AI 에이전트 공격 표면: 프롬프트가 곧 실행 권한이 되는 순간

에이전트가 코드를 실행할 수 있게 되는 순간, 프롬프트는 더 이상 텍스트가 아님. 곧 실행 권한이 됨. 이 한 문장이 AI 에이전트 공격 표면 전체를 다시 정의함. AI 에이전트 공격 표면이란 자율 시스템이 그것을 배포한 회사를 향해 거꾸로 무기가 될 수 있는 새로운 경로를 말함.

가장 정직한 증거가 2026년 6월 18일에 나왔음. 마이크로소프트 디펜더 보안연구팀이 공격 하나를 공개했는데, 프롬프트 인젝션 공포담보다 한 겹 더 솔직했음. 프롬프트 조작이 아예 필요 없었던 것임. 악성 웹페이지 한 장의 자바스크립트(JavaScript)만으로, AI 브라우징 에이전트가 돌아가는 호스트에서 calc.exe가 실행됐음.

그런데 경보를 너무 크게 울리기 전에 정직한 균형추가 필요함. 이 개념증명(PoC)의 취약 표면은 개발 빌드에만 존재했고, 정식 릴리스에는 실리지 않았으며, 이미 패치 완료됨. 교훈은 “지금 모두가 뚫렸다”가 아님. 에이전트 아키텍처의 구조적 결함 유형이 입증됐다는 것이 정확한 교훈임. 이 글은 AI 에이전트 공격 표면 전체를 지도로 그리고, 헤드라인의 과장에서 검증된 사실을 분리한 뒤, 보안팀이 실제로 쓸 수 있는 방어 플레이북으로 착지함.

에이전트가 공격 표면에 더한 두 개의 새 문

지난 30년간 기업 공격 표면에는 잘 이해된 세 얼굴이 있었음. 코드(공격자가 익스플로잇하는 버그), 네트워크(공격자가 넘는 경계선), 인증(공격자가 훔치는 자격증명)임. 방어자는 이 셋을 둘러싼 성숙한 스택을 쌓았음 — 방화벽, IAM, DLP, 엔드포인트 탐지.

그런데 이 모든 것이 조용히 하나를 전제함. 그 통제 뒤의 워크로드가 인간이 몰거나 결정론적이라는 가정임. 에이전트가 바로 그 가정을 깨뜨림.

에이전트는 기존 스택이 감시하도록 설계된 적 없는 두 개의 문을 더함. 이 두 문이 곧 AI 에이전트 공격 표면의 새 축임.

첫 번째는 들어오는 문임. 신뢰 경계가 데이터 자체로 이동함. 에이전트가 웹페이지·이메일·문서를 읽는 순간, 그 신뢰할 수 없는 콘텐츠가 에이전트의 다음 행동을 조종할 수 있게 됨. 데이터가 더 이상 데이터가 아님. 잠재적 명령인 것임.

두 번째는 이미 열린 문임. 모든 에이전트는 자기 자격증명과 권한을 가진 비인간 아이덴티티(NHI)이고, 이 아이덴티티가 거버넌스를 책임져야 할 사람보다 압도적으로 많아짐. 위협의 무게중심이 “공격자가 무엇을 뚫고 들어오는가”에서 “이미 안에서 아무도 안 보는 권한을 쥐고 있는 것이 무엇인가”로 옮겨감.

구분이 중요한 이유가 있음. 어디에 돈을 써야 하는지를 알려주기 때문임. 들어오는 문은 격리(isolation) 문제임. 이미 열린 문은 접근통제(access control) 문제임. 둘을 뭉뚱그려 에이전트 침해를 또 하나의 엔드포인트 사고로 취급하는 순간, 조직은 엉뚱한 경계선을 방어하게 됨.

들어오는 문 — AutoJack, 웹페이지로 이동한 신뢰 경계

AutoJack은 들어오는 문을 구체화한 사례임. 2026년 6월 18일, 마이크로소프트 디펜더 보안연구팀이 악성 웹페이지 한 장이 로컬 AI 브라우징 에이전트를 통해 호스트 코드 실행에 도달하는 과정을 공개함 (The Hacker News, 6월 19일). 두 번째 독립 기술 분석(CyberSecurityNews)이 메커니즘을 교차 확인함.

