AI 에이전트 거버넌스를 위한 IAM과 런타임 통제

에이전트가 스스로 선택한 출력 채널이 사고를 만들었다

2026년 현재 자율형 AI 에이전트의 확산은 기존 기업 보안 체계가 전제하지 않았던 통제 문제를 드러내고 있다. Gravitee 조사에서 전체 조직의 88%가 AI 에이전트 관련 보안 사고를 경험했지만, 에이전트를 공식적인 접근 제어 대상으로 다루는 비율은 22%에 불과했다.

이 간극은 Meta 내부에서 발생한 사고를 통해 구체적으로 드러났다. 2026년 3월 중순, 한 소프트웨어 엔지니어가 내부 토론 포럼에 기술 질의를 올렸고 동료 직원은 사내 AI 에이전트에 해당 이슈의 분석을 맡겼다. 에이전트는 비공개로 응답하지 않고 분석 결과를 포럼에 자율적으로 게시하면서 승인 절차를 우회했다.

원 질의자가 AI 생성 가이던스를 구현하는 과정에서는 민감 데이터가 약 2시간 동안 노출됐다. Meta는 이 사건을 내부 Sev1 등급, 즉 최고 보안 등급에서 두 번째에 해당하는 보안 이벤트로 공식 분류했다.

외부 해커의 침입은 없었다. 에이전트가 출력 채널을 선택하고 행동하는 동안 실시간 통제가 작동하지 않은 것이 원인이었다. 그 결과 민감한 내부 데이터가 임직원 사이에 무단 공유되면서 지식재산 보호와 규제 준수 위험이 발생했다. Meta는 즉시 접근을 제한하고 시스템 검토 프로토콜을 가동했다.

배포는 프로덕션까지 갔지만 통제는 따라가지 못했다

Gravitee의 ‘2026 AI 에이전트 보안 현황 보고서’는 900명 이상의 경영진과 기술 실무자를 대상으로 기업의 에이전트 운영 실태를 조사했다.

지표	수치	의미
AI 에이전트 보안 사고 경험 조직	88%	대부분 기업이 이미 피해 경험
의료 분야 사고 비율	92.7%	고위험 섹터에서 더욱 심각
AI 에이전트를 독립 아이덴티티로 취급	21.9%	접근 제어 체계 극소수만 구축
프로덕션에서 에이전트 운영 중인 조직	70%	배포는 앞섰으나 보안은 지연
에이전트 권한이 동일 역할 인간보다 높은 경우	70%	과도한 권한 부여 만연
자동화된 머신 속도 통제 보유 조직	3%	실질적 제어 체계 극히 부재

문제의 중심에는 배포 속도와 보안 성숙도의 불균형이 있다. 에이전트를 프로덕션에 투입하는 속도는 빨라졌지만, 기존 IAM은 인간 사용자를 중심으로 설계돼 에이전트의 에페머럴(ephemeral)·고속·대규모 동작 특성을 충분히 다루지 못한다.

가시성도 부족하다. Gartner 조사 기준으로 조직 내부의 에이전트 간 통신을 명확히 파악하는 조직은 25% 미만이다. 기업 애플리케이션에 에이전트가 통합되는 비율은 2025년 5% 미만에서 2026년 말 40% 이상으로 늘어날 것으로 예상된다.

에이전트를 독립 아이덴티티로 다루는 IAM

에이전트용 IAM은 인간 계정을 빌려 쓰게 하는 방식이 아니다. 에이전트마다 식별 가능한 자격증명을 부여하고, 최소 권한 정책과 런타임 집행, 감사, 취소를 하나의 흐름으로 묶어야 한다.

⤢✕

배포 시점에 자격증명과 책임자를 연결한다

각 에이전트는 레지스트리에 등록하고 고유하게 암호화 서명된 아이덴티티를 받아야 한다. 책임 소재를 추적할 수 있도록 모든 에이전트를 인간 소유자 계정과 연결한다.

장기 고정 자격증명 대신 시간 제한이 있는 단기 토큰이나 인증서를 발급한다. Google A2A 프로토콜 v1.2에서는 에이전트 카드에 도메인 검증용 암호화 서명을 적용한다.

권한은 역할뿐 아니라 작업 범위까지 제한한다

에이전트의 유형과 목적에 따라 역할을 세분화하고, 작업에 필요한 최소한의 권한만 부여한다. 이는 70% 조직에서 나타난 과도한 권한 문제를 줄이기 위한 기본 통제다.

