OWASP “AI 에이전트 보안, 솔루션 경쟁 단계로 진입”

인공지능(AI) 에이전트 보안 분야가 단순 위협 진단 단계를 넘어, 설계·개발·검증·배포·거버넌스 전반에서 솔루션 경쟁이 벌어지는 단계에 들어섰다는 분석이 나왔다.

웹 애플리케이션 보안 분야의 국제 비영리 단체 ‘OWASP(Open Worldwide Application Security Project)’가 최근 공개한 ‘AI 에이전트용 보안 솔루션 지형도(AI Security Solutions Landscape For Agentic AI)’ 보고서에 따르면, 최근 AI 에이전트 보안 시장은 단순히 “AI 에이전트가 위험하다”는 문제 제기 단계를 넘어, 생애주기별 보안 통제와 관련 제품군이 구체화하는 단계로 진입하고 있다.

이번 보고서에서 OWASP는 AI 에이전트의 전체 생애주기에 따라 오픈소스와 상용 보안 솔루션을 배치했다. AI 에이전트가 실제 기업 환경에 들어올 때 어떤 보안 과제가 생기는지, 또 그 과제를 어느 단계에서 해결해야 하는지를 한 눈에 볼 수 있는 시장 지도로 풀어낸 것이 특징이다. OWASP는 이 지형도를 분기마다 업데이트하고 있다.

목표 탈취·도구 오용·기억 오염…에이전트가 넓힌 공격면

OWASP가 이번 지형도에서 AI 에이전트 보안을 생애주기별로 나눈 것은, 에이전트가 외부 도구와 시스템에 연결되면서 공격면이 넓어지고 있기 때문이다.

OWASP는 자율형·에이전트형 AI의 핵심 위협으로 ▲목표 탈취 ▲도구 오용 ▲신원·권한 남용 ▲공급망 취약점 ▲예기치 않은 코드 실행 ▲기억·문맥 오염 ▲안전하지 않은 에이전트 간 통신 ▲연동 실패 ▲신뢰 악용 ▲불량 에이전트를 꼽는다. 이들 위협은 공통적으로 AI 에이전트의 잘못된 판단에서 발생할 수 있다.

AI 에이전트의 잘못된 행동이 위험한 이유는 AI 에이전트가 다양한 시스템과 연결되기 때문이다. 에이전트는 외부 애플리케이션 프로그래밍 인터페이스(API), 파일, 데이터베이스, 업무 시스템에 접근해 직접 작업을 수행한다.

이때 에이전트가 외부 도구와 데이터 소스에 연결되는 통로 가운데 하나가 ‘모델 컨텍스트 프로토콜(MCP)’ 서버다. OWASP는 MCP를 AI 비서와 외부 도구·API·데이터 소스를 잇는 핵심 접점으로 보고, “위임된 사용자 권한과 연쇄 도구 호출 때문에 단일 취약점의 파급력이 더 커질 수 있다”고 설명했다. 권한을 가진 에이전트가 잘못된 판단을 하면 그 결과가 실제 시스템 조작까지 이어질 수 있다는 것이다.

OWASP는 “MCP 서버를 AI 비서와 외부 도구·API·데이터 소스를 잇는 핵심 접점”이라며 “권한을 가지고 에이전트가 연쇄적으로 여러 도구를 호출할 수 있다는 특성 때문에 단일 취약점의 파급력이 더 커질 수 있다”고 설명했다. 이처럼 위험이 모델 출력 단계에만 머물지 않고 외부 도구 호출과 권한 실행으로 이어질 수 있기 때문에, AI 에이전트 보안은 프롬프트 필터 몇 개를 붙이는 수준으로 끝나지 않는다.

OWASP는 “목표가 바뀌는지, 과도한 권한이 부여됐는지, 메모리가 오염됐는지, 에이전트끼리 주고받는 메시지가 위조됐는지, 외부 도구 호출이 허용 범위를 넘었는지까지 함께 봐야 한다”고 설명했다.

OWASP가 3월 공개한 ‘AI Security Solutions Landscape For Agentic AI’ 보고서

설계부터 운영까지…AI 에이전트 보안 시장 형성

이런 변화는 AI 에이전트 보안을 개별 기능이나 단일 솔루션이 아니라, 설계부터 운영까지 전 단계를 아우르는 시장으로 넓히고 있다. 이번에 나온 지형도에서 주목할 부분도 OWASP가 보안 제품을 AI 에이전트의 생애주기별로 묶어 제시했다는 점이다.

OWASP는 설계와 범위 설정, 데이터 증강·미세조정, 개발·실험, 테스트·평가, 릴리스, 배포, 운영, 모니터링, 거버넌스까지 전 과정을 보안이 필요한 구간으로 봤다. 설계 단계부터 운영 단계까지 개발조직과 보안조직이 같이 움직여야 한다는 것이다.

OWASP는 AI의 생애주기를 각 단계별로 나눠 설명했다. 설계 단계에서는 비인간 신원과 인증 방식, 권한 경계, 도구 범위, 메모리 격리와 장기 저장 규칙, 위협 모델링이 핵심이다. 데이터 단계에서는 프롬프트 오염, 편향된 지시, 정책 우회 문구, 비밀 유출 가능성을 점검하고 데이터의 이력과 출처를 남겨야 한다.

개발 단계에서는 에이전트 루프와 플러그인, 연결 규약, 정책 강제 지점을 검증해야 한다. 테스트 단계에서는 목표 이탈, 프롬프트 주입, 메모리 오염, 다중 에이전트 간 공모나 기만 여부를 시뮬레이션하도록 제시했다.

