AI 에이전트 접근 제어를 위한 제로트러스트 2.0과 ZTNA 설계
AI 에이전트의 비인간 아이덴티티를 ZTNA로 통제하는 방법과 ABAC, 연속 검증, 마이크로 세그멘테이션 설계 원칙을 정리한다.
2026-08-14 · 최초 발행 2026-08-02
서비스 계정만으로는 에이전트의 행동을 설명할 수 없다
AI 에이전트는 기업 네트워크에서 API를 호출하고 파일에 접근하며 의사결정을 실행한다. 코딩 에이전트는 Git 저장소에 커밋을 올리고, 데이터 분석 에이전트는 DW에 쿼리를 보내며, 오케스트레이션 에이전트는 수십 개의 도구를 조합해 워크플로우를 완성한다.
문제는 기존 IAM(Identity and Access Management) 체계가 이들을 대체로 서비스 계정으로만 취급한다는 점이다. 정적 자격증명인 API 키나 비밀번호가 장기간 유효하면 탈취 시 영향 범위가 넓어진다. 또한 컨텍스트를 평가하지 않는 서비스 계정은 에이전트가 야간 2시에 인사 데이터베이스 전체를 읽더라도 허용된 작업으로 처리할 수 있다.
제로트러스트 2.0은 사용자뿐 아니라 에이전트, 기기, 프로세스를 포괄하는 범용 아이덴티티 거버넌스를 전제로 한다. Microsoft Security Blog는 2026년 3월 AI 에이전트용 제로트러스트 도구와 원칙을 담은 "Zero Trust for AI" 가이드라인을 공개했다. Cloud Security Alliance(CSA)도 같은 해 2월 Agentic Trust Framework를 발표하며 에이전트 아이덴티티 관리 표준화에 나섰다.
에이전트 아이덴티티는 런타임 맥락을 담아야 한다
전통적인 서비스 계정은 정적이고 목적이 단일한 경우가 많다. 반면 AI 에이전트는 런타임 컨텍스트에 따라 여러 도구를 호출하고, 행동 패턴도 동적으로 달라진다.
에이전트는 배포 시 고유 아이덴티티를 발급받아야 한다. X.509 인증서 또는 SPIFFE/SPIRE 기반 SVID에 에이전트의 목적, 허용 도구 범위, 데이터 접근 레벨을 메타데이터로 담는다. 프로비저닝, 운영, 갱신, 폐기로 이어지는 수명 주기는 IAM 플랫폼이 자동화한다.
장기 API 키 대신 OAuth2/OIDC 기반 단기 토큰을 사용한다. TTL 15분~1시간의 토큰을 작업 단위로 발급하고, 작업이 끝나면 즉시 폐기해 자격증명 탈취의 영향 반경을 줄인다.
권한 판단에는 RBAC보다 세분화된 ABAC가 적합하다. 에이전트의 목적, 현재 작업 컨텍스트, 대상 리소스의 민감도, 요청 시간처럼 복수의 속성을 함께 평가한다. 예를 들어 코딩 에이전트가 할당된 프로젝트 저장소 밖의 파일에 접근하려 하면 자동 차단할 수 있다.
요청 권한이 아니라 행동의 적합성을 평가한다
기존 ZTNA가 “이 사용자는 이 리소스에 접근 가능한가”를 묻는다면, 제로트러스트 2.0은 “이 에이전트가 지금 이 시점에 이 행동을 해도 되는가”를 평가한다.
AI-NGFW(AI 기반 차세대 방화벽)는 에이전트별 정상 행동 패턴을 기준선으로 학습한다. 코딩 에이전트라면 일반적으로 접근하는 파일 경로, 호출 API 엔드포인트, 데이터 전송량, 작업 시간대가 기준선 데이터가 된다. 이 범위를 벗어나면 위험 점수가 상승하고, 임계치를 넘으면 자동 격리가 트리거된다.
이 평가는 최초 인증으로 끝나지 않는다. 런타임 중 예상하지 못한 외부 IP와 통신을 시도하거나 민감 데이터를 짧은 시간에 대량으로 읽으면 세션 격리 대상이 된다. 인간 분석가가 경보를 확인하기 전에 AI-NGFW가 세션을 차단하는 구조다.
