인된 기술 자료를 검색하는 데 도움이 될 수 있다. 그러나 검색과 연결된 시스템에서 행동할 권한은 여전히 별도의 결정을 필요로 한다.
지식 근로자에게는 읽기와 행동 사이의 경계가 특히 중요하다. 내부 문서를 요약하는 일은 그 내용을 외부로 보내는 일과 다른 결과를 낳는다. 이러한 기능을 하나의 워크플로로 연결하면 명시적 권한의 중요성이 커진다.
조직적 결과는 공동 책임이다. 보안팀에는 기술적 증거가 필요하고, 애플리케이션 소유자에게는 운영 맥락이 필요하며, 사용자는 이해할 수 있는 결정을 필요로 한다. 이러한 책임이 불분명하게 남으면 새로운 집행 제품은 해결되지 않은 정책 질문이 쌓이는 또 하나의 장소가 될 위험이 있다.
시스템 증거가 에이전트 런타임 보안의 근거를 바꾸다
Sysdig의 런타임 제어 설계는 에이전트 내부 가시성과 운영체제의 핵심인 커널 수준의 관찰을 결합한다. 회사는 도구 실행 전 확인 및 차단과 프로세스 종료를 설명한다. 또한 정책이 처음에는 경고 모드로 작동하며, 활동을 중단하지 않고 보고한다고 밝힌다.
에이전트 런타임 보안은 의도된 작업, 관찰된 행동, 그리고 실제로 실행을 바꾸는 결정을 연결할 때 유용하다.
각 구성 요소는 서로 다른 질문에 답한다. 에이전트 기록은 작업에 관한 맥락을 제공한다. 시스템 관찰은 어떤 작업이 발생했는지를 확인한다. 정책은 그 작업이 조직의 규칙에 부합하는지를 결정한다.
도구 호출, 즉 에이전트가 외부 기능에 요청하는 행위는 반드시 운영체제 프로세스와 동일하지는 않다. 요청된 작업은 보조 프로그램을 실행할 수 있다. 따라서 도구 기록과 프로세스 기록의 차이는 위법 행위의 증거가 되기 전에 해석이 필요하다.
더 많은 관찰이 자동으로 더 나은 판단을 만드는 것은 아니다. 보안팀은 여전히 활동을 세션, 사용자, 리소스, 목적과 연결해야 한다. 이런 연결이 없으면 상세한 이벤트 스트림도 조사하기 어려운 상태로 남을 수 있다.
여기서 Sysdig의 접근 방식은 에이전트 자체 서사에 대한 의존에 도전한다. 독립적인 관찰은 보고된 행동과 실행된 행동 사이의 불일치를 드러낼 수 있다. 그러나 그 불일치 역시 분석이 필요하다. 불완전한 로깅과 악의적인 은폐는 서로 다른 설명이다.
NVIDIA의 에이전트 런타임 제어는 OpenShell을 통해 유사한 접근을 취한다. NVIDIA는 격리된 실행, 통제된 서비스 접근, 에이전트 워크로드 외부에 보관되는 자격 증명을 설명한다. 이 아키텍처는 에이전트가 통제하지 않는 구성 요소를 통해 권한을 집행하는 데 중점을 둔다.
이 비교는 성능 순위가 아니라 아키텍처에 관한 것이다. Sysdig는 엔드포인트와 클라우드 활동을 에이전트 맥락과 연결하는 점을 전면에 내세운다. NVIDIA는 제약된 실행 환경과 서비스에 대한 통제된 접근을 강조한다. 공개된 자료만으로는 동등한 작업 전반에서 어느 접근 방식이 더 우수한지 판단할 수 없다.
CrowdStrike는 또 다른 경쟁 기준점을 제공한다. 10월 21일 공개된 에이전트 보안 통합 발표는 Falcon Guardian과 NVIDIA OpenShell을 연결하는 작업을 설명한다. 또한 NVIDIA Sentry 통합은 계획된 사항으로 별도 언급하며, 발표된 통합과 미래 기능의 중요한 차이를 보여 준다.
