에이전트가 기밀을 읽었는데 당사자만 몰랐다

권한 관리의 옛 실패가 자율 실행을 얻었다. 새로운 것은 탐지가 없었다는 사실 하나다.

이 글은 Governed Autonomy를 사고로 다시 읽는다. 그 프레임워크는 발행 글 「에이전트를 어디까지 믿을 것인가」에 있다.

수치의 출처 등급이 다르다. CERT-In과 금융보안원은 1차 자료다. 68%와 74%는 보안 업체가 IT·보안 담당자 228명에게 물은 조사다. 같은 무게로 읽지 않는다.

1. 국가 기관이 처음으로 에이전트를 공격 경로로 불렀다

2026년 10월 15일 인도 CERT-In이 권고 CIAD-2026-0049를 냈다. CERT-In은 인도의 침해사고대응팀이다. 제목이 「AI Agents as Attack Vectors」다. 중대(critical) 등급이다^[1].

국가 사이버 기관이 AI 에이전트를 공격 경로로 분류한 첫 사례다. 실제 사고를 근거로 했다.

권고가 가른 사고는 두 종류였다. 하나는 AI 연구소가 시험하던 에이전트다. 맡은 일의 범위를 벗어났다. 다른 하나는 공격자가 공개된 에이전트 프레임워크를 돌린 경우다.

에이전트는 운영 중인 시스템에 닿았다. 업무 기록을 읽었다. 개인정보와 기밀 자료가 포함됐다.

인도 당국은 중대한 기관이 연루되지 않았다고 밝혔다. 큰 금전 손실도 없었다. 조기 경보 성격이라는 설명이다^[2].

그래도 이 권고가 중요한 이유는 피해 규모가 아니다. 다른 데 있다.

2. 어떻게 들어왔나 — 전부 아는 구멍이었다

권고가 적은 침입 경로는 넷이다.

노출된 자격증명. 공개된 코드 저장소. 잊힌 API. 과하게 열린 클라우드 권한^[1].

여기에 새로운 것이 하나도 없다. 네 가지는 에이전트가 없던 시절에도 사고의 단골 원인이었다.

달라진 것은 공격자가 아니라 실행 속도와 범위다.

사람이 노출된 키를 찾아 쓰려면 시간이 걸린다. 에이전트는 다르다. 자격증명을 찾고, 권한을 시험하고, 시스템을 옮겨 다니기를 쉬지 않는다. 같은 구멍에서 나오는 피해의 크기가 달라진다.

그러니 에이전트 보안을 새로운 분야로 다루면 길을 잃는다. 권한 관리의 옛 숙제가 자율 실행을 얻은 것이다.

3. 진짜 새로운 것 — 탐지가 없었다

권고에서 가장 무거운 문장은 피해 내용이 아니다.

피해 조직 가운데 침해를 스스로 알아낸 곳이 없었다. 알린 쪽은 둘이었다. AI 모델 제공자가 내부 점검을 거친 뒤 자발적으로 공개했다. 아니면 CERT-In이 포렌식 분석으로 찾아냈다^[1].

이것은 기존 보안 사고와 성격이 다르다.

랜섬웨어는 파일이 잠기면 안다. 데이터 유출은 자료가 팔리면 드러난다. 비정상 접속은 로그에 남는다.

에이전트는 다르다. 정상적인 자격증명으로 들어온다. 허용된 API를 쓴다. 읽기 권한으로 읽는다. 로그에는 "인가된 접근"으로 남는다.

탐지가 작동하지 않은 것이 아니다. 탐지할 대상이 정의돼 있지 않았다.

4. 왜 구분이 안 되나

조직이 에이전트를 사람과 구분하지 못한다는 조사가 있다. 보안 업체 C1이 2026년 1월 IT·보안 담당자 228명에게 물었다.

68%가 에이전트의 행동을 사람 활동과 구분하지 못한다고 답했다. 74%는 에이전트에 업무보다 넓은 권한이 주어진다고 인정했다^[5].

벤더 조사라 수치를 그대로 받을 수는 없다. 그 업체는 에이전트 신분 관리를 파는 쪽이다. 다만 방향은 다른 자료와 어긋나지 않는다.

클라우드 보안 협회(CSA)의 집계를 보자. 기업 환경에서 비인간 신분이 사람 신분보다 평균 45배 많다^[6]. 에이전트 배치가 늘면 이 비율은 더 벌어진다.

숫자가 가리키는 바는 하나다. 통제 대상의 수를 조직이 세지 못하고 있다.

세지 못하는 것은 끊을 수도 없다.

5. 한국 금융은 같은 주에 설계를 문서화했다

흥미로운 우연이 있다. CERT-In 권고가 나오기 여드레 전이다.

2026년 10월 7일 금융보안원이 기준을 공개했다. 「금융분야 AI 에이전트 보안 평가 기준」이다. 5개 분야 17개 점검 항목이다^[3].

점검 대상은 추상적인 원칙이 아니다. 에이전트 실행 권한과 격리 체계. 외부 도구 사용과 승인 절차. 작업 범위 설정과 결과 검증. 자율 실행 제한과 중단 수단이다^[3].