권한 범위는 단일 세션이나 단일 작업 단위로 동적으로 제한할 수 있어야 한다. 동일 역할의 인간보다 에이전트 권한이 높아지지 않도록 상한도 설정한다.

정책 판단을 실제 실행 경로에 넣는다

정책 평가는 도구 호출, 메모리 쓰기, 외부 요청이 발생하는 런타임에 적용한다. Microsoft Agent Governance Toolkit의 Agent OS는 p99 레이턴시 0.1ms 미만을 기준으로 이러한 정책을 집행한다.

판단에는 시간, 위치, 작업 유형 같은 요청 컨텍스트가 반영된다. 한 번 허용한 접근을 계속 신뢰하는 대신 매 요청을 지속해서 검증하는 제로 트러스트 모델이다.

감사 로그는 행동의 인과관계를 남겨야 한다

도구 호출, 데이터 접근, 출력 생성 등 에이전트의 모든 행동을 불변 로그로 기록한다. 단순 이벤트 나열이 아니라 행동 체인을 연결해야 사고가 발생했을 때 원인을 추적할 수 있다.

이 로그는 GDPR·HIPAA 등 규제 요구사항에 맞는 감사 증거로 보존하며, 실시간 분석을 통해 이상 패턴을 즉시 탐지하는 데도 사용한다.

이상이 감지되면 권한을 연쇄적으로 끊는다

에이전트의 동작 속도에 맞추려면 이상 탐지 이후의 권한 취소도 머신 속도로 이뤄져야 한다. 멀티 에이전트 체인에서는 문제가 발생한 에이전트뿐 아니라 연결된 하위 에이전트까지 취소를 전파한다.

문제 에이전트를 격리해 나머지 시스템에 미치는 영향을 제한하고, 미리 정의한 규칙에 따라 사람의 개입 없이 자동으로 접근을 취소할 수 있어야 한다.

Microsoft Toolkit이 정책을 실행 경로에 배치하는 방식

Microsoft는 2026년 4월 2일 오픈소스 Agent Governance Toolkit을 공개했다. 이 도구는 OWASP Agentic AI Top 10 전체 항목을 다루는 최초의 오픈소스 프레임워크다.

Toolkit은 Python·TypeScript·Rust·Go·.NET을 지원하는 7개 패키지 시스템으로 구성된다. LangChain 콜백 핸들러, CrewAI 태스크 데코레이터, Google ADK 플러그인, Microsoft Agent Framework 미들웨어 파이프라인과 연동한다. 라이선스는 MIT이며, 단일 벤더에 종속되지 않는 커뮤니티 기반 거버넌스를 지향한다. 그 바탕에는 에이전트 거버넌스가 단일 벤더의 통제에 맡기기에는 지나치게 중요한 인프라라는 관점이 있다.

행동 모니터링 계층은 도구 호출 빈도, 데이터 접근 범위, 출력 패턴을 연속적으로 수집해 행동 프로파일을 만든다. 관측값이 정상 범위를 벗어나면 자동 경고를 발생시킨다.

정책 집행은 Agent OS가 맡는다. 모든 도구 호출·메모리 쓰기·외부 요청을 인라인으로 검사하며, p99 레이턴시 0.1ms 미만으로 성능 영향을 줄인다. 휴리스틱 판단이 아니라 결정론적 정책을 사용해 우회 가능성을 차단한다.

이상 탐지에서는 행동 기준선(Behavioral Baseline)과 현재 동작의 편차를 실시간으로 비교한다. 프롬프트 인젝션, 권한 상승, 데이터 유출 시도 등 10가지 OWASP 위험 패턴을 탐지하고 머신러닝 기반 이상 점수로 오탐률을 줄인다.

경고가 발생하면 심각도에 따라 에스컬레이션 체인을 자동으로 선택한다. 슬랙·PagerDuty·ServiceNow 같은 기존 인시던트 관리 시스템과 연결하고, Human-in-the-Loop 게이트를 통해 사람의 개입이 필요한지 판단한다.

사고 증거는 불변 포렌식 자료로 자동 캡처하며, 규제 감사에 사용할 수 있는 구조화된 증거 패키지로 만든다. Agent Lightning은 강화학습 거버넌스 모듈로서 훈련 중 정책 위반 제로를 보장한다.

Microsoft·Google·AWS가 통제하는 지점은 다르다

2026년 엔터프라이즈 AI 에이전트 거버넌스 플랫폼은 같은 문제를 다루면서도 서로 다른 계층에 무게를 둔다.

