MCP 무상태 HTTP와 WAB로 설계하는 엔터프라이즈 거버넌스

MCP가 엔터프라이즈 인프라로 넘어가는 시점

MCP 운영위원회가 제시한 2026년 H2 로드맵의 중심에는 무상태 HTTP 트랜스포트와 WAB(Web Agent Bridge) 표준화가 있다. 공개 MCP 서버가 10,000개를 넘어섰고 엔터프라이즈 AI 에이전트의 78%가 MCP를 채택한 상황에서는, 연결 규격만큼 수평 확장과 보안 거버넌스를 어떻게 설계할지가 중요해졌다.

로드맵은 세 방향으로 전개된다. 먼저 무상태 HTTP 트랜스포트는 SSE(Server-Sent Events) 기반의 지속 연결과 서버 측 세션 상태가 만들던 확장 병목을 줄인다. 각 요청-응답 사이클 안에서 필요한 컨텍스트를 완결해 인스턴스 사이의 상태 공유 의존성을 제거하는 방식이다.

WAB는 브라우저에서 실행되는 AI 에이전트와 MCP 서버 사이의 브릿지 레이어다. 웹 에이전트가 SameSite 쿠키, CORS, CSP 정책에 구애받지 않고 MCP 도구를 호출할 수 있도록 표준 인터페이스를 정의한다.

Server Cards와 A2A(Agent-to-Agent) 프로토콜 통합도 같은 로드맵에 포함된다. Server Cards는 npm의 package.json처럼 서버 기능, 보안 정책, 신뢰도 지표를 선언하는 표준 메타데이터 포맷이다. A2A 핸드셰이크는 에이전트 간 직접 협업을 지원한다.

⤢✕

MCP는 2024년 11월 출시 후 18개월 만에 공개 서버 10,000개를 돌파했다. 월 9,700만 건의 다운로드와 엔터프라이즈 AI 에이전트 78% 채택은 이 규격이 단일 벤더의 프로토콜 실험을 넘어 에이전틱 AI 인프라의 사실상 표준으로 자리 잡았음을 보여준다.

AAF 거버넌스가 바꾼 생태계

Anthropic은 MCP 스펙을 Linux Foundation에 기증하고 Agentic AI Foundation(AAF)을 설립했다. AAF 거버넌스로 전환한 뒤 기여자 수는 6개월 만에 340% 증가했으며, OpenAI·Google·Microsoft가 프리미엄 멤버로 합류했다.

이 전환은 공개 RFC 절차를 통해 벤더 편향 없이 기술 스펙을 검토할 기반을 만들었다. Apache 2.0 라이선스는 기업의 상업적 활용 장벽을 낮추고 서드파티 툴체인 성장을 촉진했다. Technical Steering Committee에는 경쟁사가 함께 참여하며, 공식화된 CVE 프로세스와 보안 취약점 공개 채널은 엔터프라이즈 보안팀이 요구하는 신뢰 기반을 제공한다.

세션을 서버 밖으로 밀어내는 설계

무상태 HTTP 트랜스포트에서는 단일 HTTP 요청이 처리에 필요한 컨텍스트를 자체적으로 포함해야 한다. SSE 기반 서버가 세션 ID로 메모리의 컨텍스트를 참조했다면, Stateless 모드에서는 클라이언트가 요청마다 컨텍스트 패킷을 직렬화해 전송한다.

필드	타입	설명
`ctx_version`	`string`	컨텍스트 스키마 버전
`agent_id`	`string`	호출 에이전트의 식별자 (JWT sub)
`conversation_digest`	`string`	이전 대화 요약의 SHA-256 다이제스트
`tool_state`	`object`	도구별 필요 상태 스냅샷 (최소화)
`auth_token`	`string`	Bearer 토큰 (OIDC Access Token)
`idempotency_key`	`string`	멱등성 보장 키 (UUID v7)
`deadline_ms`	`number`	요청 처리 기한 (Unix epoch ms)

패킷 크기를 관리하려면 전체 대화 기록 대신 conversation_digest를 전달한다. 서버가 신뢰하는 외부 컨텍스트 스토어에 대화 요약본을 캐싱하고, 요청에는 해당 요약을 찾을 다이제스트만 싣는 방식이다. 게이트웨이는 다이제스트로 캐시를 조회해 상태를 복원한다.