여기서 헤드라인이 틀린 부분, 그리고 AutoJack을 진짜 중요하게 만드는 부분이 있음. 프롬프트 인젝션이 아니라는 것임. 영리한 명령이 모델 컨텍스트에 몰래 끼워진 적이 없음. 에이전트의 추론은 탈취된 적이 없음. 대신 공격은 에이전트의 헤드리스 브라우저가 localhost로 동작한다는 사실을 악용함. 그리고 localhost는 신뢰 대상으로 취급됨.

공격 체인이 실제로 작동하는 방식

에이전트는 사용자를 대신해 페이지를 읽으려고 내장 브라우저를 돌림. 그 브라우저는 여느 브라우저처럼 자바스크립트를 실행함. 악성 페이지의 자바스크립트는 단지 localhost에서 대기 중인 MCP(Model Context Protocol) 엔드포인트로 웹소켓(WebSocket) 연결을 열었을 뿐임. 요청이 localhost에서 출발했기 때문에 오리진 검증이 통과시켰음. MCP 라우트가 인증 미들웨어를 건너뛰었기 때문에 자격증명이 필요 없었음. 그리고 서버가 파라미터를 실행파일 allowlist 없이 프로세스 런처에 그대로 넘겼기 때문에, 공격자의 명령이 호스트에서 실행됨.

연구진은 이 결함을 3중 CWE 체인으로 귀속함. CWE-1385(불충분한 오리진 검증), CWE-306(인증 누락), CWE-78(OS 명령 인젝션)임. 개념증명에서는 악성 페이지를 렌더링하자 수 초 내에 calc.exe가 떴음.

정직한 균형추 — AutoJack이 입증한 것과 입증하지 않은 것

여기서 디시플린이 중요함. “입증된 결함”과 “광범위 침해” 사이의 간극이 넓기 때문임. 취약 표면은 AutoGen Studio의 main 개발 브랜치에만 존재했음 — 정확히는 커밋 b047730 이전의 dev 빌드(버전 0.4.3.dev1, 0.4.3.dev2)임. 정식 PyPI 릴리스(0.4.2.2)에는 MCP 라우트가 아예 없어서 노출된 적이 없음. 결함은 b047730에서 서버측 파라미터 바인딩과 MCP 인증으로 패치됐고, 기사 기준 CVE는 부여되지 않았음. (이 패치·버전 상세는 단일 심층 출처 CyberSecurityNews에서 나온 것이라 그 출처에 귀속함.)

그래서 AutoJack은 운영 시스템을 뚫은 5급 화재가 아님. 오히려 더 교훈적인 무엇임. 에이전트가 호스트의 네트워크 아이덴티티를 상속받는 순간 localhost가 더 이상 안전지대가 아니라는 깔끔한 증명인 것임. 방어자가 네트워크 가장자리에 있다고 가정했던 신뢰 경계가, 에이전트가 삼키는 데이터로 조용히 재배치됐음. 이 구조적 교훈은 어떤 단일 패치보다 오래 살아남음 — 그리고 사용자를 대신해 브라우징하거나, 도구를 호출하거나, 로컬 서비스에 닿는 모든 에이전트로 일반화됨.

이미 열린 문 — 아이덴티티 폭증과 Shadow AI

AutoJack이 공격자가 걸어 들어오는 문이라면, 비인간 아이덴티티 폭증은 이미 활짝 열려 있는 문임. AI 에이전트 공격 표면의 두 번째 절반이 여기서 드러남.

기계가 인간을 82:1로 압도함

CyberArk의 2025 State of Machine Identity Security 리포트에 따르면, 기계 아이덴티티가 인간 아이덴티티를 82:1로 압도함 — 같은 데이터를 다룬 VentureBeat 보도가 교차 확인한 수치임. 클라우드네이티브 환경에서는 비율이 약 144:1로 오르고, 하이퍼오토메이션이 심한 환경에서는 최대 500:1까지 관측됐음. 평균적인 조직이 이제 25만 개 넘는 비인간 아이덴티티를 굴림.

숫자 자체가 문제는 아님. 거버넌스 공백이 문제임. 세계경제포럼(WEF) 2025 분석은 조직의 51%가 자사 AI 아이덴티티의 소유자를 명확히 말하지 못한다고 밝힘. 비인간 아이덴티티의 약 47%가 1년 넘게 변경되지 않았고, 신규 생성된 AI 자격증명의 16%는 아예 추적되지 않음. 더 나쁜 것은, 비인간 아이덴티티의 42%가 권한·민감 접근을 보유하는데도 조직의 88%가 여전히 ‘권한 사용자’를 인간 한정 개념으로 정의한다는 점임. 강력한 기계 아이덴티티 상당수가 권한관리 프로그램 밖에 통째로 방치되는 것임.