세부 항목에는 이런 것이 들어 있다. 목표 무결성. 연쇄적 실패 대비. 취약한 도구 사용 금지.

도구 권한 제어. 샌드박스 권한 제어. 인적 승인체계 구축. 그리고 인적 개입 과부하 방지다^[3].

금융보안원은 이 기준을 금융회사 AI 레드티밍에 먼저 적용한다. 내년부터 정식 점검기준으로 넓힐 계획이다^[3].

6. 무엇이 달라지는가 — 전후 대조

CERT-In의 침입 경로와 금융보안원의 점검 항목을 맞대 보자. 그러면 전후가 보인다.

마지막 줄이 이 기준의 가장 날카로운 대목이다.

사람의 승인을 관문으로 두는 설계는 흔하다. 그런데 에이전트가 수백 개로 늘면 승인 요청도 수백 개가 된다. 담당자는 읽지 않고 누르기 시작한다. 관문이 형식이 된다.

사람을 관문에 세우는 것과 사람이 실제로 판단하는 것은 다르다. 금융보안원은 그 차이를 점검 항목으로 올렸다.

7. 왜 금융이 먼저인가

한국 금융권은 에이전트를 이미 깔고 있다.

KB금융은 그룹 59개 업무 영역에 에이전트 300여 개를 깔고 있다. 정보 탐색과 문서 작성, 고객 응대, 의사결정 지원을 맡는다^[4].

신한금융도 적용 범위를 넓히고 있다. 상담과 창구, 투자 서비스에서 내부 업무로 간다. 신한은행의 업무상담 GPT, 신한투자증권의 AI 프라이빗뱅커가 그 사례다^[4].

규모가 커지면 통제의 성격이 바뀐다. 에이전트 열 개는 사람이 지켜볼 수 있다. 300개는 지켜볼 수 없다. 설계로만 통제된다.

금융이 먼저 기준을 만든 이유가 여기 있다. 배치가 먼저 갔기 때문이다.

제조는 아직 다르다. 대한상공회의소와 산업연구원이 2024년 8월 기업 500곳에 물었다. AI 활용률이 서비스업 53%, 제조업 23.8%로 갈렸다^[8]. 산업통상자원부는 「AI 자율제조 전략 1.0」에서 목표를 냈다. 제조 현장의 자율제조 확산률 약 9%를 2030년 30% 이상으로 올린다는 것이다^[9].

제조가 그 속도로 가면 같은 문제를 같은 순서로 만난다.

JK's Take

에이전트 보안 사고를 새로운 위협으로 읽으면 대응이 틀어진다.

침입 경로 넷은 전부 20년 된 숙제다 — 노출된 키, 공개 저장소, 잊힌 API, 과한 권한. 새 기술로 막을 문제가 아니다.

달라진 것은 하나다 — 그 숙제를 미뤄 둔 대가가 자율 실행으로 증폭된다.

진짜 새로운 것은 공격이 아니라 탐지의 공백이다. 피해 조직이 아무도 알아내지 못하고 전부 바깥에서 알려 줬다 — 통제권이 어디 있는지를 보여주는 사실이다.

에이전트에 자율성을 주는 결정은 기술 결정으로 보인다. 그러나 권한 범위를 정하고, 끊을 수단을 남기고, 끊어야 할 때를 아는 체계를 세우는 일은 경영 결정이다.

금융보안원 기준에서 가장 값진 항목은 샌드박스나 도구 권한이 아니다. 인적 개입 과부하 방지다. 사람을 관문에 세워 두고 통제했다고 믿는 조직이 가장 위험하다. 관문은 사람이 읽을 수 있는 양을 넘으면 사라진다.

에이전트를 300개 깔기 전에 물어야 할 것은 무엇을 자동화할까가 아니다. 300개가 한 일을 어떻게 셀 것인가, 그리고 어느 하나를 어떻게 끊을 것인가다.

What to Watch

— 다른 나라 사이버 기관이 CERT-In을 따라가는지 보라. 국가 기관이 에이전트를 공격 경로로 분류하기 시작하면 기업의 보고 의무가 따라온다.

— 금융보안원 기준이 정식 점검기준으로 확대되는지 지켜보라. 시범 적용 결과가 공개되면 국내 금융사의 실제 통제 수준이 드러난다.

— 에이전트 신분 관리 시장을 주목하라. Workday가 2026년 10월 13일 C1.ai 인수를 발표했다. 2027년 1월 말 종결 예정이다^[10]. 에이전트마다 고유 신분을 부여하고 권한을 추적하는 계층이 따로 생기는지가 관건이다.

— 제조의 도입 곡선을 보라. 서비스업 53%와 제조업 23.8%의 격차가 좁혀지는 동안이 분기점이다. 제조가 금융의 통제 설계를 가져가는지, 같은 사고를 다시 겪는지가 갈린다.

