AI 에이전트 승인 게이트 설계: 자율 실행과 통제 경계 관리

웹사이트를 요약해 달라는 요청이 코드 실행으로 이어질 수 있다. 보안 연구자는 2026년 8월 Claude Code Opus 5의 Auto Mode를 대상으로 한 공격 체인을 공개했고, 실험 성공률은 60~80퍼센트로 측정됐다. Anthropic이 의뢰한 제3자 평가에서 Auto Mode의 프롬프트 주입 성공률이 0.00퍼센트로 보고된 것과도 대조된다.

이 차이는 자동 승인을 편의 옵션으로만 다룰 수 없는 이유다. 핵심은 특정 취약점 하나가 아니라, 도구 대체 유도와 신뢰 경계 우회, 언어 런타임의 임포트 순서를 연결한 공격 체인에 있다.

요약 요청에서 실행까지 이어진 경로

공격자 통제 웹사이트는 노트북 기록 아카이브처럼 보인다. Claude의 웹 페치 도구 호출에는 HTTP 415 오류를 반환해 셸 명령의 curl 사용으로 흐름을 돌린다.

그다음 요청은 카탈로그 파일, 인코딩된 레코드, 디코더 바이너리, 악성 struct.py를 포함한 ZIP 아카이브로 이어진다. 디코더가 base64를 임포트할 때 파이썬이 공격자가 준비한 struct.py를 불러오면서 임포트 과정에서 코드가 실행된다. 디코더 자체는 정상 동작을 유지하므로 이상 징후도 드러나지 않는다.

매번 사용자 승인을 요구하면 에이전트의 효용이 사라진다. 반대로 전부 자동 실행으로 두면 외부 텍스트 한 줄이 실행 권한을 얻을 수 있다. 승인 체계는 이 양극단 사이에서 행위별 위험을 구분해야 한다.

행위의 효과를 기준으로 승인 경계를 둔다

우선 에이전트 행위를 조회, 로컬 변경, 되돌릴 수 없는 행위, 외부 발신으로 구분하고 도구와 명령마다 등급을 부여한다. 이때 셸 명령은 이름이 아니라 실제 효과를 봐야 한다. curl은 조회처럼 보이지만 파일을 내려받는 순간 다른 등급의 행위가 된다.

조회는 자동 처리하고, 로컬 변경은 범위를 제한해 자동 승인할 수 있다. 비가역 행위와 외부 발신은 확인을 필수로 둔다. 자동 승인 범위도 전역이 아니라 프로젝트 단위로 좁혀야 한다. 전역 자동 승인은 이번 공격 체인처럼 방어선이 없는 상태를 뜻한다.

외부 웹페이지, 내려받은 파일, 외부 저장소 내용이 컨텍스트에 들어오면 세션의 등급 기준을 한 단계 높인다. 이 시점에는 기존 일괄 승인을 해제한다. 요약 요청이 코드 실행으로 전환되는 경로는 외부 콘텐츠가 유입되는 순간을 통제해야 끊을 수 있다.

삭제, 강제 푸시, 배포, 외부 전송, 자격증명 접근은 어떤 모드에서도 사용자 확인을 요구해야 한다. 이 목록을 하위 설정으로 완화할 수 있다면 차단 목록은 권고에 그친다.

승인 요청에는 명령 원문만 제시하지 않는다. 무엇을 어디에 왜 수행하는지, 되돌릴 수 있는지, 요청의 근거가 외부 콘텐츠인지 한 화면에서 확인할 수 있어야 한다.

반복적인 승인은 범위와 기간을 정한 일괄 승인으로 묶을 수 있다. 다만 세션과 디렉터리 범위로 한정하고, 외부 콘텐츠가 들어오면 자동으로 해제한다. 승인 피로가 쌓이면 사용자는 내용을 읽지 않고 승인하게 된다.