⤢✕

어느 인스턴스가 요청을 받더라도 같은 결과를 내도록 하려면 가변 상태를 서버 메모리에서 분리해야 한다. 세션 변수와 중간 결과는 Redis Cluster나 Amazon ElastiCache 같은 외부 저장소에 두고, 서버는 요청 시작 시 상태를 읽은 뒤 처리가 끝나면 갱신한다.

네트워크 오류로 요청이 반복될 때는 idempotency_key인 UUID v7을 기준으로 분산 락을 획득한다. 이미 처리한 요청이라면 캐싱된 응답을 반환해 중복 실행을 막는다.

확장 기준도 서버 자원 사용률에만 묶지 않는다. Kubernetes HPA(Horizontal Pod Autoscaler)의 커스텀 메트릭으로 MCP 요청 큐 깊이와 p99 레이턴시를 사용하면 실제 요청 부하에 맞춰 인스턴스를 확장할 수 있다.

분산 환경에서 호출량을 통제하는 법

Stateless 서버에서는 인스턴스 메모리의 카운터만으로 전체 호출량을 제한할 수 없다. Redis를 이용한 분산 토큰 버킷(Distributed Token Bucket)은 여러 인스턴스가 같은 제한 상태를 공유하게 한다.

⤢✕

제한 키는 에이전트 ID, 도구 ID, IP/CIDR 블록의 세 차원을 조합한다. 결제나 대용량 DB 조회처럼 고비용 외부 API를 부르는 도구에는 별도의 엄격한 서킷 브레이커 정책을 적용해 비용 폭발을 막는다.

기존 IAM을 MCP 호출 경로에 연결하기

엔터프라이즈 MCP 거버넌스는 조직의 IAM 체계와 분리해서 설계할 수 없다. MCP 게이트웨이는 OIDC(OpenID Connect) 토큰 인트로스펙션으로 에이전트 신원을 확인하고, 토큰 클레임을 바탕으로 도구 접근 권한을 평가한다.

각 에이전트에는 업무에 필요한 최소 도구 집합만 허용한다. OIDC 스코프와 MCP 도구 ID를 1:1로 매핑하면 권한을 세분화할 수 있다. mcp:tool:database:read 스코프가 없는 에이전트는 데이터베이스 조회 도구를 호출하지 못한다.

인가 판단에는 요청 시점의 IP 주소, 시간대, 에이전트 행동 패턴의 이상 지표도 함께 반영한다. 같은 에이전트라도 의심스러운 컨텍스트라면 추가 인증을 요구할 수 있다. Open Policy Agent(OPA)나 Cedar 정책 언어를 게이트웨이에 연결하면 에이전트를 다시 배포하지 않고도 정책 변경을 적용할 수 있다.

⤢✕

공개 서버를 내부 운영망에 들이는 기준

공개 서버가 10,000개에 이르면 검증되지 않았거나 악의적인 서버가 섞일 가능성도 커진다. 기업 내부에서는 외부 공개 서버를 직접 사용하게 두는 대신 Private Server Registry를 두고 등록과 배포를 통제한다.

사전 승인된 MCP 서버만 내부 레지스트리에 등록하는 Allowlist 정책이 첫 관문이다. 서버 패키지는 SBOM(Software Bill of Materials)을 제출하고 모든 의존성을 Trivy나 Grype로 검사한다. 배포 바이너리는 Sigstore/cosign으로 서명을 검증하며, 서명이 확인되지 않은 서버는 게이트웨이에서 차단한다. Server Cards에 선언된 기능과 실제 동작이 일치하는지도 자동화된 통합 테스트로 주기적으로 확인한다.