릴리스와 배포 단계도 기존 소프트웨어 보안과는 결이 다르다. OWASP는 모델·에이전트·도구 각각에 대한 ‘소프트웨어 자재명세서(SBOM)’ 생성과 검증, 모델 가중치와 플러그인 매니페스트, 메모리 스냅샷 서명, 정책 번들의 암호학적 검증, 신뢰 레지스트리 등록 같은 항목을 제시했다.

배포 단계에서는 최소 권한, 제로트러스트 통신, 대규모언어모델(LLM) 방화벽, 도구 허용 목록, 단기 자격증명 같은 통제를 강조했다. AI 에이전트를 실행하는 순간 어떤 권한으로 어디까지 움직일 수 있는지를 먼저 정해야 한다는 것이다.

운영 이후 단계에서는 더 세밀한 통제가 필요하다. OWASP는 “기억 변이 패턴을 모니터링해 드리프트와 오염, 무단 덮어쓰기 같은 오류를 탐지해야 한다”고 설명했다. 또 작업 재실행, 무한 권한 위임, 환각 루프, 과도한 도구 사용 같은 이상 징후도 계속 추적해야 한다고 봤다. 에이전트가 시간이 지나며 스스로 맥락을 축적하고 행동 범위를 넓혀갈 수 있는 만큼, 배포 뒤의 감시가 특히 중요하다는 설명이다.

이처럼 OWASP는 AI 에이전트 보안을 단일 기술이 아니라 생애주기 전반의 운영 체계로 보고 있다. 모델 하나만 보호하는 수준을 넘어, 여러 에이전트와 도구, 메모리, 권한, 정책이 얽힌 시스템을 관리하는 문제로 접근했다.

테스트·모니터링·거버넌스로 나뉘는 제품군

이런 생애주기에 맞춰 OWASP는 AI 에이전트 보안 제품군도 단계별로 나눠 배치했다.

먼저 테스트·평가 영역은 목표 이탈, 프롬프트 주입, 도구 오용, 과도한 권한, 다중 에이전트 간 기만 여부를 검증하는 구간이다. 정상 상황에서 잘 작동하는지만 보는 것이 아니라, 공격이나 혼선 상황에서도 에이전트가 엉뚱한 행동을 하지 않는지 점검하는 데 초점이 맞춰져 있다. 이 구간에는 시타델 AI(Citadel AI), 마인드가드(Mindgard), 트렌드마이크로(Trend Micro), 하이브트레이스(HiveTrace), 액티브펜스(ActiveFence) 등이 이름을 올렸다.

배포 단계는 최소 권한, 제로트러스트 통신, 대규모언어모델(LLM) 방화벽, 도구 허용 목록, 단기 자격증명 같은 통제를 앞세운다. AI 에이전트를 실행하는 순간 어떤 권한으로 어디까지 움직일 수 있는지를 먼저 정해야 한다는 뜻이다. 이 구간에는 에스피엘엑스(SPLX), 팽게아(Pangea), 하이브트레이스(HiveTrace), IBM 가디움(IBM Guardium), 스트라이커(Straiker), 뉴럴트러스트(NeuralTrust), 시타델 AI(Citadel AI), 트렌드마이크로(Trend Micro), 시퀀스(Cequence), 노마(Noma) 등이 배치됐다.

운영 단계는 기억 변이, 무한 루프, 작업 재실행, 플러그인 취약점, 고위험 행동에 대한 인간 개입 기준을 다룬다. 한 번 배포했다고 끝나는 것이 아니라, 운영 중에 에이전트가 이상한 방향으로 행동하지 않는지 계속 살펴봐야 하는 방식이다. 이 구간에는 마이크로소프트(Microsoft), IBM 가디움(IBM Guardium), 마인드가드(Mindgard), 스트라이커(Straiker), 래드웨어(Radware), 시타델 AI(Citadel AI), 가디언AI(GuardianAI), 코텍스 클라우드(Cortex Cloud) 등이 이름을 올렸다.

모니터링 단계는 에이전트 단계별 추적 정보와 도구 실행 기록, 메시지 로그를 묶어 이상 행위를 탐지하는 데 초점을 맞춘다. 에이전트가 실제로 무엇을 했는지 남기고, 문제 발생 시 그 과정을 거슬러 올라가 볼 수 있어야 한다. 이 구간에는 마이크로소프트(Microsoft), 테너블AI(Tenable AI), 피들러(Fiddler), 팽게아(Pangea) 등이 포함됐다.

거버넌스 단계에서는 역할 기반 정책, 버전 관리, 만료·폐기, 감사, 규제 대응이 중심 기능으로 올라온다. 결국 AI 에이전트도 일반 정보기술(IT) 시스템처럼 승인, 변경, 책임 체계 안에서 관리해야 한다는 얘기다. 이 구간에는 언바운드(Unbound), 프로텍토(Protecto), AI쉴드(AIShield), 휴먼(HUMAN) 같은 기업이 배치됐다.

흐름을 살펴보면, 현재 AI 에이전트 보안 시장은 크게 두 방향으로 나뉜다. 하나는 설계, 테스트, 배포, 운영, 거버넌스를 묶어 제공하는 플랫폼형 사업자다. 다른 하나는 테스트, 런타임 통제, 모니터링, 거버넌스처럼 특정 구간에 집중하는 전문 사업자다.

OWASP는 “18개의 솔루션 제공 업체와 오픈소스 프로젝트가 자사 제품에 OWASP의 에이전트 위험·완화 분류 체계를 직접 반영하고 있다”며 “AI 에이전트 보안 제품이 단일 기능보다 생애주기 전반의 통제 체계로 세분화하고 있다“고 덧붙였다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network