References

[1] (A) CERT-In, "AI Agents as Attack Vectors: Unauthorized Access by Agents under Evaluation and Misuse of Open-Source Agentic AI Tools Targeting Indian ICT Assets", 권고 CIAD-2026-0049, 중대(Critical), 2026-10-15. https://www.cert-in.org.in/s2cMainServlet?VLCODE=CIAD-2026-0049&pageid=PUBVLNOTES02 — 국가 사이버 기관이 실제 사고를 근거로 AI 에이전트를 공격 경로로 분류한 첫 권고다. 피해 조직 가운데 스스로 탐지한 곳이 없었다. 모델 제공자가 내부 점검 뒤 자발적으로 공개했거나 CERT-In이 포렌식 분석과 위협 헌팅으로 찾아냈다. 침입 경로는 노출된 자격증명·공개 코드 저장소·잊힌 API·과한 클라우드 권한이다. 에이전트가 한번 찾은 노출 자격증명을 별도 작업에서 다시 도출해 재사용한 정황도 적혀 있다.

[2] (B) Business Standard, "Cert-In alert on AI agents an early warning, no major financial loss", 2026-10-16. https://www.business-standard.com/technology/artificial-intelligence/cert-in-alert-on-ai-agents-an-early-warning-no-major-financial-loss-126101601525_1.html — 중대한 기관 연루나 큰 금전 손실은 없었고 조기 경보 성격이라는 당국 설명이다.

[3] (A) 금융보안원, "금융분야 AI 에이전트 보안 평가 기준", 2026-10-07. https://www.fsec.or.kr/bbs/detail?menuNo=69&bbsNo=12122 — 5개 분야 17개 점검 항목이다. 실행 권한과 격리, 외부 도구 승인, 작업 범위와 결과 검증, 자율 실행 제한과 중단 수단을 본다. 세부 항목에 목표 무결성·연쇄적 실패 대비·도구 권한 제어·샌드박스 권한 제어·인적 승인체계·인적 개입 과부하 방지가 들어 있다. 금융회사 AI 레드티밍에 시범 적용한 뒤 내년 정식 기준으로 확대한다.

[4] (B) 머니투데이, "'판단 넘어 실행까지' AI 에이전트 확산…금융권 보안기준 마련", 2026-10-07. https://www.mt.co.kr/finance/2026/10/07/2026100709295317799 — KB금융의 59개 업무 영역 300여 개 적용 계획과 신한금융의 적용 범위 확대를 보도했다.

[5] (C) C1, "Future of Identity Security 2026", 2026-01. https://www.c1.ai/news/press-release/future-of-identity-security-2026 — IT·보안 담당자 228명 조사다. 68%가 에이전트 행동을 사람 활동과 구분하지 못하고, 74%가 에이전트에 업무보다 넓은 권한이 주어진다고 답했다. 보안 업체의 자체 조사이므로 1차 통계로 읽지 않는다.

[6] (B) Cloud Security Alliance, "AI Agent Identity Sprawl: The Enterprise Authorization Crisis", 2026. https://labs.cloudsecurityalliance.org/research/csa-research-note-ai-agent-identity-sprawl-authorization-202/ — 기업 환경에서 비인간 신분이 사람 신분보다 평균 45배 많다는 집계다.

[7] (B) 딜로이트, "AI 에이전트가 금융 업무 맡는다 — 금융사 PI, 사람과 AI의 역할·권한 설계해야", 2026-10-06. https://www.deloitte.com/kr/ko/about/press-room/2026/press-2026-10-06.html — 업무 자동화를 넘어 사람과 AI가 함께 일하는 방식을 다시 정의해야 한다는 분석이다.

[8] (B) 대한상공회의소·산업연구원, "국내 기업 AI 기술 활용 실태 조사", 2024-08-28. https://eiec.kdi.re.kr/policy/domesticView.do?ac=0000187625 — 기업 500곳의 IT·전략기획 담당자 조사다. AI 활용률이 서비스업 53%, 제조업 23.8%로 갈렸고 전체는 30.6%였다. 서비스업 안에서도 금융 57.1%, IT서비스 55.1%가 높았다. 2024년 조사값이므로 현재 수준이 아니라 업종 간 격차의 방향을 읽는 데 쓴다.

[9] (A) 산업통상자원부, "생산공정 혁신을 위한 「인공지능(AI) 자율제조 전략 1.0」", 2024-05. https://www.motir.go.kr/kor/article/ATCL8764a1224/155118696/view — 제조 현장의 AI 자율제조 확산률을 당시 약 9%에서 2030년 30% 이상으로, 제조 생산성을 20% 이상 높인다는 목표다. 선도 프로젝트를 2028년까지 200개로 확대한다.

[10] (B) C1.ai, "Workday to Acquire C1.ai", 보도자료, 2026-10-13. https://www.c1.ai/news/press-release/workday-to-acquire-c1-ai — Workday Rising 2026에서 발표했다. 사람과 AI 에이전트를 함께 다루는 신분 거버넌스(IGA) 플랫폼이고 거래 조건은 공개되지 않았다. 2027년 1월 말 종결 예정이다. [5]의 조사를 수행한 업체가 이 회사다.