作者 주: Cisco 고객 사례에서 에이전트 보안의 우선 과제 3가지를 정리했어요. 악의적인 공격과 에이전트의 ‘좋은 의도로 한 잘못된 행동’을 구분하고, 이를 모니터링과 통제 설계에 반영하는 데 도움이 될 거예요.
에이전트가 운영에 들어가면 보안팀은 외부 공격만 신경 쓸 수 없어요. 정상적인 권한으로 정당한 목표를 수행하는 에이전트도 아무도 예상하지 못한 경로를 택할 수 있거든요. 예를 들어 ‘장애를 빨리 해결’하려다 접근 정책을 완화할 수도 있어요. 이 글에서는 에이전트 보안의 세 가지 우선 과제를 중심으로, 이상 행동이 공격 때문인지 아니면 에이전트가 ‘좋은 의도로 잘못된 행동’을 한 것인지 판단하는 방법을 살펴봐요.
고객 홍보 사례를 단순히 다시 소개하는 글은 아니에요. 이 글은 OpenAI가 2026년 11월 3일에 발표한 Cisco 고객 사례를 바탕으로 해요. 사례에 담긴 에이전트 보안 관련 내용은 주로 Cisco 사장 겸 최고제품책임자 Jeetu Patel의 견해에서 나왔어요. 이 글에서는 그 견해를 자체 점검 질문 목록으로 풀어내고, 어떤 내용이 경영진의 견해이고 어떤 내용에 공개 데이터가 부족한지도 분명히 짚어볼게요.
핵심 가치: 이 글을 읽고 나면 내부 검토에 바로 활용할 수 있는 프레임워크를 얻을 수 있어요. 어떤 데이터를 수집하고, 어느 단계에서 차단하며, 어느 수준의 실시간 대응이 필요한지, 또 기존 보안 스캔 프로세스와 어떻게 연결할지 살펴볼 수 있어요.
AI 에이전트 보안의 핵심: Cisco 사례에서 제시한 3가지 우선순위
이 사례에서 Patel은 AI 에이전트의 자율성이 높아질수록 보안팀이 두 가지 상황을 구분해야 한다고 말해요. 하나는 악의적인 간섭이고, 다른 하나는 에이전트가 정당한 목표를 예상치 못한 방식으로 추구하는 경우예요. 이를 위해 보안 텔레메트리와 관측성 데이터를 함께 활용해야 한다며, 세 가지 우선순위를 제시했어요.
| 우선순위 | 원문의 의미 | 기업 팀의 실무 적용 |
|---|---|---|
| 악의적인 공격 방어 | 악의적인 공격으로부터 에이전트 보호 | 에이전트의 입력 출처, 도구 권한, 인증 정보 관리 |
| 예상치 못한 행동 탐지 및 차단 | 예상치 못한 행동을 발견하고 차단 | 행동이 작업 범위를 벗어나는지 판단하고 필요하면 실행 중단 |
| 준실시간 운영 | 실시간에 가까운 속도로 작동 | 조치가 적용되기 전이나 적용된 직후 매우 짧은 시간 안에 탐지 및 차단 |
이 사례에 따르면, 이 세 가지 우선순위는 보안 전략이 “에이전트의 행동에 따라 조정할 수 있는 정책과 통제”로 전환되는 데 영향을 주고 있어요. 다시 말해 정적인 허용 목록과 일회성 승인만으로는 부족하며, 에이전트의 실제 행동에 맞춰 통제해야 해요.
AI 에이전트 보안의 핵심: “공격당한 상황”과 “의도는 좋았지만 잘못된 행동” 구분하기
기존 보안 운영에서는 이상 징후를 곧 위협으로 간주하고, 차단과 원인 추적으로 대응하는 경우가 많아요. 하지만 에이전트의 이상 행동은 단순히 목표를 잘못 이해했거나 부적절한 경로를 선택한 결과일 수도 있어요. 이를 모두 공격으로 처리하면 오탐이 팀의 에너지를 크게 소모하고, 현업 부서가 에이전트에 대한 신뢰를 잃을 수도 있어요. 반대로 실제 프롬프트 인젝션 공격을 “모델의 실수”로 여긴다면 대응할 기회를 놓치게 돼요.