정책은 Policy-as-Code로 관리할 수 있다. Open Policy Agent(OPA) 또는 Cedar 정책 언어로 에이전트별 허용·거부 규칙을 선언적으로 정의하면 버전 관리, 감사 추적, 자동화된 배포를 CI/CD 파이프라인에 연결할 수 있다.
세션이 유지되는 동안에도 신뢰를 다시 확인한다
전통적인 ZTNA 1.0은 초기 인증에 성공하면 세션 지속 기간 동안 접근을 유지했다. 세션 하이재킹이나 에이전트 탈취가 발생했을 때 치명적인 약점이 될 수 있는 구조다.
제로트러스트 2.0의 연속 검증은 아이덴티티, 행동, 즉시 중단 기능을 함께 사용한다.
에이전트 인증 토큰은 15~30분의 짧은 주기로 갱신한다. 갱신할 때마다 위치, 디바이스 상태, 작업 범위를 다시 평가하고, 컨텍스트 변화가 감지되면 갱신을 거부해 세션을 종료한다.
세션 중 발생하는 API 호출, 파일 접근, 네트워크 연결은 실시간으로 기록한다. AI-NGFW의 머신러닝 모델은 이를 정상 행동 패턴과 비교해 이상값을 탐지하고 위험 점수를 동적으로 갱신한다.
에이전트별 킬스위치도 미리 구성해야 한다. 보안 이벤트 발생 시 수동 또는 자동으로 모든 접근 권한을 철회하고 진행 중인 세션을 강제 종료하는 기능이다. CSA Agentic Trust Framework는 이를 필수 컴포넌트로 명시한다.
네트워크 경로까지 에이전트 역할에 맞춰 제한한다
에이전트가 네트워크 안에서 자유롭게 이동하지 못하게 하려면 마이크로 세그멘테이션이 필요하다. 에이전트에는 역할 수행에 필요한 최소한의 네트워크 경로만 허용한다. 이는 ZTNA의 최소 접근 경로(Least Privilege Path) 원칙과 연결된다.
Kubernetes에서는 NetworkPolicy로 에이전트 파드(Pod)의 통신 대상을 명시적으로 제한할 수 있다. 코딩 에이전트는 Git 서버와 빌드 서버에만, 데이터 분석 에이전트는 지정된 DW 엔드포인트에만 아웃바운드 연결을 허용하는 식이다.
Istio 또는 Linkerd 기반 서비스 메시를 사용하면 에이전트 간 통신에 mTLS(상호 TLS)를 강제하고 서비스 메시 레벨에서 트래픽 정책을 적용할 수 있다. 에이전트 간 직접 통신을 금지하고 모든 통신이 사이드카 프록시를 지나도록 설계한다.
이상 행동이 감지된 에이전트는 격리 영역(Quarantine Zone)으로 이동한다. 격리 영역에서는 외부 네트워크 접근이 완전 차단되고, 보안 팀은 포렌식 분석용 로그만 수집한다. 격리 해제는 수동 검토 후에만 가능하다.
기존 ZTNA에 에이전트 제어를 추가하는 순서
기존 ZTNA를 운영하는 조직은 인프라와 정책을 함께 확장해야 한다.
먼저 1~2개월 동안 자동화 스크립트, 봇, AI 에이전트를 식별해 목록화한다. 각 에이전트의 접근 리소스, 보유 자격증명, 행동 패턴을 문서화하고 위험도에 따라 분류한다.
이어 2~3개월 동안 SPIFFE/SPIRE 기반 아이덴티티 인프라를 구성한다. 기존 PKI와 통합해 에이전트용 X.509 인증서의 자동 발급·갱신 파이프라인을 만들고, OAuth2/OIDC 서버를 에이전트 토큰 발급용으로 확장한다.
3~4개월 구간에서는 에이전트 유형별 접근 정책을 ABAC 규칙으로 옮긴다. OPA/Cedar 기반 Policy-as-Code 프레임워크를 도입하고, 기존 RBAC 정책과 병행 운영하면서 점진적으로 ABAC로 전환한다.