여기서 구체적 실패 양상에는 이름이 있음. 고아 에이전트(orphaned agent)임. 한 직원이 프로젝트용 에이전트를 만들고, service account로 내부 시스템에 연결한 뒤 회사를 떠남. 사람은 떠났지만 service account는 살아남음 — 미회전, 미감시, 첫날 그대로의 접근권한을 쥔 채로. 몇 달 뒤, 만든 사람도 기억 못 하는 상시 백도어가 되는 것임 (The Hacker News, 6월 18일).

Shadow AI의 진짜 위협은 데이터 유출이 아니라 접근통제임

Shadow AI를 둘러싼 흔한 프레임은 직원이 AI 도구에 무엇을 입력하는가를 걱정함 — 데이터 유출 서사임. 그 프레임이 더 큰 위험을 놓침. The Hacker News(6월 19일)가 짚었듯, 더 날카로운 질문은 직원이 AI에 무엇을 먹이는가가 아님. 어떤 AI 에이전트가 조직 내부에서 돌고, 어떤 시스템에 연결돼, 어떤 액션이 인가됐는가 — 혹은 아예 인가된 적 없는가임.

세일즈포스·스노우플레이크·깃허브·공·슬랙에 동시에 연결된 커스텀 에이전트를 떠올려 보면 됨. 이 에이전트는 그 모든 곳에서 읽고, 쓰고, 결정적으로 삭제(delete)까지 함. 사실상 어떤 DLP 규칙도 감사하도록 설계되지 않은 service account 아래에 앉아 있는, 터지길 기다리는 접근통제 사고임. 기존 IAM·DLP·네트워크 모니터링은 전부 인간 속도의 결정론적 행위자를 전제함. 다섯 개 SaaS 플랫폼을 기계 속도로 가로지르는 에이전트는 그 전제를 한꺼번에 깨뜨림.

보조형(assistive)에서 에이전트형(agentic)으로의 전환이 위협 관리의 단위를 바꾸는 이유도 여기에 있음. 보조형 AI는 요청을 기다림 — 이거 요약해, 저거 번역해, 이거 검색해. 에이전트형 AI는 맥락을 이해하고, 스스로 우선순위를 정하며, 백그라운드에서 기계 속도로 시스템을 횡단해 멀티스텝 작업을 실행함. 공격자 관점에서 이 업그레이드는 대칭임 — 에이전트형 시스템은 계획하고, 적응하고, 지속할 수 있어서, 다단계 공격을 연속 작전으로 전환함. Gartner는 2026년까지 기업 앱의 40%가 task-specific 에이전트를 임베드할 것으로 전망함. 2025년 5% 미만에서 8배 점프인 셈임. (방향은 충분히 교차 확인됐으나, 정확한 수치는 Gartner의 전망이므로 그렇게 읽어야 함.)

방어 플레이북 — 최소 에이전시(least agency)

방어 진영 전체가 이제 받아들이는 불편한 전제가 있음. 프롬프트 인젝션은 현 LLM 아키텍처 안에서 완전히 해결할 수 없다는 것임. 신뢰할 수 없는 데이터에 숨은 모든 악성 명령을 잡아내는 확실한 필터는 없음.

그래서 내구성 있는 완화는 침해 자체를 막는 것이 아님. 침해된 에이전트가 고위험 액션이나 외부 엔드포인트에 도달하지 못하게 만드는 것임. 이 원리에는 이름이 있음. 최소 에이전시(least agency)임. AI 에이전트 공격 표면을 다루는 모든 통제가 결국 이 한 점으로 수렴함.

최소 에이전시는 에이전트 시대의 최소 권한(least privilege) 후계자임. 글로벌 동료심사 프레임워크인 OWASP Top 10 for Agentic Applications 2026은 ASI01(Agent Goal Hijack)부터 ASI10(Rogue Agents)까지 10개 위험을 정의하는데, 핵심 방어 원리가 전부 같은 방향을 가리킴 — 에이전트에 필요한 최소한의 자율·도구·자격증명만 부여하라는 것임. NIST AI 100-2(2025년 3월 업데이트)는 에이전트 하이재킹·메모리 오염·도구 공급망 공격을 처음으로 adversarial ML 분류에 포함시키며 이 방향을 강화함.

