AI 에이전트 보안과 제로트러스트

AI 에이전트 보안과 제로트러스트

한눈에 보기

• 핵심: AI 에이전트가 이메일·웹·DB·업무시스템을 이용해 행동하면서 기존 계정 보안만으로는 충분하지 않게 되었다.
• 주요 위험: 간접 프롬프트 인젝션, 과도한 권한, 데이터 유출, 잘못된 자동 실행, 행동 추적의 어려움
• 대응 방향: 에이전트에도 고유한 신원과 최소 권한을 부여하고, 매 요청을 검증하며, 중요한 행동은 사람이 승인하고 전 과정을 기록한다.

1. 제로트러스트란?

제로트러스트는 내부망에 있다는 이유만으로 사용자를 신뢰하지 않고, 데이터와 시스템에 접근할 때마다 신원·기기·상황·권한을 계속 확인하는 보안 원칙이다.

핵심 원칙은 다음과 같다.

1. 명시적으로 검증한다.
2. 필요한 최소 권한만 부여한다.
3. 침해가 이미 발생했다고 가정한다.
4. 네트워크와 자원을 세분화한다.
5. 접근과 행동을 지속해서 기록·분석한다.

NIST는 2025년 상용 기술을 활용한 19개의 제로트러스트 구현 예시를 공개해 실제 적용 가능한 구조를 제시했다.

2. AI 에이전트에 새로운 보안이 필요한 이유

기존 애플리케이션은 개발자가 정한 흐름을 수행하지만, AI 에이전트는 상황에 따라 다음 행동과 도구를 스스로 선택한다. 이 때문에 정상 요청과 악의적 지시의 경계가 흐려질 수 있다.

간접 프롬프트 인젝션

공격자가 이메일·문서·웹페이지 같은 외부 데이터에 악성 명령을 숨겨두고, 에이전트가 이를 업무 데이터가 아닌 명령으로 받아들이도록 하는 공격이다.

정상 사용자 요청
  → AI가 외부 문서 조회
  → 문서 속 악성 명령을 지시로 오인
  → 민감정보 조회·전송 또는 잘못된 시스템 실행

NIST의 대규모 레드팀 연구에서는 조사한 모든 대상 프런티어 모델에서 최소 한 번 이상의 에이전트 탈취 공격 성공 사례가 발견됐다. 따라서 모델의 안전장치만 믿기보다 실행 환경의 권한을 제한해야 한다.

3. 주요 위협과 대응

위협 발생 예시 대응 방법

에이전트 탈취	외부 문서의 악성 명령을 실행	명령과 데이터 분리, 콘텐츠 검증, 반복 보안평가
과도한 권한	상담 AI가 고객 전체 DB에 접근	업무·고객·시간별 최소 권한과 단기 토큰
데이터 유출	AI가 민감정보를 외부 서비스로 전송	망·데이터 분리, DLP, 출력 필터링
대리행위 오용	사용자 모르게 송금·승인을 실행	고위험 행동의 명시적 사용자 승인
계정 공유	여러 에이전트가 같은 서비스 계정 이용	에이전트별 신원, 인증서·키와 권한 분리
추적 불가	사고 후 누가 무엇을 지시했는지 모름	사용자-에이전트-도구 호출을 연결한 감사로그

4. 안전한 AI 에이전트 구조

사용자 인증
  → 정책 엔진에서 요청·상황 검사
  → 제한된 에이전트 권한 발급
  → 허용된 도구만 호출
  → 중요 행동은 사용자·담당자 승인
  → 입력·판단·도구 호출·결과를 감사로그로 저장
  → 이상행동 실시간 탐지

필수 통제

• 에이전트 고유 신원과 인증
• 작업 단위의 짧은 권한 수명
• 읽기와 쓰기 권한 분리
• 금액·데이터 민감도에 따른 승인 단계
• 허용된 API와 명령 목록
• 샌드박스와 네트워크 격리
• 프롬프트·모델·도구 버전 기록
• 레드팀, 반복 공격, 실패 시나리오 평가

5. 금융기관에서 특히 중요한 이유

• 금융 에이전트는 계좌, 거래, 개인·신용정보와 직접 연결될 수 있다.
• 잘못된 행동 한 번이 금전 손실과 금융사고로 이어질 수 있다.
• 금융기관은 전자금융과 개인정보 관련 규제를 충족해야 한다.
• 장애와 사고 발생 후 거래·판단 근거를 재현할 수 있어야 한다.
• 대국민 신뢰가 핵심이므로 편리함보다 안전한 단계적 도입이 중요하다.

출처

• NIST — AI Agent Standards Initiative
• NIST — AI 에이전트 보안 고려사항 분석 (2026-05-18)
• NIST — AI 에이전트 탈취 레드팀 연구 (2026-03-23)
• NIST — 제로트러스트 아키텍처 구현 가이드 (2025-06-10)
• NIST — 소프트웨어·AI 에이전트 신원 및 권한 개념서 (2026)