도구 실패 후 다른 경로로 같은 목적을 달성하려는 시도도 탐지해야 한다. 공격 체인의 첫 단계가 이 패턴에 해당한다. 임포트 경로 조작이나 실행 경로 우선순위 변경처럼 언어 런타임 수준에서 발생하는 우회 역시 탐지 범위에 포함한다.

각 호출에는 승인 여부, 적용된 등급, 등급 상향 여부, 근거 출처를 남긴다. 기록이 없으면 사고가 난 뒤 어느 단계에서 방어선이 무너졌는지 특정하기 어렵다.

⤢✕

정책은 실행 가능한 행위 목록에서 시작한다

에이전트가 호출할 수 있는 도구와 명령을 먼저 전수로 나열한다. 셸이 열려 있다면 사실상 모든 명령이 대상이다. 이 목록 없이 등급 정책부터 만들면 분류되지 않은 행위가 기본 허용으로 흘러갈 수 있다.

보안팀과 개발팀은 같은 판정 기준을 공유해야 한다. 등급 판단 예시를 함께 배포하고, 모호한 행위는 상위 등급으로 배치한다. 등급을 낮추려는 결정에는 근거를 요구한다.

전역 자동 승인을 기본 모드로 두지 않는다. 이번 공격 체인도 전역 자동 승인 환경을 전제로 성립한다. 프로젝트마다 기본 모드를 선언하게 하고, 선언이 없는 프로젝트에는 보수적 기본값을 적용한다.

조직 공통으로는 어떤 설정에서도 자동 실행되지 않는 고위험 행위 목록을 배포한다. 목록 완화 요청은 예외 승인 절차로만 처리하며 기간을 한정한다.

우회 시도나 이상 실행을 발견했을 때 세션을 즉시 종료하고 자격증명을 회수하는 절차도 미리 마련해야 한다. 특히 정지 권한의 보유자를 명시해야 한다. 권한이 불분명하면 정지 결정은 지연된다.

새 공격 기법이 공개되면 정책 재검토를 즉시 시작한다. 기존 평가와 실전 결과가 어긋날 수 있으므로 공급자 평가 수치를 그대로 채택하지 않고, 조직 환경에서 재현 시험을 수행한다. 자동 승인 범위 확대와 차단 목록 완화는 승인 대상으로 등록하고, 외부 콘텐츠를 다루는 작업은 별도 프로필로 분리해 자격증명 범위를 축소한다.

자동 실행과 선별 승인의 운영상 차이

구분	등급 기반 선별 승인	전면 자동 실행
생산성	중간	높음
사고 위험	낮음	높음
승인 피로	있음	없음
구현 부담	큼	없음
사고 규명	용이	곤란
신뢰 경계	명시	없음

등급 기반 선별 승인은 비가역 행위에만 사람의 판단을 요구해 에이전트의 자율성을 대부분 남기면서 사고 규모를 제한한다. 어느 등급에서 무엇이 승인됐는지 남기므로, 사고 후 방어선이 뚫린 지점도 추적할 수 있다. 대신 등급 체계를 만들고 유지해야 하며, 승인 요청이 누적되면 게이트가 형식만 남을 위험이 있다.

전면 자동 실행은 개입 없이 작업을 끝까지 진행하므로 생산성이 높고 승인 피로도 없다. 구현 부담도 없다. 그러나 외부 텍스트 한 줄이 실행 권한을 가져가는 공격 체인에서는 방어선이 존재하지 않는다. 사고 뒤에도 무엇이 승인 없이 실행됐는지 구분할 방법이 없다. 실험 성공률 60~80퍼센트는 이 구성이 예외적 위험이 아니라 상시 위험임을 보여준다.

