실시간
뉴스

침해사고/위협동향

“보이지 않는 AI 에이전트가 기업 위협”…계정 및 권한 보안 강화 돼야

디지털데일리 발행일 2025-12-10 07:59:15
이상일 기자

세일포인트, "무기화된 AI 에이전트, 기업이 경험해보지 못한 공격"

[디지털데일리 이상일기자] “보이지 않는 ‘그림자 에이전트(Shadow Agent)’가 조직 곳곳에서 생성되고 있으며, 기업은 그들이 어떤 데이터에 접근하는지, 누가 소유자인지, 어떤 권한을 행사하고 있는지조차 모르는 상황에 놓여 있다.”

12월 9일 디지털데일리 웨비나 플랫폼 ‘DD튜브’에서 열린 ‘AI시대, 아이덴티티 보안을 재정의하다: 확장되는 아이덴티티를 지키는 보안의 미래’ 세션에서 세일포인트(SailPoint)의 김환일 시니어 솔루션 엔지니어는 생성형AI 확산으로 기업 환경 전반에서 아이덴티티 보안의 역할이 근본적으로 재정의되고 있다고 강조했다. 그는 “AI 에이전트의 폭발적 증가로 전통적인 보안 방식만으로는 통제·거버넌스를 유지하기 어려운 상황이 오고 있다”고 지적했다.

김 엔지니어는 발표에서 머신 아이덴티티와 AI 기반 자동화가 빠르게 확대되면서, 기업의 전체 아이덴티티 규모가 과거와 비교할 수 없을 정도로 복잡해졌다고 분석했다. 과거에는 직원·협력사 등 사람이 중심이었다면 오늘날에는 API, 서비스 계정, 머신러닝 모델, 그리고 다양한 업무를 처리하는 LLM 기반 에이전트까지 모두가 하나의 ‘아이덴티티’로 기능하고 있다는 설명이다.

그는 “아이덴티티 수가 기하급수적으로 늘어날수록 그 복잡성은 기업이 감당하기 어려운 수준까지 확장된다”며 “특히 AI 에이전트는 보안팀의 통제 밖에서 생성·연결되는 경우가 많아 위험 요소가 더 크다”고 말했다.

그는 ‘그림자 에이전트(Shadow Agent)’ 문제도 주요 위협으로 제시했다. 이는 관리되지 않은 채 사용자가 개별적으로 생성하거나 연결한 AI 에이전트를 의미하며, 보안팀의 가시성 밖에서 운영되는 것이 특징이다. 김 엔지니어는 “도구와 플랫폼 전반에서 보이지 않는 사각지대가 생기고 있다”며 “사용자가 어떤 AI 에이전트를 어디에 연결해 쓰는지, 그 에이전트가 어떤 데이터에 접근하는지 알기 어렵다”고 설명했다. 이어 “명확한 소유권이 없어 책임 소재가 흐려지고 정책이 일관되게 적용되지 않아 컴플라이언스 리스크로 이어진다”며 “AI 에이전트 확산은 단순한 기술 문제가 아니라 아이덴티티 기반 보안체계의 과제”라고 강조했다.

김 엔지니어는 실제 위험 사례도 소개했다. 한 글로벌 고객지원용 AI 에이전트가 레드팀 테스트 과정에서 조작된 요청에 속아 CRM 전체 고객 정보를 반환한 사고가 대표적이다. 그는 “특수 권한이 필요한 데이터에 AI 에이전트가 접근하면 그 자체로 위협 행위가 될 수 있다. 무기화된 AI 에이전트는 기업이 경험해보지 못한 새로운 유형의 공격”이라고 말했다.

세일포인트는 이러한 문제를 해결하기 위해 AI 시대를 위한 통합 아이덴티티 플랫폼 ‘SailPoint Atlas’와 AI 에이전트 전용 보안 체계인 ‘Agent Identity Security(AIS)’를 제시했다. AIS는 AI 에이전트의 전체 생애주기(생성–배포–사용–폐기)를 관리하며, 접근 권한 통제, 데이터 접근 가시성, 과도한 권한 부여 방지, 감사 추적 기능을 제공한다.

김 엔지니어는 “AI 에이전트가 어떤 도구에 연결돼 있는지 어떤 사용자가 어떤 에이전트를 쓰는지 에이전트가 직원에게 무단 권한을 주고 있지는 않은지 확인할 수 있어야 한다”며 “AIS는 이러한 질문에 명확한 답을 제공하는 플랫폼”이라고 말했다.

세일포인트는 조직의 아이덴티티 운영 수준을 진단하는 ‘호라이즌(Horizon) 성숙도 모델’도 소개했다. 미흡(Horizon 1), 기초(Horizon 2), 확장(Horizon 3), 고도화(Horizon 4), 통합(Horizon 5)의 다섯 단계로 구성되며, 많은 기업이 여전히 초기 단계에 머물러 있는 것으로 나타났다. 김 엔지니어는 “디지털 전환이 진전된 기업도 아이덴티티 보안 분야는 여전히 수동 운영 체계에 머무는 경우가 많다”며 “AI·클라우드 환경이 확장된 만큼 실시간 권한 제어와 자동화된 보안 대응이 필요하다”고 말했다.

이어 소개된 고객 사례는 아이덴티티 성숙도 향상의 효과를 보여준다. 글로벌 리테일 기업 스펙세이버(Specsavers)는 분산된 시스템으로 인해 수천 개의 중복 계정이 존재했지만, 표준 거버넌스 체계를 도입해 10배 이상의 계정 관리 효율을 확보했다. 미국 의료기관 템플헬스(Temple Health)는 자동 프로비저닝 도입으로 온보딩 시간을 120시간에서 1.5시간으로 단축했고, 글로벌 IT 기업 위프로(Wipro)는 AI 기반 자동화로 ‘첫날 자동 온보딩’을 실현했다.

김환일 엔지니어는 발표를 마무리하며 “AI가 혁신의 속도를 이끈다면 아이덴티티 보안은 그 혁신의 방향을 바로잡는다”며 “기업 안에서 인간과 AI 에이전트가 함께 일하는 시대가 이미 도래한 만큼, 이들을 단일 프로세스 체계에서 어떻게 통제하고 운영하느냐가 기업 경쟁력의 핵심이 될 것”이라고 말했다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지

디지털데일리 네이버 메인추가

당신이 좋아할 만한 뉴스

DD 마이크로 사이트

오피니언