4~6개월 동안에는 에이전트 행동 로그를 SIEM에 통합하고 AI-NGFW와 연동해 기준선 학습을 시작한다. 초기에는 알림만 발송한 뒤 기준선 학습이 끝나면 자동 격리를 활성화한다.
마지막으로 5~6개월 구간에 에이전트별 킬스위치를 구현하고 보안 오케스트레이션(SOAR) 플랫폼과 연결한다. 고위험 이벤트의 자동 격리, 알림 발송, 티켓 생성을 플레이북으로 자동화한다.
ZTNA 제품별 에이전트 접근 제어 특성
| 항목 | Zscaler ZPA | Palo Alto Prisma SASE | Cloudflare Access |
|---|---|---|---|
| 주요 대상 | 대형 엔터프라이즈 VPN 대체 | 하이브리드 환경, 온프레미스 병행 | SMB~중기업, 웹앱 중심 |
| AI 에이전트 지원 | 아이덴티티 기반 정책 + 연속 재평가 | AI Access Security (AI 앱 가시성 포함) | 서비스 토큰 기반 |
| 에이전트리스 여부 | 에이전트 필요 (Zscaler Client Connector) | 에이전트 필요 (Prisma Agent) | 웹앱: 에이전트리스, SSH/RDP/DB: 에이전트 필요 |
| 비HTTP 지원 | 지원 (SSH, RDP, DB) | 지원 | 에이전트 필요 |
| 무료 티어 | 없음 | 없음 | 50 사용자까지 무료 |
| Gartner 평점 | 4.6 (1142 리뷰) | 4.5 (614 리뷰) | 4.5 (420+ 리뷰) |
| AI-NGFW 통합 | Zscaler AI 위협 인텔리전스 | Prisma AI-NGFW 네이티브 통합 | 제한적 (외부 SIEM 의존) |
| Policy-as-Code | Terraform 지원 | Terraform + API 지원 | Cloudflare Workers + API |
| 마이크로 세그멘테이션 | 강력한 앱 세그멘테이션 | 네트워크+앱 복합 세그멘테이션 | 앱 레벨 세그멘테이션 |
| SIEM 통합 | Splunk, Sentinel 등 다수 | Cortex XSOAR 네이티브 | Logpush (다수 SIEM 지원) |
| 에이전트 감사 로그 | 상세 세션 로그 | 상세 + AI 위협 분석 | 기본 액세스 로그 |
대형 엔터프라이즈에서 AI 에이전트 접근 제어를 체계적으로 구축하려면 Zscaler ZPA 또는 Palo Alto Prisma SASE가 적합하다. Palo Alto는 AI Access Security 기능으로 직원의 AI 애플리케이션 사용 패턴까지 통제하려는 조직에 강점을 보인다. Cloudflare Access는 빠른 도입과 비용 효율을 우선하거나 ZTNA를 처음 도입하는 조직의 시작점이 될 수 있다.
에이전트 거버넌스에서 핵심은 한 번의 인증으로 세션 전체를 신뢰하지 않는 데 있다. 에이전트가 호출하는 도구와 접근 데이터, 그리고 그 행동이 기준선에서 얼마나 벗어나는지를 런타임 내내 평가해야 한다. 통제를 시작하려면 먼저 에이전트 인벤토리를 확보해야 한다. 보이지 않는 에이전트는 제어할 수 없다.
Sources
- Microsoft Security Blog (2026-03-19): Zero Trust for AI — Tools and Guidance
- Cloud Security Alliance (2026-02-02): Agentic AI: A New CSA Framework for Zero Trust Governance
- Zscaler ZPA: Zero Trust Network Access for Hybrid Work
- Palo Alto Networks Prisma SASE: AI-Powered SASE
- Cloudflare Zero Trust: Cloudflare Access
- Gartner Peer Insights: Zero Trust Network Access Reviews
- SPIFFE/SPIRE Project: Secure Production Identity Framework for Everyone
- Open Policy Agent: Policy-as-Code for Cloud Native Environments