이러한 발표는 보안 공급업체들이 에이전트 권한을 어디에서 확인해야 하는지를 두고 경쟁하고 있음을 시사한다. 일부 제어는 도구 인터페이스 근처에 위치한다. 다른 제어는 실행이나 서비스 접근을 제한한다. 더 광범위한 보안 플랫폼은 이러한 결정을 기존 조직 증거와 연결하려 한다.
기업의 경우, 중첩된 통제 체계는 기회와 통합 작업을 동시에 만들어 낸다. 제한된 실행 환경은 탐지기가 의심스러운 동작을 인식하기 전에 가능한 조치를 제한할 수 있다. 맥락 기반 탐지는 기술적으로는 여전히 허용된 작업들 사이에서 우려되는 연속 동작을 식별할 수 있다.
이러한 계층은 권한에 대한 일관된 해석을 필요로 한다. 한 도구 인터페이스가 작업을 허용하는데 다른 통제가 이를 거부한다면, 사용자는 명확한 설명을 받아야 한다. 그렇지 않으면 상충하는 결정이 의도한 경계를 약화하는 예외를 부추길 수 있다.
따라서 유용한 평가는 통제 지점 전반에서 하나의 완전한 작업을 추적한다. 구매자는 정책 결정과 그에 따른 시스템 상태를 확인할 수 있어야 한다. 이에 부합하는 증거가 없는 정교한 설명은 핵심 질문을 해결하지 못한다.
여기서의 절충점은 운영 유연성과 집행 가능한 경계 사이에 있다. 에이전트 런타임 보안은 이 절충점을 없앨 수는 없지만, 경계를 명시적이고 관찰 가능하게 만들 수 있다. 이것이 최근 발표 물결을 뒷받침하는 가장 강력한 아키텍처적 근거다.
프로세스를 차단해도 보안 문제가 해결되는 것은 아니다
핵심 불확실성은 사용자가 일상적으로 우회할 만큼 잦은 중단을 초래하지 않으면서, 현실적인 작업 전반에서 통제가 유지되는지 여부다. 검토한 출시 자료는 기능과 사례를 설명한다. 그러나 공통의 독립 평가에서 비교 예방률, 오탐률 또는 운영 오버헤드를 입증하지는 않는다.
예방 주장은 테스트가 무엇을 보호했는지, 무엇이 시도됐는지, 이후 무엇이 달라졌는지를 보여줄 때 유용한 증거가 된다.
차단된 프로세스는 제한적인 결과다. 이는 특정 실행 시도가 통제에 부딪혔음을 보여준다. 하지만 그 자체만으로는 정보가 더 일찍 이동하지 않았거나 다른 실행 경로를 사용할 수 없었다는 점을 입증하지 못한다.
마찬가지로 성공적인 시연이 보편적 적용 범위를 입증하는 것도 아니다. 시연은 작업, 환경, 정책, 공격 경로를 선택한다. 이러한 선택은 테스트에 필요하지만, 시청자가 도출할 수 있는 결론을 제한한다.
Sysdig는 에이전트가 고객 데이터를 승인되지 않은 목적지에 업로드하려는 사례를 보여준다. 이 사례는 의도한 개입을 이해하기 쉽게 만든다. 그러나 동등한 시도가 항상 실패한다는 독립적 증거라기보다 여전히 공급업체의 시연이다.
현실적인 평가는 눈에 보이는 중단 이상을 검토해야 한다. 원격 서비스가 무언가를 받았는가? 에이전트가 다른 프로세스를 생성했는가? 거부된 작업이 부분적인 변경을 남겼는가? 이러한 질문은 인터페이스 메시지와 검증된 결과를 구분한다.
정책의 품질은 별도의 한계를 만든다. OWASP의 과도한 에이전시 지침은 불필요한 기능, 권한 및 자율성으로 인한 위험을 식별한다. 이 지침은 언어 모델의 판단에 의존하기보다 권한을 제한하고 다운스트림 시스템에서 인가를 집행할 것을 권고한다.
이 지침은 제품 메시지에 유용한 균형을 제공한다. 런타임 집행은 조직의 결정을 적용할 수 있지만, 과도한 권한은 여전히 설계 문제다. 광범위한 규칙은 유해한 작업을 충실하게 승인할 수 있다.