Patel이 두 종류의 데이터를 함께 활용해야 한다고 강조하는 이유도 여기에 있어요. 보안 텔레메트리는 비정상적인 연결, 의심스러운 페이로드, 인증 정보 사용 현황처럼 “외부에서 무슨 일이 일어났는지” 알려줘요. 관측성 데이터는 작업 목표, 호출한 도구, 각 단계의 입력과 출력처럼 “에이전트가 무엇을 생각하고 행동하는지” 보여줘요. 어느 한쪽만 봐서는 “이 행동은 누구의 의도인가?”라는 질문에 답할 수 없어요.
에이전트 보안 사례의 근거: 의견과 검증된 결론 구분하기
사례를 내부 의사결정에 활용하기 전에 근거의 성격부터 살펴볼 필요가 있어요. 이 자료는 OpenAI가 공개한 고객 사례로, 홍보 목적도 담겨 있어요. 방향성에 관한 의견은 제시하지만, 검증 가능한 기술 세부 사항이나 정량적 결과는 제공하지 않아요.
| 사례의 주장 | 성격 | 공개 자료에서 빠진 내용 |
|---|---|---|
| 에이전트 보안에는 보안 텔레메트리와 관측 가능성 데이터를 함께 활용해야 함 | Cisco 임원의 의견 | 구체적인 데이터 필드, 연관 분석 방법 |
| 세 가지 우선순위: 공격 방어, 의도하지 않은 행동 차단, 거의 실시간에 가까운 대응 | Cisco 임원의 의견 | 구현 아키텍처, 탐지 규칙 예시 |
| Daybreak와 GPT‑6 Astra가 “비약적인 개선”을 가져옴 | Cisco 임원의 평가 | 수정 소요 시간, 탐지율 등의 정량적 지표 |
| 업무 방식을 근본적으로 바꾸지 않고 기존 스캔 프로세스에 기능을 통합할 수 있음 | Cisco 임원의 의견 | 연동 방식, 적용 범위 |
| Daybreak Defense Network가 노출 영역의 우선순위 분류를 가속하고 Cisco Cloud Control에서 보안 통제를 실행하도록 지원함 | 양사가 탐색 중인 방향 | 구체적인 기능, 사용 가능 범위, 출시 시점 |
| OpenAI는 기업 프라이버시를 위해 데이터 무보관, 엄격한 데이터 경계, 검증 가능한 격리를 적용함 | OpenAI의 자체 설명 | 독립적인 제3자 평가 |
따라서 이 사례는 ‘솔루션 효과의 증거’가 아니라 ‘검토할 질문 목록의 출처’로 활용하는 편이 안전해요. 세 가지 우선순위는 논리가 명확해 자체 아키텍처를 점검하는 데 적합해요. 다만 특정 제품이 얼마나 개선 효과를 낼지는 독립적인 기술 자료나 제3자 평가를 기다리거나, 자체 환경에서 직접 테스트해야 해요.
에이전트 보안 사례에서 살펴보는 네트워크 측 접근법
사례 전반부에서는 Cisco의 네트워크 방어 접근법을 다루는데, 에이전트 환경에서도 참고할 만해요. Patel은 단일 보안 경계에서 벗어나 마이크로서비스, 컨테이너, 클러스터 전반에 통제를 분산하는 방향을 설명해요. 각 마이크로서비스와 Kubernetes 컨테이너, 클러스터 앞에 ‘미니 보안 스택’을 배치하는 방식이에요. 애플리케이션 계층에서 통신을 각 서비스에 꼭 필요한 연결로 제한하면 공격자의 횡적 이동 경로를 줄일 수 있어요.
이 접근법은 에이전트에도 적용할 수 있어요. 각 에이전트에 작업 수행에 필요한 연결과 도구 권한만 부여하는 거예요. 이상이 발생하면 팀은 전체 시스템을 중단하고 조사하는 대신 영향받은 에이전트나 서비스만 격리하고, 나머지 업무는 계속 운영할 수 있어요. 사례에서는 두 신호가 각각은 무해해 보여도 함께 보면 의미 있는 패턴을 드러낼 수 있다고도 설명해요. 이것이 바로 연관 분석의 가치예요.