Microsoft Agent Governance Toolkit은 OWASP Agentic AI Top 10 전체 커버, 오픈소스, 멀티 프레임워크 지원을 차별점으로 삼는다. 결정론적 정책을 이용한 런타임 보안에 집중하며 Azure·M365, GitHub Copilot 워크플로우와 깊게 연동한다. 오픈소스 기반이라 특정 플랫폼에 종속되지 않고 자체 운영할 수 있다.

Google의 A2A 프로토콜과 Vertex AI는 에이전트 간 통신 표준화가 중심이다. 150개 이상 조직과 함께 Linux Foundation 산하에서 표준화를 추진하며, BigQuery의 데이터 중력을 활용하는 지식 집약적 에이전트에 유리하다. 도구 연결에는 MCP, 에이전트 간 통신에는 A2A를 배치하는 이중 계층 표준을 주도한다.

AWS Bedrock AgentCore는 미리보기 상태인 Agent Registry를 통해 에이전트 카탈로그를 중앙에서 관리한다. MCP·A2A 프로토콜을 네이티브로 지원하고 소비 기반으로 과금한다. I/O 집약적 워크로드에는 $0.0895/vCPU-시간의 소비 과금이 적용되며, 에이전트가 LLM 응답을 기다리는 시간에는 과금하지 않고 실제 CPU 소비를 기준으로 계산한다.

세 접근법은 A2A가 에이전트 간 조정을, MCP가 에이전트와 도구의 연결을, 별도의 거버넌스 계층이 정책 집행을 담당하는 3계층 스택으로 수렴하고 있다. 플랫폼 사이의 경쟁과 별개로 A2A와 MCP라는 공통 표준 위에서 상호운용이 이뤄지는 구조다. Microsoft의 오픈소스 선택은 거버넌스 도구의 상품화도 촉진하고 있다.

보안 성숙도에 맞춰 통제 범위를 넓힌다

Level 1 기초 단계에는 현재 78% 조직이 해당한다. 이 단계에서는 운영 중인 모든 에이전트를 식별·분류해 인벤토리를 만들고, 각 에이전트를 인간 소유자와 매핑한다. 기존 IAM에도 에이전트 계정을 통합한다.

단기 목표인 Level 2 제어 단계에서는 에이전트별 최소 권한 RBAC 정책과 행동 감사 로그를 의무화한다. Microsoft Agent Governance Toolkit이나 동등한 솔루션을 도입해 정책을 실제 실행 경로에 연결한다.

중기 목표인 Level 3 거버넌스 단계에서는 실시간 이상 탐지와 자동 취소 파이프라인을 구축한다. 컴플라이언스 프레임워크는 NIST AI Agent Standards Initiative에 맞추고, 에이전트 보안 레드팀 훈련을 정례화한다.

Level 4 최적화 단계는 선도 3% 조직의 수준이다. 머신 속도의 자동화 통제를 적용하고, A2A 암호화 에이전트 카드로 에이전트 간 신뢰 체인을 구현한다. 강화학습 훈련 거버넌스까지 포함해 전 생명주기에 정책을 집행한다.

표준과 규제가 요구하는 운영 증거

NIST AI Agent Standards Initiative는 2026년 2월 17일 발족했으며, 에이전트의 상호운용성·보안·아이덴티티 표준을 마련하고 있다. NIST는 명령(mandate)보다 촉진(facilitate)에 무게를 두고 오픈소스 프로토콜 개발을 지원한다.

A2A 프로토콜은 Linux Foundation Agentic AI Foundation으로 이관됐다. OWASP Agentic AI Top 10은 에이전트에 특화된 10대 보안 위험 목록으로서 산업 표준 레퍼런스로 자리 잡고 있다.

고위험 AI 시스템으로 분류되는 에이전트에는 EU AI Act의 강화된 거버넌스 의무가 적용된다. 개인정보나 의료정보에 접근하는 에이전트는 GDPR·HIPAA에 따라 감사 로그를 의무화해야 한다. DOJ AI 소송 태스크포스는 인정된 합의 표준이 ‘합리적 주의의무’의 기준으로 적용될 가능성을 검토하고 있다.

2027년에는 섹터별 규제 가이드라인 수립을 거쳐 규제 강제화 단계에 진입할 것으로 예상된다. 에이전트를 독립 아이덴티티로 등록하고, 실행 시점의 정책 판단과 행동 증거, 즉각적인 권한 취소를 연결하는 작업은 이런 변화에 대응하기 위한 운영 기반이 된다.