Microsoft Agent 365가 바꾸는 AI 에이전트 운영과 거버넌스

2026년 5월 1일 Microsoft가 Agent 365를 정식 출시(GA)하면서 AI 에이전트는 Microsoft 365의 공식 운영 레이어로 편입됐다. 지식 근로자의 78%가 AI 에이전트를 매주 1회 이상 사용한다는 조사 결과는 2년 전인 2024년의 12%와 뚜렷한 차이를 보인다.

Agent 365의 역할은 Copilot 기능을 확장하는 데 그치지 않는다. Entra·Purview·Defender를 하나의 엔터프라이즈 거버넌스 체계로 연결해 에이전트의 ID와 권한, 데이터 접근을 통제하는 제어 평면에 가깝다.

흩어진 에이전트를 하나의 제어 평면에 올린다

기존 M365 환경에서는 Copilot Studio로 만든 사용자 정의 에이전트, Power Automate 자동화 봇, Researcher와 Analyst 같은 Microsoft 1st-party 에이전트가 서로 다른 실행 컨텍스트에서 움직였다. Agent 365는 이들을 단일 레지스트리에 등록한다. IT 관리자는 여기서 생성·배포·일시 중지·폐기에 이르는 수명 주기를 중앙 통제한다.

제어 평면은 세 계층을 중심으로 M365 서비스와 연결된다.

⤢✕

Microsoft Entra가 맡는 신원 계층에서는 각 에이전트에 사용자 계정과 같은 방식으로 Entra ID를 부여한다. 조건부 접근 정책(Conditional Access)과 리스크 기반 인증도 에이전트 호출에 동일하게 적용된다.

Purview가 담당하는 데이터 거버넌스 계층은 에이전트가 접근하는 데이터에 민감도 레이블을 매핑하고 정책 위반이 발생하면 접근을 차단하거나 경고한다. Defender가 맡는 위협 방어 계층은 런타임 동작을 감시해 프롬프트 인젝션과 과도한 데이터 조회 같은 이상 패턴을 실시간으로 탐지한다.

사용자 권한과 백그라운드 권한을 구분한다

Agent 365의 권한 설계는 최소 권한 원칙(Principle of Least Privilege)을 개별 에이전트까지 확장한다. 각 에이전트는 명시적으로 허가받은 M365 Graph API 스코프에만 접근할 수 있다. 권한 방식도 사용자의 위임(Delegated) 권한과 애플리케이션(Application) 권한 가운데 하나를 명시해야 한다.

위임 권한을 사용하는 에이전트는 특정 사용자의 컨텍스트 안에서 작동한다. 사용자가 볼 수 없는 데이터라면 에이전트도 접근하지 못한다.

애플리케이션 권한은 사용자 개입 없이 실행하는 백그라운드 자동화에 쓰인다. 이 방식은 IT 관리자가 테넌트 수준의 사전 승인(Admin Consent)을 명시적으로 부여해야 활성화된다.

멀티클라우드 에이전트까지 인벤토리에 포함한다

Agent 365 GA와 함께 AWS Bedrock 및 Google Cloud Gemini Enterprise Agent Platform의 레지스트리 동기화 기능도 퍼블릭 프리뷰로 공개됐다. 타 클라우드에서 실행되는 에이전트를 Agent 365 콘솔에서 자동 검색하고, 인벤토리와 수명 주기 거버넌스의 대상으로 관리할 수 있게 된 것이다.

이 연동은 Agent 365의 범위가 Microsoft 생태계 안의 에이전트 관리에 머물지 않음을 보여준다. 멀티클라우드 환경에 분산된 에이전트를 한곳에서 파악하고 통제하는 허브로 영역을 넓히려는 설계다.

Copilot Chat에서 업무 데이터까지 이어지는 호출 경로

Agent 365의 사용자 접점은 Copilot Chat이다. 사용자는 별도의 실행 화면을 배우지 않고 대화 인터페이스에서 에이전트를 호출하고 작업 결과를 확인한다.

Copilot Chat은 요청을 전달하는 창구이면서 오케스트레이터로 동작한다. 사용자의 의도를 분석한 뒤 Agent 365 레지스트리에서 적합한 에이전트를 찾고 호출 체인을 만든다. 선택된 에이전트는 Graph API로 필요한 M365 데이터에 접근하고 결과를 Copilot Chat 스레드로 돌려보낸다. 이 호출 과정에도 Entra 조건부 접근 정책과 Purview DLP 정책이 실시간으로 적용된다.

Teams·SharePoint·Exchange 안에서 실행되는 에이전트

Teams에서는 채널 메시지를 트리거로 에이전트를 자동 실행할 수 있다. 회의 중 필요한 정보를 실시간으로 제공하는 Meeting Agent로도 운용한다.

SharePoint와 연결된 에이전트는 문서 라이브러리의 신규 파일 업로드를 감지해 분류·요약·태깅을 수행하고 결과를 SharePoint 메타데이터 필드에 기록한다. SharePoint Embedded를 사용하는 ISV 애플리케이션에는 Agent 365 에이전트를 임베드하는 API도 제공된다. Microsoft 생태계 밖에서 개발된 비즈니스 애플리케이션에 에이전트 기능을 연결하는 경로다.

Exchange에서는 이메일 트리아지, 즉 분류와 우선순위 지정부터 일정 조율, 승인 워크플로우 자동화까지 에이전트가 처리할 수 있다. Power Automate와 연계하면 에이전트가 만든 결과를 ERP·CRM 시스템으로 전달하는 엔드투엔드 자동화로 이어진다.