에이전트 보안 빠르게 시작하기: 세 가지 우선순위를 자체 점검 목록으로 바꾸기
세 가지 우선순위를 실행 가능한 평가 항목으로 나눠볼게요. 아래 판단 방법은 사례에서 제시된 관점을 바탕으로 정리한 제안이며, Cisco가 공개한 구체적인 방법은 아니에요.
첫 번째 단계: 에이전트 보안에 필요한 두 가지 유형의 데이터 파악하기
탐지에 앞서 보유한 데이터부터 확인하세요. 보안 텔레메트리는 충분하지만 에이전트의 내부 행동은 거의 기록하지 않는 팀이 많아요. 이 경우 에이전트가 “좋은 의도로 잘못된 일을 했는지” 판단하기 어려워요.
| 데이터 범주 | 대표적인 내용 | 주로 답하는 질문 | 일반적인 수집 위치 |
|---|---|---|---|
| 보안 텔레메트리 | 네트워크 연결, 자격 증명 사용, 비정상 페이로드, 접근 거부 기록 | 외부의 악의적인 방해가 있는가 | 게이트웨이, 방화벽, ID 관리 시스템 |
| 관측 가능성 데이터 | 작업 목표, 도구 호출 순서, 각 단계의 입력과 출력, 소요 시간과 재시도 | 에이전트가 무엇을 하고 있으며, 왜 그렇게 하는가 | 에이전트 프레임워크, 모델 호출 진입점 |
| 업무 맥락 | 작업 요청자, 권한 범위, 변경 허용 시간대 | 해당 동작이 예상 범위 안에 있는가 | 티켓 시스템, 승인 워크플로 |
| 모델 호출 메타데이터 | 호출한 모델, 요청 시간, 호출자 식별 정보, 토큰 사용량 | 호출이 비정상적으로 집중되거나 출처가 의심스러운가 | APIYI apiyi.com과 같은 통합 모델 API 진입점 |
쉽게 놓치는 점이 있어요. 모델 호출 진입점 자체가 관측 가능성 데이터를 수집하기에 좋은 위치라는 점이에요. 팀 내 여러 에이전트가 서로 다른 공급업체의 API에 직접 연결하면 호출 기록이 곳곳에 흩어져요. 반면 APIYI 같은 통합 인터페이스로 여러 모델에 접속하면 호출이 한 진입점에 모여 태그 지정, 기록 보관, 연관 분석을 일관되게 수행하기 쉬워요.
두 번째 단계: 에이전트 보안 차단 지점 결정하기
일찍 차단할수록 비용은 낮지만, 정상적인 작업을 잘못 차단할 가능성도 커져요. 작업의 위험 수준에 따라 차단 지점과 실시간 처리 요건을 나누어 설정하는 것이 좋아요.
| 차단 지점 | 주요 검사 내용 | 실시간 처리 요건 | 대응 방식 |
|---|---|---|---|
| 입력 시 | 외부 웹페이지, 이메일, 문서에 인젝션 지시가 포함되어 있는지 | 실행 전 동기 검사 | 신뢰할 수 없는 콘텐츠 제거 또는 표시 |
| 도구 호출 전 | 호출이 작업의 허용 범위를 벗어나는지, 매개변수가 권한 범위를 넘는지 | 동기 검사, 밀리초~초 단위 | 거부, 기능 제한 또는 담당자 확인 요청 |
| 고위험 작업 전 | 설정 변경, 데이터 삭제, 외부 전송, 권한 확대 | 동기 검사, 반드시 담당자 또는 정책 확인 | 2차 승인 |
| 작업 실행 후 | 결과가 목표와 일치하는지, 부작용이 발생했는지 | 준실시간, 초~분 단위 | 롤백, 영향받은 리소스 격리 |
| 사후 분석 | 행동 이력과 보안 이벤트의 연관성 분석 | 오프라인 | 정책과 규칙 업데이트 |
이 표에서 특히 눈여겨볼 부분은 ‘준실시간’ 처리예요. 되돌릴 수 없는 작업은 실행 전에 탐지해야 해요. 롤백할 수 있는 작업은 실행 후 준실시간으로 탐지하고 빠르게 롤백하는 방식도 가능해요. 이 경계를 명확히 하면 ‘모두 차단하거나 모두 허용해야 한다’는 고민을 피할 수 있어요.