외부 입력을 감지했을 때 자동으로 등급을 낮추는 방식은 웹페이지나 내려받은 파일이 컨텍스트에 들어오는 순간 신뢰 수준을 낮춘다. 사용자가 위험 전환을 인지하지 못해도 시스템이 판단하며, 기존 일괄 승인도 해제돼 공격이 승인 권한을 재사용하기 어렵다. 반면 정상적인 외부 콘텐츠 작업에서는 승인 요청이 늘고, 외부 콘텐츠 판정 로직 자체가 우회 대상이 된다.

고정 등급은 동작이 예측 가능하고 운영 마찰이 일정하며 구현도 단순하다. 그러나 세션 도중 신뢰 수준이 변하는 사실을 반영하지 못해 이번 사례의 전환 지점을 통과시킨다. 외부 콘텐츠 처리 세션을 저권한 별도 프로필로 분리하면 마찰과 방어를 함께 다룰 수 있다.

사전 차단 목록은 비가역적 피해를 실행 전에 막고 정책을 문서로 명시하므로 감사 대응에도 유리하다. 구현 부담도 비교적 작다. 다만 열거되지 않은 신종 경로는 통과할 수 있으며, 정상 명령을 조합한 체인은 개별 항목만으로 차단 근거를 만들기 어렵다.

사후 감사 탐지는 조합 패턴과 이상 행위를 실행 뒤 발견할 수 있고, 신종 기법에도 대응할 수 있다. 정상 작업의 마찰도 없다. 그러나 발견 시점이 실행 이후이므로 비가역 행위에는 도움이 되지 않으며, 로그 수집과 분석 체계가 필요하다. 비가역 행위는 사전 차단으로 통제하고 조합형 공격은 사후 탐지로 다루며, 탐지 결과를 차단 목록으로 되먹이는 구조가 필요하다.

접근 통제와 위험 관리로 해석하는 승인 게이트

행위 위험 등급과 등급별 승인 범위는 역할 기반 접근 통제를 행위 단위로 확장한 구조다. 외부 콘텐츠 유입에 따라 등급을 올리는 방식은 신뢰 경계 변화에 맞춘 동적 권한 조정으로 볼 수 있다.

비가역 행위에 강제 확인을 배치하는 일은 발생 가능성이 아니라 영향도를 기준으로 통제를 두는 접근이다. 공급자 평가 수치를 조직 환경에서 재현 시험하는 절차는 잔여 위험을 검증하는 활동에 해당한다.

우회 탐지나 이상 실행 시 즉시 정지하는 절차와 정지 권한의 명시는 침해사고 대응 절차의 구성 요소다. 승인 여부, 등급, 상향 여부, 근거 출처를 남기는 실행 감사는 로그 관리 통제와 직접 연결된다.

에이전트 런타임에 요구되는 변화

외부 콘텐츠 유입을 신뢰 경계 전환 사건으로 처리하는 동적 등급 조정은 에이전트 런타임의 기본 기능으로 편입되는 방향이다. 공급자가 제시하는 프롬프트 주입 평가 수치에는 어떤 시나리오 범위를 다뤘는지 공개하라는 요구도 커질 수 있다.

되돌릴 수 없는 행위 목록은 조직 공통 표준으로 정리되고, 완화할 수 없는 항목은 규정화되는 방향이다. 외부 콘텐츠를 처리하는 전용 저권한 프로필 역시 에이전트 운영의 기본 구성으로 확산되는 흐름이다.

웹사이트 요약 요청이 도구 대체 유도와 임포트 순서 조작을 거쳐 코드 실행에 이른 사례에서는 개별 명령이 모두 정상으로 보였다. 그래서 단일 차단 규칙만으로는 방어하기 어렵다. 행위별 등급, 외부 콘텐츠 유입 시의 기준 상향, 비가역 행위의 강제 확인, 우회 탐지와 실행 감사가 함께 작동해야 한다. 제3자 평가의 0.00퍼센트와 실전 60~80퍼센트의 차이는 공급자 수치를 그대로 채택하지 않고 조직 환경에서 재현해야 하는 이유이기도 하다.