예를 들어 승인된 목적지도 할당된 작업과 무관한 정보를 받을 수 있다. 목적지 제한은 데이터가 어디로 가는지를 다룬다. 선택한 데이터가 그 워크플로에 속하는지까지 반드시 판단하는 것은 아니다.
에이전트는 허용된 작업을 통해서도 유해한 일을 수행할 수 있다. 잘못된 레코드를 삭제하는 일은 정당한 정리에 사용되는 것과 같은 인터페이스를 수반할 수 있다. 이러한 결과를 구분하려면 요청된 변경 사항과 그 비즈니스 목적에 관한 정보가 필요하다.
사용자 확인에도 비슷한 한계가 있다. 프롬프트는 의사결정 지점을 만들 수 있지만, 그 가치는 제시되는 정보에 달려 있다. 특히 작업이 원래 요청과 다를 때 사용자는 대상과 결과를 이해할 필요가 있다.
반복되는 저가치 프롬프트는 또 다른 위험을 만든다. 일상적인 작업에 자주 개입이 필요하면 승인이 습관화될 수 있다. 그러면 조직은 감독의 외관을 유지하면서 개별 결정의 질은 약화시킨다.
프라이버시는 탐지와 함께 검토할 가치가 있다. Sysdig는 기본 수집에서 입력한 프롬프트와 에이전트 응답을 제외하며, 전송 전에 파일 편집과 도구 결과를 제거한다고 말한다. 구매자는 여전히 남은 메타데이터, 접근 통제, 보존 정책 및 예외 처리 방식을 검토해야 한다.
기록은 문서 텍스트를 포함하지 않더라도 민감한 관계를 드러낼 수 있다. 파일 경로, 목적지 이름, 계정 연계는 프로젝트나 비즈니스 운영의 세부 정보를 노출할 수 있다. 따라서 보안 증거 자체에도 거버넌스가 필요하다.
플랫폼 적용 범위 역시 정확하게 살펴야 한다. 로컬 프로세스를 관찰하는 것과 외부 서비스가 실행하는 작업을 통제하는 것은 다르다. 구매자는 집행이 어디에서 끝나고 다른 제공업체의 권한이 어디에서 결과를 결정하는지 알아야 한다.
이러한 한계는 Sysdig AI Defense를 제한적으로 해석해야 함을 뒷받침한다. 이 제품은 에이전트 실행을 둘러싼 추가 통제와 증거를 제안한다. 그러나 제한된 접근, 안전한 애플리케이션, 신중한 통합 또는 실패 후 복구 절차의 필요성을 없애지는 않는다.
다음 증거는 예방, 마찰, 배포 범위를 다뤄야 한다
향후 몇 달은 에이전트가 익숙하지 않은 작업과 환경을 마주할 때 작업 수준 통제가 효과를 유지하는지 분명히 해줄 것이다. 가장 유용한 신호는 예방 증거, 운영 마찰, 배포 적용 범위 순이다.
이 범주는 자율 소프트웨어를 통제한다는 광범위한 주장보다 반복 가능한 결과와 명확히 제시된 한계를 통해 신뢰를 얻을 것이다.
첫째, 독립적으로 재현 가능한 예방 테스트를 지켜봐야 한다. 더 강력한 증거는 시도된 작업, 실제 권한, 집행 지점 및 최종 리소스 상태를 식별할 것이다. 또한 서로 다른 사용 가능한 방법으로 같은 결과를 달성하려는 시도도 포함할 것이다.
금지된 결과가 이러한 변형 전반에서 계속 차단된다면 Sysdig의 주장은 강화될 것이다. 실행 경로를 바꾸는 것만으로 의도한 정책이 반복적으로 무력화된다면 광범위한 격리 주장은 약화될 것이다. 어느 결과든 구매자가 적절한 배포 경계를 이해하는 데 도움이 된다.
테스트는 비교 기준으로 성공적인 작업도 보존해야 한다. 모든 작업을 차단하면 원치 않는 결과를 막을 수 있지만 에이전트를 쓸모없게 만들 수 있다. 의미 있는 평가는 같은 통제 아래에서도 승인된 작업이 계속 완료됨을 보여줘야 한다.