주간 사용률이 높아진 배경

지식 근로자의 78%가 AI 에이전트를 매주 사용하게 된 데에는 세 가지 배경이 있다.

먼저 사용자가 이미 일하는 Teams, Outlook, SharePoint에서 에이전트를 자연스럽게 호출할 수 있어 별도 UI를 익힐 필요가 없다. 에이전트 슈퍼바이저(Agent Supervisor) 역할을 맡은 지식 근로자가 주당 평균 11.5시간을 절감하는 등 측정 가능한 생산성 효과도 확인됐다. 여기에 M365 E7(Frontier Suite) 번들이 Copilot과 Agent 365를 단일 라이선스로 묶으면서 도입 과정의 마찰을 낮췄다.

끊어진 감사 기록을 Odin으로 연결한다

Agent 365 보안 아키텍처에는 코드명 Odin으로 알려진 공유 텔레메트리 프레임워크가 있다. Odin은 에이전트 런타임과 API 게이트웨이, 신원 공급자에서 나온 이벤트를 공통 스키마로 정규화한다. 서로 다른 서비스의 사건을 연결해 분석하기 위한 기반이다.

Agent 365에서 발견된 위협이 Defender for Cloud의 자동 조사를 시작하고 Purview의 컴플라이언스 경고도 함께 발생시키는 연계가 단일 콘솔 안에서 처리된다.

여러 서비스를 오가는 에이전트는 실행 경로마다 감사 추적(Audit Trail)이 끊기기 쉽다. Odin은 모든 행동을 에이전트 ID, 위임된 사용자, 접근 리소스, 실행 시각이 포함된 표준 로그로 기록해 이 단절을 구조적으로 다룬다.

Purview가 데이터 접근을 통제하는 방식

Purview는 에이전트 데이터 접근에 세 가지 거버넌스 기능을 제공한다.

정보 보호(Information Protection)는 기밀(Confidential)이나 극비(Highly Confidential) 레이블이 지정된 문서에 에이전트가 접근하려 할 때 작동한다. Purview DLP 정책에 따라 요청을 차단하거나 관리자에게 알림을 보낸다.

데이터 과잉 공유 위험 관리에서는 에이전트가 업무 목적을 넘어 광범위한 데이터를 조회하는 패턴(Data Oversharing)을 탐지한다. Purview가 위험 점수를 산출하면 IT 관리자는 이를 바탕으로 사전에 개입할 수 있다.

규정 준수 감사는 에이전트의 모든 데이터 접근 이력을 Purview 감사 로그에 불변(Immutable) 형태로 남긴다. 이 기록은 GDPR·HIPAA 등의 규제 준수 보고에 활용된다.

Defender가 런타임에서 막아야 하는 위협

Defender for AI는 프롬프트 인젝션 공격과 에이전트 하이재킹, 비정상적인 데이터 유출 패턴을 에이전트 런타임에서 실시간 탐지한다.

2026년 6월 퍼블릭 프리뷰 예정 기능에는 Intune을 이용한 로컬 에이전트, 즉 온디바이스 에이전트의 정책 기반 제어와 런타임 차단이 포함된다. 클라우드 에이전트에 적용하던 거버넌스를 Windows 디바이스에서 직접 실행되는 에이전트까지 확장하려는 방향이다.

운영 정책에 남겨야 할 통제선

Microsoft가 제시한 Agent 365 거버넌스 원칙은 네 가지다.

**최소 권한(Least Privilege)**은 에이전트가 작업 수행에 필요한 최소 API 스코프만 요청하도록 요구한다. 관리자는 과도한 권한을 요구하는 에이전트를 배포 전에 검토해야 한다.

**명시적 승인(Explicit Consent)**은 애플리케이션 권한으로 조직 데이터에 접근하는 에이전트를 대상으로 한다. 사용자 개입 없이 동작하려면 테넌트 관리자의 사전 동의가 필요하며, 사용자가 개별적으로 동의하는 방식은 허용되지 않는다.

**감사 가능성(Auditability)**은 모든 행동의 추적과 재현을 요구한다. 어느 시점에 어떤 에이전트가 어떤 데이터에 접근했는지 확인할 수 있어야 한다.

**인간 감독(Human Oversight)**은 이메일 대량 발송이나 외부 시스템 연동 같은 고위험 작업에 사람의 승인 단계를 두는 원칙이다. 이런 작업을 에이전트가 자율 실행하지 않도록 워크플로우를 설계한다.

이 통제선은 예측하기 어려운 에이전트 행동이 데이터 유출이나 규정 위반으로 이어지는 것을 막는 최소한의 안전망이다. 한편 에이전트 슈퍼바이저로 역할이 바뀐 지식 근로자가 인지 부하 증가를 경험한다는 연구 결과도 있다. 기술적 거버넌스만으로는 부족하며 이를 운용할 사람의 역량과 역할도 함께 설계해야 한다는 의미다.

Agent 365의 GA는 AI 에이전트가 실험적 파일럿을 넘어 엔터프라이즈 IT 인프라의 공식 관리 대상이 됐다는 신호다. 지식 근로자의 78%가 매주 사용하는 환경이라면 에이전트의 확산 자체보다 권한과 데이터 접근, 감사 기록, 사람의 승인 경계를 어떻게 운영할지가 더 직접적인 과제가 된다.