CISO를 위한 에이전트 AI 위험 관리 전략

보안 업계는 2019-2022년 사이 내부자 위험을 별도 분야로 정립했으며, 가장 위험한 공격 벡터는 이미 합법적 접근 권한을 가진 내부자를 통한 공격임.

기존 내부자 사고 대응에는 평균 67일이 소요되었으나, 에이전트 실행 속도에서는 수일 단위의 대응은 너무 느림.

따라서 에이전트의 행동을 실시간으로 감지하고 즉각 대응할 수 있는 체계 구축이 필수적임.

시스템 서비스 계정: 단일 목적, 최소 권한을 가지며 사람의 신원과 분리됨 (예: 티켓 분류 에이전트).

개인 계정: 사용자가 직접 통제하며, 자신의 자격 증명으로 수행하는 모든 작업에 대해 책임을 짐.

위임된 개인 계정: 에이전트가 사용자의 위임된 신원으로 시스템에 접근할 때 책임 소재가 불분명해져 사고 발생 시 원인 규명이 어려워짐.

제한된 도구 접근: 프로덕션 로그(PII 없음), Slack 채널 생성, Google Docs 초안 작성 권한만 부여.

안전한 입력 및 출력: 신뢰 경계 내의 내부 데이터만 사용하며, 쓰기 작업은 제한적으로 구성 (새 문서 초안, Slack 메시지).

낮은 피해 범위: 최악의 시나리오도 민감한 로그 라인이 이미 잠긴 채널에 게시되는 수준으로 제한됨.

완전한 감사 추적: 모든 에이전트 활동이 SIEM에 기록되어 즉각적인 이상 징후 감지가 가능함.

사고 대응 에이전트가 근본 원인을 파악하고, 코드 수정 권한을 가진 다른 에이전트에게 수정을 요청하는 사례 발생.

이러한 에이전트 간 통신은 인간의 개입(Human-on-the-Loop)을 통해 통제되며, 코드 변경 사항은 최종적으로 인간의 검토를 거침.

핵심은 모델의 현재 능력치가 아닌 미래의 잠재력을 고려하여 제어 메커니즘을 설계하는 것임.

접근 권한 및 행동 제한은 모델의 발전 가능성을 염두에 두고 설정해야 함.

ID 관리: IdP 연동(SAML, OIDC) 및 SCIM 프로비저닝으로 통합된 ID 관리 수행.

커넥터 허용 목록(Allowlist): 관리자가 허용한 시스템만 접근 가능하며, 사용자별 개별 승인 필요.

도구별/행동별 승인: 특정 기능(예: 삭제)은 비활성화하여 세분화된 권한 제어 구현.

샌드박스 실행 환경: 에이전트 실행 환경에 프로덕션 크리덴셜을 저장하지 않음.

Egress 허용 목록: 에이전트의 외부 통신 대상을 사전에 정의된 목록으로 제한하여 프롬프트 인젝션 방지.

SIEM 연동: 모든 에이전트 활동을 OpenTelemetry를 통해 SIEM으로 스트리밍하여 실시간 모니터링.

전사적 비활성화 스위치: 필요시 모든 에이전트 연결을 즉시 차단 가능.