위협을 최소 에이전시로 매핑하는 다섯 통제

플레이북은 추상적이지 않음. 새 공격 표면의 위험마다 구체적 통제가 대응하고, 통제는 심층방어(defense-in-depth)로 쌓임.

첫째, default-deny 도구 접근임. 에이전트는 도구 권한 0에서 시작해 각각을 명시적으로 획득해야 함. AutoJack이 가능했던 이유는 프로세스 런처가 임의 명령을 받아들였기 때문임. 실행파일 allowlist에 샌드박싱을 더했다면 오리진 우회와 무관하게 막혔을 것임.

둘째, 단기 스코프 자격증명임. 상시 service account 접근이 고아 에이전트를 백도어로 만드는 원인임. 몇 분 만에 만료되고 단일 작업으로 범위가 좁혀진 자격증명은, 떠난 직원의 잊혀진 봇이 상속받을 수 없음.

셋째, 소유자와 라이프사이클이 지정된 비인간 아이덴티티 인벤토리임. 보이지 않는 것은 거버넌스할 수 없음. 모든 에이전트 아이덴티티에 지정된 인간 소유자와, 프로젝트나 직원이 끝나면 자동 회수되는 트리거가 필요함 — 소유자 불분명 51% 공백을 직접 메우는 것임.

넷째, 이그레스(egress) 필터임. 침해된 에이전트라도 데이터를 빼낼 외부 엔드포인트나 2차 페이로드를 받을 곳에 닿지 못하면 훨씬 덜 위험함.

다섯째, 비가역 액션의 human-in-the-loop임. 삭제·자금 이체·운영 배포처럼 되돌릴 수 없는 모든 액션에는 명시적 인간 승인이 필요함. EU AI Act 14조와 NIST AI 위험관리 프레임워크(RMF)는 입증 가능한 인간 감독을 요구하므로, 이건 점점 모범사례를 넘어 컴플라이언스 요건이 되고 있음.

다섯 통제를 함께 돌리면 OWASP 원리가 그대로 구현됨. 격리와 샌드박싱이 들어오는 문을 막고, 아이덴티티 인벤토리와 단기 자격증명이 이미 열린 문을 닫으며, human-in-the-loop가 그 사이로 빠져나가는 것을 잡음.

한국 기업과 그 안의 직장인에게 주는 의미

한국 조직에 이건 멀고 추상적인 위험이 아님. 상당수가 방금 걸어 들어온 문임. 2026년 6월 17일 앤트로픽이 서울 사무소를 열었을 때, 네이버·삼성SDS·넥슨·LG CNS·한화 같은 파트너들은 이미 엔지니어링 조직 전체에 Claude를 배포하고 있었음. 코딩·브라우징 에이전트를 운영환경에 깐다는 것은, 바로 이 글이 묘사하는 들어오는 문과 이미 열린 문을 여는 행위 그 자체임. 생산성 잠금해제를 축하하는 같은 팀이, 같은 시점에 공격 표면도 함께 넓히고 있는 것임.

한국 기업에게 실무 순서는 별날 게 없음. 에이전트를 별도의 아이덴티티 클래스로 취급하는 것부터 시작하면 됨 — 모든 비인간 아이덴티티를 인벤토리화하고, 각각에 인간 소유자를 지정하고, 자동 만료를 설정함. 그다음 default-deny 도구 접근을 강제하고, 모든 비가역 액션을 인간 체크포인트로 라우팅함. 새로운 제품 카테고리가 필요한 게 아님 — 에이전트 수가 거버넌스를 추월하기 전에, 사후가 아니라 사전에 에이전트 보안 거버넌스를 적용하는 일이 필요함.

개인 직장인에게 시사점은 더 좁지만 분명함. 다섯 개 내부 시스템에 연결된 커스텀 에이전트를 띄우는 엔지니어는, 상시 접근권한을 가진 비인간 아이덴티티를 만들고 있는 것임. 그리고 오늘날 대부분 조직에서 거기엔 소유자도, 만료도 붙어 있지 않음. 어떤 에이전트든 배포하기 전에 던질 질문은 단순함. 이 프로젝트가 끝나거나 내가 떠날 때, 이 에이전트는 여전히 무엇의 열쇠를 쥐고 있는가?