3단계: 악의적 개입과 의도하지 않은 행동을 구분하는 질문
이상 알림이 발생하면 아래 질문을 순서대로 확인해 보세요. 이때 보안 텔레메트리와 관측성 데이터를 함께 활용해요.
- 행동을 유발한 출처를 신뢰할 수 있는가: 해당 행동을 유발한 지시가 권한 있는 사용자에게서 왔나요, 아니면 에이전트가 읽은 외부 콘텐츠에서 왔나요? 외부 콘텐츠가 출처라면 우선 주입 공격을 의심해 보세요.
- 행동이 원래 목표에 부합하는가: 작업 목표에 비춰볼 때, 해당 행동을 ‘작업을 완료하기 위한 것’으로 합리적으로 설명할 수 있나요? 설명은 가능하지만 방식이 허용 범위를 벗어났다면 의도하지 않은 행동일 가능성이 높아요.
- 외부에서 이상 신호가 함께 나타나는가: 같은 시간대에 비정상적인 연결, 의심스러운 인증 정보 사용, 데이터 유출 징후가 있었나요? 그렇다면 악의적 행위일 가능성에 더 무게를 두세요.
- 행동을 재현할 수 있는가: 동일한 입력으로 재실행했을 때 에이전트가 일관되게 같은 행동을 하나요? 안정적으로 재현된다면 정책이나 프롬프트 설계 문제인 경우가 많아요.
4번의 재실행 테스트에서는 서로 다른 모델로 같은 작업을 수행해 보는 것이 유용해요. 이를 통해 행동의 차이가 특정 모델의 특성에서 비롯됐는지, 아니면 작업 설계 자체의 허점 때문인지 살펴볼 수 있어요. APIYI의 통합 인터페이스를 이용하면 모델 이름 파라미터만 바꿔 모델을 교체할 수 있어, 테스트 환경에서 이런 비교를 빠르게 진행하기에 좋아요.
🎯 기술 제안: 에이전트 보안 테스트 환경을 구축할 때는 모델 호출을 하나의 진입점으로 통합하는 것을 권장해요. 저희는 APIYI apiyi.com을 통해 여러 주요 모델에 통합 연동하고 있어요. 이렇게 하면 호출 메타데이터를 한곳에 모으고 모델 전환 비용도 줄일 수 있어, 같은 작업을 여러 모델로 재실행하고 행동을 비교하기 편해요.
네 번째 단계: 기존 스캔 프로세스에 통합하기
Patel은 사례에서 이러한 기능을 기존 스캔 프로세스에 통합하면 팀이 업무 방식을 근본적으로 바꿀 필요가 없다고 설명해요. 구체적인 연동 방법은 제시하지 않았지만, 참고할 만한 접근 방식이에요. 에이전트 보안을 위해 별도의 플랫폼을 구축하는 대신 새로운 데이터 소스와 점검 항목을 기존 프로세스에 추가하는 거죠.
- 취약점 스캔 프로세스: 에이전트가 호출할 수 있는 도구, 플러그인, API를 자산 목록과 스캔 범위에 포함해요.
- 알림 분류 프로세스: 기존 SIEM이나 티켓 시스템에 ‘에이전트 행동’ 알림 카테고리를 추가하고, 해당 도구의 호출 이력을 함께 제공해요.
- 변경 관리 프로세스: 에이전트가 요청한 설정 변경에도 사람이 수행하는 변경과 동일한 승인 및 롤백 절차를 적용해요.
- 권한 감사 프로세스: 각 에이전트에 최소 권한이 부여되어 있는지 정기적으로 검토하고, 서비스 계정 감사와 함께 진행해요.
