마이크로소프트의 '에이전트 내부자' 경고와 NorForge Cairn 보고서: 회사 안 AI 에이전트를 직원처럼 등록하고 감시하려면 무엇을 정하나

마이크로소프트 보안 총괄 하예테 갈로(Hayete Gallot) 부사장은 2026년 10월 19일 공식 블로그에서 회사가 직접 들인 AI 에이전트를 '에이전트 내부자(agentic insider)'로 보고 상시 감시해야 한다고 썼습니다. 같은 날 보안 업체 NorForge는 공격자들이 AI 에이전트 작업 관리 화면을 인증 없이 인터넷에 열어 둔 채 쓰고 있었고 그 화면에 공격 대상의 비밀값 수백 건이 남아 있었다고 공개했습니다. 회사가 먼저 정할 것은 세 가지입니다. 회사 안에서 도는 에이전트를 빠짐없이 등록하는 목록, 에이전트마다 따로 주는 계정과 권한, 에이전트의 관리 화면과 작업 기록을 사람 계정만큼 지키는 규칙입니다.

마이크로소프트는 무엇을 말했나

갈로 부사장은 대부분의 회사가 외부 공격자가 쓰는 AI 모델은 걱정하면서 자기 회사 안의 에이전트는 직접 들였다는 이유로 암묵적으로 믿어 왔다고 지적했습니다. 그는 모델이 악의적이어서가 아니라 결과를 내도록 학습돼 보상 해킹(reward hacking)으로 흐르기 쉽고 조직의 규범과 판단에 맞춰져 있지 않기 때문에 믿을 수 없다고 봤습니다. 회사 안의 에이전트는 권한이 과한 경우가 많고 데이터와 도구, 시스템에 접근해 중요한 업무 과정에서 행동하고 결정합니다.

그가 든 방법은 세 단계입니다. 신원·데이터·클라우드·단말·네트워크·실행 환경의 신호를 모아 회사 안의 에이전트를 찾아내고 각 에이전트에 신원, 격리된 실행 공간, 정책과 권한을 붙여 관리 아래 둡니다. 그 신호로 에이전트가 하려는 일의 위험도를 그때그때 계산합니다. 감시 역할의 에이전트(Guardian Agents)가 모든 에이전트의 행동을 실행 전에 지켜보고 위험이 올라가면 그 자리에서 대응합니다. 마이크로소프트는 이 방식을 7월에 발표한 보안 시스템 Project Perception으로 제공한다고 밝혔습니다. 원문은 'Monitoring and securing those agents must become continuous.'(에이전트 감시와 보호는 상시로 이뤄져야 한다)라고 적었습니다.

NorForge 보고서는 무엇을 보여 줬나

NorForge는 공개 인터넷 검색 엔진으로 AI 공격 자동화 도구 Cairn의 관리 화면을 찾아 분석했습니다. Cairn은 범용 문제 해결 도구로, 시작점과 목표를 주면 여러 AI 에이전트가 단계를 밟아 가며 목표에 다가갑니다. 공격자들은 이를 침투 작업에 썼습니다.

The Verge는 로이터 보도를 인용해 피해 기업에 존디어(John Deere), 샤크닌자(SharkNinja), 커민스(Cummins)가 있다고 전했습니다. 존디어는 민감한 정보에 접근한 흔적이 없다고 했고 샤크닌자는 제품 지원 정보만 있는 별도 사이트가 영향을 받았으며 위협을 차단했다고 밝혔습니다. 공격자가 쓰는 에이전트 도구도 결국 보통 웹 화면과 작업 기록으로 움직이고 그 화면이 열리면 공격 대상의 정보까지 함께 새어 나간다는 점이 이 보고서의 교훈입니다. 회사가 들인 업무 에이전트도 같은 구조입니다.