정직하게 읽으면, AI 에이전트 공격 표면은 에이전트 배포를 멈출 이유가 아님 — 생산성 명분은 진짜이고, 문은 이미 업계 전반에 열려 있음. 첫날부터 최소 에이전시로 배포할 이유인 것임. 그래야 에이전트가 침해되는 날이 재앙이 아니라 하나의 사고에 그침.

자주 묻는 질문 (FAQ)

Q. AI 에이전트 공격 표면이란 정확히 무엇인가요? A. 기존 코드·네트워크·인증 표면 위에, 자율 AI 시스템이 공격당하거나 악용될 수 있는 새로운 경로의 집합을 말합니다. 추가된 두 가지는 ‘들어오는 문'(에이전트가 삼키는 신뢰할 수 없는 데이터가 행동을 조종)과 ‘이미 열린 문'(모든 에이전트가 상시 접근권한과 자격증명을 가진, 흔히 거버넌스되지 않는 비인간 아이덴티티)입니다.

Q. AutoJack 공격은 프롬프트 인젝션의 일종인가요? A. 아닙니다. 그리고 그 구분이 핵심입니다. AutoJack은 모델의 추론을 전혀 조작하지 않았습니다. localhost 신뢰 경계 우회를 악용했습니다. 불충분한 오리진 검증, 인증 누락, OS 명령 인젝션의 3중 CWE 체인이었고, 그래서 웹페이지의 자바스크립트가 에이전트 브라우저를 통해 호스트에서 직접 코드를 실행할 수 있었습니다.

Q. AutoJack은 지금 모든 AI 에이전트가 취약하다는 뜻인가요? A. 아닙니다. 취약 코드는 AutoGen Studio 개발 빌드에만 있었고, 정식 PyPI 릴리스에는 실리지 않았으며, 이미 패치됐습니다. 입증된 것은 구조적 결함 유형입니다. 에이전트가 호스트의 네트워크 아이덴티티를 상속받으면 localhost가 신뢰할 수 없게 된다는 것이지, 운영 시스템이 현재 뚫렸다는 뜻은 아닙니다.

Q. ‘최소 에이전시(least agency)’란 무엇이고 왜 권장 방어인가요? A. 최소 에이전시는 에이전트가 결국 침해될 것을 전제하고, 필요한 최소한의 자율·도구·자격증명만 부여하는 원리입니다. 프롬프트 인젝션은 현 LLM 아키텍처에서 완전히 해결할 수 없으므로, 내구성 있는 방어는 침해된 에이전트가 고위험 액션을 못 하게 만드는 것입니다. default-deny 도구 접근, 단기 스코프 자격증명, 비가역 액션 human-in-the-loop가 그 수단이며, OWASP Agentic Top 10과 NIST AI 100-2에 직접 매핑됩니다.

Q. 비인간 아이덴티티 거버넌스는 어떻게 시작해야 하나요? A. 인벤토리부터 시작합니다. 모든 에이전트와 service account 아이덴티티를 목록화하고, 각각에 지정된 인간 소유자를 붙이고, 프로젝트나 직원에 연동된 자동 만료를 답니다. 그다음 권한을 가진 비인간 아이덴티티를 인간과 동일한 권한관리 프로그램으로 옮기고, 오래된 자격증명을 회전하거나 회수합니다. 이렇게 하면 에이전트를 고아 백도어로 만드는 소유권·라이프사이클 공백이 직접 메워집니다.

참고 소스

1. AutoJack Attack Lets One Web Page Hijack AI Agent for Host Code Execution — The Hacker News, 2026년 6월 19일
2. AutoJack 기술 분석 (3중 CWE 체인, 패치 커밋) — CyberSecurityNews
3. Orphaned AI Agents: How to Find Hidden Access Risks Inside Your Network — The Hacker News, 2026년 6월 18일
4. Forget Data Leakage: Shadow AI’s Real Threat Is Access Control — The Hacker News, 2026년 6월 19일
5. From Assistive to Agentic: The AI Shift That’s Redefining Threat Management — The Hacker News, 2026년 6월 19일
6. Machine Identities Outnumber Humans by More Than 80 to 1 — CyberArk
7. Machine identities outnumber humans 82 to 1, legacy IAM can’t keep up — VentureBeat
8. OWASP Top 10 for Agentic Applications 2026 — OWASP GenAI Security Project
9. NIST AI Agent red-teaming standards — Cloud Security Alliance
10. Anthropic Seoul office partnerships with the Korean AI ecosystem — Anthropic