금융·의료·공공처럼 규제 준수가 필요한 환경에서는 모든 MCP 도구 호출을 불변 로그로 남겨야 한다.

필드	설명	연관 규정
`agent_id`	호출 에이전트 식별자 (OIDC sub)	SOC2, ISO27001
`tool_id`	호출된 MCP 도구 ID	GDPR Art.30
`input_hash`	입력 파라미터 SHA-256 해시	데이터 최소화 원칙
`output_classification`	응답 데이터 민감도 분류	DLP 정책
`policy_decision`	적용된 OPA 정책 ID	감사 추적
`latency_ms`	실행 소요 시간	SLA 모니터링
`idempotency_key`	요청 멱등성 키	중복 처리 방지

MCP 게이트웨이는 요청을 전달하는 프록시에 머물지 않고 보안 정책의 중앙 집행점이 된다. NIST SP 800-207의 제로트러스트 원칙을 적용하면 내부 네트워크에서 온 요청도 에이전트 신원, 도구 권한, 컨텍스트를 매번 검증해야 한다.

MCP 서버는 기능 도메인별 네트워크 세그먼트로 격리하고 게이트웨이가 허가한 경로만 연다. 동시에 에이전트별 행동 기준선(Baseline)을 학습해 비정상적인 도구 호출 빈도나 야간 대량 데이터 접근을 실시간으로 찾아내고, 이상 징후가 포착되면 세션을 자동 종료한다.

MCP와 A2A가 만나는 협업 구조

초기에 OpenAI와 Google은 자체 함수 호출 메커니즘을 MCP의 대안으로 내세웠지만, 엔터프라이즈 시장의 MCP 수요에 따라 전략을 바꿨다. 2026년 H1 기준 OpenAI는 GPT-5 API에 MCP 클라이언트 모드를 공식 지원하며, Responses API는 MCP 서버를 네이티브 도구로 인식한다. Google은 Gemini 에이전트 플랫폼에 MCP 호환 레이어를 제공하고 A2A 프로토콜을 MCP의 에이전트 간 협업 확장으로 공동 표준화하고 있다.

MCP와 A2A가 통합되면 오케스트레이터 에이전트가 전문 서브에이전트를 도구처럼 호출할 수 있다. 피어 에이전트끼리 MCP 서버를 매개로 컨텍스트를 공유하며 협력하는 구조도 가능하다. MCP 서버가 이벤트를 발행하고 구독 중인 에이전트가 반응하는 이벤트 기반 연쇄 역시 같은 통합 위에서 구성할 수 있다.

Server Cards로 기능과 신뢰를 선언한다

2026년 H2 로드맵에서 Server Cards는 서버 검색용 설명서가 아니라 운영 통제에 필요한 인프라 스펙이다. 각 MCP 서버는 mcp-server.json에 제공 기능과 보안 정책, 신뢰도 지표, 호환 버전, 지원 트랜스포트를 선언한다.

⤢✕

2026년 H2 기준 공개 서버 10,000개 가운데 약 32%가 Stateless HTTP 모드를 지원한다. AAF는 2027년까지 새로 등록되는 서버에 Stateless 지원을 필수 요건으로 지정할 계획이다.

서버 신뢰도는 다운로드와 사용량 25%, CVE 발생 빈도와 패치 속도를 포함한 보안 감사 이력 30%, 코드 서명 여부 20%, GitHub 스타와 이슈 해결률을 반영한 커뮤니티 평가 15%, AAF 공식 검증 여부 10%를 가중 합산해 평가한다.

무상태 HTTP와 WAB가 MCP의 배포 범위를 넓힌다면, Server Cards와 게이트웨이 정책은 그 확장을 통제 가능한 형태로 만든다. 공개 서버 10,000개와 엔터프라이즈 78% 채택이 형성한 규모에서 안전한 운영을 이어가려면 분산 컨텍스트 캐싱, 제로트러스트 접근 제어, 서버 신뢰도 검증을 하나의 거버넌스 경로로 묶어야 한다.