회사 안 에이전트를 내부자처럼 관리하려면 무엇을 정하나

마이크로소프트 글은 외부 공격 에이전트를 막는 것과 회사 안 에이전트를 관리하는 것을 같은 체계로 다룬다는 점에서, NorForge 보고서는 에이전트 운영 화면 자체가 공격 표면이 된다는 점에서 회사의 점검 범위를 넓힙니다. 처음 에이전트를 들이는 회사라면 아래 순서로 정하면 됩니다.

• 에이전트 목록: 회사 안에서 돌아가는 에이전트를 모두 적습니다. 누가 만들었고 어떤 모델을 쓰며 어떤 계정으로 어느 시스템에 들어가는지, 지금도 쓰는지를 한 표로 관리합니다. 직원이 개인적으로 붙인 자동화도 포함합니다.
• 전용 신원과 권한: 에이전트마다 사람과 다른 전용 계정을 주고 업무에 필요한 시스템과 기능만 엽니다. 여러 에이전트가 한 계정을 함께 쓰지 않게 합니다.
• 위험도에 따른 권한: 읽기는 넓게, 쓰기는 좁게 엽니다. 외부 발신·결제·삭제·권한 변경처럼 되돌리기 어려운 행동은 사람 승인 뒤에 둡니다.
• 상시 감시: 에이전트가 무엇을 했는지 기록하고 평소와 다른 행동(낯선 시스템 접근, 대량 조회, 근무 시간 밖 실행)에 알림을 겁니다. 기록에는 무엇을 했는지와 함께 어떤 작업 지시에서 나온 행동인지를 남깁니다.
• 관리 화면 보호: 에이전트 관리 화면과 작업 기록은 사내망이나 인증 뒤에만 두고 공개 인터넷에 열지 않습니다. 작업 기록과 지시문에 비밀값이 섞이지 않았는지 비밀값 검사 도구로 정기적으로 확인합니다.
• 외부 점검 결과 보관: 모의 해킹이나 보안 점검을 외부 업체에 맡길 때 결과를 어떤 도구에 저장하고 누가 볼 수 있는지 계약 전에 확인합니다. NorForge는 정상 점검 업체의 화면도 열려 있어 고객을 위험에 빠뜨릴 수 있었다고 지적했습니다.
• 회수 절차: 프로젝트가 끝나거나 담당자가 바뀌면 에이전트 계정과 키를 닫고 목록에서 상태를 바꿉니다.

AI 자동화 업체에 확인할 것

• 에이전트마다 전용 계정을 쓰는가. 어떤 시스템의 어떤 기능까지 여는가.
• 외부 발신·결제·삭제를 프롬프트가 아니라 어떤 시스템이 막고, 승인 기록은 어디에 남는가.
• 에이전트 관리 화면과 작업 기록은 어디에 있고 누가 어떤 인증으로 들어가는가. 공개망에 열려 있지 않은가.
• 작업 기록과 지시문에 비밀값이 섞이지 않았는지 검사하는가.
• 작업 도중 에이전트를 멈추는 방법과 납품 뒤 계정·키를 회수하는 절차가 문서로 있는가.

노벤티스는 어떻게 다루나

노벤티스(noventis.io)는 AI 에이전트와 업무 자동화를 고객사 업무에 맞춰 설계하고 구축하며 운영·고도화까지 맡는 AX 엔지니어링 팀입니다. 설계 단계에서 업무별 입력·출력·승인 규칙과 사람에게 넘기는 조건을 먼저 정하고 승인 없이 외부 발신·결제·삭제를 실행하는 자동화는 만들지 않습니다. 사내 문서 검색은 모델 지시가 아니라 검색 단계에서 사용자 권한으로 문서를 먼저 거릅니다. 위 목록은 마이크로소프트 글과 NorForge 보고서를 정리한 일반 원칙이며 노벤티스의 특정 사례가 아닙니다.

이 글이 맞는 독자: 사내에 AI 에이전트가 여러 개 생기기 시작했거나 외부 업체에 에이전트 구축과 보안 점검을 맡기려는 회사의 운영·IT 책임자입니다.