AI 에이전트 보안 적용 자체 점검 체크리스트
위 내용을 하나의 체크리스트로 정리했어요. 에이전트 출시 전 심사 회의에서 항목별로 확인해 보세요.
| 점검 영역 | 자체 점검 질문 | 해당 우선 과제 |
|---|---|---|
| 입력 신뢰도 | 에이전트가 읽는 외부 콘텐츠가 신뢰할 수 없는 것으로 표시되어 있나요? | 악의적 공격 방어 |
| 최소 권한 | 각 에이전트에 작업 수행에 필요한 도구와 연결만 부여되어 있나요? | 악의적 공격 방어 |
| 행동 기록 | 작업 목표, 도구 호출 순서, 각 단계의 결과가 빠짐없이 기록되나요? | 예상치 못한 행동 탐지 및 차단 |
| 고위험 작업 | 되돌릴 수 없는 작업을 실행하기 전에 정책에 따른 확인이나 사람의 승인을 거치나요? | 예상치 못한 행동 탐지 및 차단 |
| 데이터 연계 | 보안 텔레메트리와 관측 가능성 데이터를 시간과 신원 기준으로 연계해 조회할 수 있나요? | 세 가지 과제의 공통 기반 |
| 탐지 지연 | 행동 발생부터 경고 생성까지 걸리는 시간이 위험 등급별 요구사항을 충족하나요? | 준실시간 운영 |
| 격리 기능 | 다른 서비스에 영향을 주지 않고 개별 에이전트만 격리할 수 있나요? | 준실시간 운영 |
어느 항목이든 답이 “아니요”라면 해당 우선 과제에 미비한 부분이 있다는 뜻이에요. 특히 “행동 기록”과 “데이터 연계”를 먼저 보완하는 것이 좋아요. 이 두 가지가 없으면 다른 탐지 활동에도 판단 근거가 부족하기 때문이에요.
자주 묻는 질문 FAQ
Q1: 에이전트가 “좋은 의도로 잘못된 일을 한다”는 건 무엇인가요?
공격을 받지 않은 에이전트가 정당한 목표를 달성하려다 예상치 못한 방식을 취하는 것을 뜻해요. 예를 들어 작업을 빨리 끝내려고 권한을 넘어 설정을 변경하는 경우예요. 이 사례에서는 이를 “에이전트가 예상치 못한 방식으로 정당한 목표를 추구하는 것”으로 설명하며 악의적인 방해와 구분해요.
Q2: 에이전트 보안은 기존 애플리케이션 보안과 어떻게 다른가요?
기존 애플리케이션 보안은 주로 외부 공격을 방어하며, 동작 경로도 비교적 고정되어 있어요. 반면 에이전트는 어떤 도구를 어떤 순서로 호출할지 스스로 결정하므로 동작 경로가 일정하지 않아요. 따라서 공격 방어뿐 아니라 예상치 못한 행동도 탐지해야 하며, 에이전트의 의도를 이해할 수 있는 관측 가능성 데이터도 필요해요.
Q3: Cisco 사례는 언제 발표됐으며, 결론은 신뢰할 만한가요?
이 사례는 OpenAI가 2026년 11월 3일에 발표했어요. 에이전트 보안에 관한 내용은 주로 Jeetu Patel의 견해이며, “단계적 개선” 등의 평가에는 수정 소요 시간이나 탐지율 같은 정량 데이터가 제시되지 않았어요. Daybreak와 Daybreak Defense Network의 구체적인 기능과 사용 가능 범위도 설명되지 않았어요. 접근 방식을 참고하되 효과는 직접 검증하는 것이 좋아요.
Q4: 이 프레임워크는 어떤 상황에 가장 적합한가요?
– **운영 에이전트**: 설정 변경, 서비스 재시작, 접근 정책 조정을 수행할 수 있는 상황.
– **데이터 처리 에이전트**: 외부 문서, 이메일, 웹페이지를 읽고 그에 따라 행동하는 상황. 프롬프트 인젝션 위험이 높아요.
– **멀티 에이전트 협업 프로세스**: 한 에이전트의 출력이 다른 에이전트의 입력이 되어 이상 동작이 단계마다 증폭되기 쉬운 상황.
Q5: 모델에 따른 에이전트의 행동 차이를 적은 비용으로 검증하려면 어떻게 해야 하나요?
테스트 환경에서 동일한 작업과 도구 세트를 사용하고, 모델만 바꿔가며 실행한 뒤 도구 호출 순서와 권한 초과 횟수를 비교해 보세요. APIYI apiyi.com을 통해 여러 모델을 통합해 사용하면 모델 이름만 바꿔 전환할 수 있고, 호출 기록도 한곳에 모여 결과를 비교하기 편해요.
