두 관문을 모두 통과한 위험한 행동
기업이 AI 에이전트를 사내 시스템에 연결할 때는 보통 두 종류의 관문을 둔다. 콘텐츠 관문은 프롬프트와 답변에서 악성 지시나 민감정보를 걸러낸다. 연결 관문은 에이전트가 접속할 시스템과 호출 횟수를 제한한다.
두 관문은 각각 말의 내용과 연결 가능 여부를 다룬다. 그러나 첫째는 누가 요청했는지 판단하지 않고, 둘째는 연결 뒤에 어떤 자료까지 다뤄도 되는지 가리지 못한다. 인사 시스템 접속 권한과 임원 보상 기록 열람 권한은 같지 않다.
그렇다면 평범한 요청은 어떻게 통과할까? 인사 업무를 돕는 에이전트가 정상 로그인 상태에서 평범한 문장으로 임원 보상 기록을 조회해도 기존 검사는 모두 통과할 수 있다. 맡은 업무와 조회의 관련성을 묻는 절차가 없기 때문이다. 악성 프롬프트도 비인가 연결도 아닌 행동은 기존 구조의 탐지 대상에서 빠진다. 깨끗한 문장이 곧 안전한 행동은 아니라는 말이다.
그래서 감사 기록에는 성공한 인증과 허용된 호출만 남는다. 요청을 하나씩 떼어 보면 규칙 위반이 없으므로 사고의 원인도 기록만으로 설명하기 어렵다.
권한은 위임될수록 줄어든다는 착각
AI 에이전트는 작업을 나눈 뒤 다른 에이전트에 맡기고, 호출받은 에이전트도 다시 일을 넘긴다. 권한이 넘어가는 절차를 위임이라고 하며 한 단계를 홉(hop)이라고 부른다. 권한이 바통처럼 손에서 손으로 옮겨 가는 구조다.
그런데 사람을 위한 신원, 접근관리 체계는 한 세션에 한 사람의 신원이 있고, 권한은 미리 정해진다고 본다. 정기적으로 접근권한을 다시 살펴 과잉 권한을 거두는 절차도 이 전제에 맞춰져 있다. 여러 에이전트가 권한을 연달아 넘기는 흐름에는 그대로 적용하기 어렵다.
그런데 OAuth 토큰 교환 규격인 RFC 8693은 각 홉에서 새 토큰을 내준다. 다만 권한이 이전 단계보다 반드시 줄어들도록 강제하지 않으며, 앞선 행위자 정보는 접근 통제에 쓰지 않는 참고 기록으로 취급한다. 바로 앞 행위자만 확인해도 교환이 성립한다.
가령 재무 담당 임원이 승인한 지출을 네 에이전트가 나눠 처리한다고 하자. 마지막 에이전트가 회계 장부를 수정할 때 토큰은 최초 승인에서 여러 단계 떨어져 있다. 홉마다 넘겨받은 권한이 겹치면 어느 한 주체도 한꺼번에 부여하지 않은 권한 묶음이 생긴다. 권한이 옮겨 다니며 불어난 셈이다.
그런데 중간 에이전트가 조작되면 다음 에이전트에 업무 범위 밖의 행동을 조금씩 지시할 수 있다. 개별 토큰 교환과 API 호출은 정상으로 기록된다. 사람의 계정과 달리 에이전트의 위임 체인은 정기적인 접근권한 검토도 거의 받지 않는다.
지금 이 행동이 필요한지는 누가 판단하는가?
세 번째 관문은 행동이 실행되는 시점에 에이전트의 신원, 선언한 업무, 요청한 작업을 함께 대조한다. 로그인 때 한 번 허용한 권한을 세션 내내 인정하지 않고 호출마다 업무상 필요성을 판단하는 방식이다.
같은 호출이라도 누구를 대신하는지, 위임의 몇 번째 단계인지, 현재 처리 중인 업무가 무엇인지에 따라 판단이 달라진다. 평소 허용된 도구라도 현재 업무에 필요하지 않으면 요청을 거절한다. 세션 단위 허가는 최초 승인 뒤 새로 생긴 위임 단계와 작업 목적의 변화를 호출별 판단에 반영하지 못한다.
인사 에이전트의 임원 보상 조회를 거절할 근거는 인사 시스템에 접속할 수 없어서가 아니다. 현재 맡은 업무에 해당 조회가 필요하지 않아서다. 토큰의 유효성뿐 아니라 위임 경로와 작업 목적을 실행 시점에 확인해야 이 판단이 가능하다.
현장의 준비는 어떨까? 2026년 4월 공개된 기업 조사에서는 65%가 지난 1년간 사내 AI 에이전트 관련 보안 사고를 겪었고, 사고 기업의 61%가 민감정보 노출을 경험했다. 63%는 에이전트의 사용 목적을 제한하지 못했으며 60%는 오작동하는 에이전트를 도중에 중단할 수 없다고 답했다. 목적을 막지도, 오작동을 중간에 끊지도 못한다는 말이다.
그러나 인식과 실행은 달랐다. 신원, 접근관리와 사이버보안 책임자 577명을 조사한 2026년 Omada 보고서에서 92%는 에이전트 통제를 중요하게 봤지만 관련 정책을 시행한 조직은 44%였다.
콘텐츠 검사와 연결 통제에 실행 시점의 인가를 더하면 세 조건을 모두 다룬다. 문장이 안전한지, 시스템에 닿아도 되는지, 지금 맡은 일에 필요한 행동인지를 각각 판정한다. 마지막 판정이 빠진 감사 기록은 일탈까지 정상 호출로 남기고 만다.