복구 동작도 포함할 가치가 있다. 명확한 거부를 받고 유용한 부분 결과를 반환하는 에이전트는 반복적으로 재시도하는 에이전트와 다르게 동작한다. 주변 워크플로는 이 차이를 사용자와 조사자에게 명확히 보여줘야 한다.
둘째, 중단과 예외 처리에 관한 고객 증거를 지켜봐야 한다. 관련 관찰 사항에는 어떤 작업이 확인을 유발하는지, 사용자가 왜 예외를 요청하는지, 그러한 예외가 좁은 범위로 유지되는지가 포함된다. 이러한 세부 사항은 정책이 일상적인 업무 속에서도 유지되는지 드러낸다.
제한적이고 이해하기 쉬운 중단의 증거는 런타임 거버넌스가 유용한 자율성과 공존할 수 있다는 주장을 뒷받침할 것이다. 빈번하고 광범위한 면제는 이를 약화할 것이다. 중요한 질문은 초기 평가 기간 이후에도 팀이 통제를 유지하는지다.
실명이 명시된 고객 경험은 맥락을 확립하는 데 도움이 된다. 중앙에서 관리되는 개발자 기기를 사용하는 기업은 외부 에이전트 서비스를 이용하는 기업과 다른 제약에 직면한다. 독자가 그 결과를 낳은 배포 환경을 이해할 수 있을 때 결과는 더 유용해진다.
운영 책임 역시 중요하다. 도구가 바뀔 때 규칙을 유지하고, 이의가 제기된 결정을 검토하며, 더 이상 필요 없는 예외를 제거할 담당자가 필요하다. 지속적인 전문가 개입을 통해서만 작동하는 배포는 기존 프로세스에 들어맞는 배포와 다른 부담을 초래한다.
셋째, 정확한 적용 범위 문서와 제공된 통합 기능을 지켜봐야 한다. Sysdig의 macOS 및 Windows 제공은 구체적인 출발점을 제공한다. 구매자는 관찰된 활동, 예방 가능한 작업, 통합을 통해 관리되는 외부 작업 간의 명확한 구분을 찾아야 한다.
같은 원칙은 경쟁사에도 적용된다. CrowdStrike가 발표한 OpenShell과의 협업 및 계획된 Sentry 통합은 고객이 실제로 배포할 수 있는 범위에 따라 평가해야 한다. 제품 로드맵은 방향을 제시하고, 제공된 동작은 역량을 입증한다.
더 넓은 적용 범위는 에이전트 작업 전반의 일관된 거버넌스에 대한 근거를 강화할 것이다. 불균등한 집행은 계층형 아키텍처를 더 중요하게 만들 것이다. 기업은 서로 다른 경계에서 여러 통제를 필요로 할 수 있으므로, 어느 결과도 승자독식 결론을 요구하지 않는다.
결정적 증거는 비즈니스 규칙을 관찰 가능한 결과와 연결할 것이다. 기업은 어떤 작업이 왜 허용되거나 거부됐는지 설명할 수 있어야 한다. 또한 그 결정이 위험에 처한 리소스에 영향을 미쳤는지도 보여줄 수 있어야 한다.
Sysdig AI Defense를 평가하는 독자는 먼저 허용된 작업이 이미 이해된 기존 워크플로부터 시작해야 한다. 허용된 작업이 완료되고, 금지된 작업이 중단되며, 영향을 받은 시스템의 최종 상태가 어떻게 되는지를 보여주는 증거를 요청하라. 어떤 결정에 사람의 검토가 필요했는지, 검토자가 충분한 맥락을 받았는지 살펴보라. 평가 전반에서 공급업체 시연과 독립 검증의 구분을 분명히 유지하라. 핵심 질문은 조직이 유용한 업무를 유지하면서 자체 경계를 집행할 수 있는지다. 에이전트의 접근 권한을 확대하기 전에, 각 중대한 결정을 누가 담당하는지와 중단이 실제로 이뤄졌음을 어떻게 검증할지를 식별하라. 팀이 중단해야 할 작업은 무엇이며, 그것이 제때 중단됐음을 어떤 증거로 입증할 수 있는가?