Q6: 모델 호출 기록은 에이전트 보안에 어떻게 활용하나요?
모델 호출 기록은 관측 가능성 데이터의 중요한 부분이에요. 호출이 비정상적으로 집중되는지, 호출 주체를 신뢰할 수 있는지 판단하고, 보안 텔레메트리와 시간을 기준으로 맞춰 분석하는 데 도움이 돼요. 팀에서 APIYI 같은 통합 접점으로 모델 호출을 모으면 이 데이터를 수집하고 연관 짓기가 더 편해요.
Q7: 이 프레임워크의 한계는 무엇인가요?
세 가지 우선사항은 방향을 제시하는 원칙이며, 바로 사용할 수 있는 탐지 규칙은 포함하지 않아요. 악의적인 행동과 예상치 못한 행동을 구분하기 어려운 경계 사례는 여전히 사람이 판단해야 해요. 준실시간 차단에는 추가 지연도 발생하므로 행동의 위험도에 따라 적용 여부를 결정해야 해요. 사례의 근거 자체도 고객 홍보 자료이며 독립적인 평가가 부족해요.
에이전트 보안 핵심 요점 Key Takeaways
- 두 가지 위험은 나눠서 봐야 해요: 악의적인 방해와 “좋은 의도로 잘못 처리한 경우”는 대응 방식이 완전히 달라요.
- 두 종류의 데이터는 함께 활용해야 해요: 보안 텔레메트리로 외부 위협을, 관측 가능성 데이터로 에이전트의 의도를 파악해요.
- 세 가지 우선 과제: 악의적인 공격 방어, 의도하지 않은 행동 탐지 및 차단, 준실시간 운영이에요.
- 차단 지점은 위험도에 따라 정해요: 되돌릴 수 없는 작업은 실행 전에 차단하고, 롤백 가능한 작업은 실행 후 빠르게 되돌려요.
- 근거의 성격을 구분해야 해요: 사례에서 제시한 관점은 참고할 만하지만, 정량적 효과를 뒷받침하는 공개 데이터는 아직 없어요.
- 시작 방법: 모델 호출을 APIYI 같은 통합 접점으로 모으면 메타데이터 수집과 여러 모델의 비교 테스트가 쉬워져요.
정리
Cisco 사례를 통해 에이전트 보안을 살펴볼 때 가장 중요한 건 특정 제품명이 아니라, 문제를 명확하게 파악하는 틀이에요.
- 먼저 의도를 구분해요: 이상 현상이 공격 때문인지, 좋은 의도로 잘못 처리한 결과인지에 따라 대응 경로가 달라져요.
- 필요한 데이터를 확보해요: 관측 가능성 데이터가 없으면 에이전트의 의도를 판단할 수 없고, 보안 텔레메트리가 없으면 외부 개입 가능성을 배제할 수 없어요.
- 마지막으로 지연 시간을 관리해요: 작업의 위험도에 따라 차단 지점을 정하고, 준실시간으로 탐지·차단할 수 있도록 기존 스캔 및 승인 절차에 연동해요.
먼저 이 글의 자체 점검 체크리스트로 운영 중인 에이전트를 살펴보고, 행동 기록과 데이터 연계를 우선 보완해 보세요. 테스트와 비교 단계에서는 APIYI apiyi.com을 통해 여러 모델을 통합 연동하고 호출 기록을 한곳에서 수집해 모델별 행동을 빠르게 비교할 수 있어요. 이렇게 하면 운영 환경 배포 심사에 활용할 더 탄탄한 근거를 마련할 수 있어요.
📚 참고 자료
- How Cisco defends at machine speed with OpenAI: OpenAI가 공개한 Cisco 고객 사례
- 링크:
openai.com/index/cisco-cyber - 설명: 이 글의 세 가지 우선 과제와 관련 견해의 출처예요. 2026년 11월 3일에 공개된 고객 홍보 자료로, 정량적 수치와 제품 세부 정보는 별도로 확인해야 해요.
작성자: APIYI 기술팀
기술 문의: APIYI apiyi.com 홈페이지에서 문의해 주세요. 자세한 자료는 docs.apiyi.com 문서 센터에서 확인할 수 있어요.
