멀티 에이전트 체인(Multi-Agent Chains)의 숨겨진 취약점

오늘날 엔터프라이즈 AI에서 가장 큰 아키텍처적 리스크는 프롬프트 인젝션(Prompt Injection)이 아니라, 바로 **권한 위임 에스컬레이션 (Delegation Escalation)**입니다.

인간 사용자가 AI 에이전트 오케스트레이터(AI Agent Orchestrator)를 실행하면, 이 오케스트레이터는 MCP 또는 내부 API를 통해 하위 에이전트(sub-agents) 및 도구 실행 게이트웨이(tool execution gateways)에 작업을 위임합니다. 이때 전통적인 정적 서비스 계정(static service accounts) 방식은 한계에 부딪힙니다.

실행 체인을 따라 광범위한 베어러 토큰(bearer tokens)이나 정적 사용자 API 키를 전달하면, 거대한 혼동된 대리인(Confused Deputy) 취약점이 발생하게 됩니다.

엔터프라이즈 규모에서 자율적인 멀티 에이전트 체인을 안전하게 배포하려면, 플랫폼 아키텍트는 명시적인 액터 클레임(actor claims)을 포함하는 OAuth 2.1 RFC 8693 토큰 교환(Token Exchange)을 강제해야 합니다.

비인간 권한 부여 (Non-Human Authorization, NHA) 흐름

• 인간 사용자 권한 부여 (Human User Authorization): 사용자가 인증을 수행하고 기본 에이전트 오케스트레이터에 특정되고 제한된 범위(예: read:finance)를 부여합니다.
• 토큰 교환 (Token Exchange): 오케스트레이터는 원시 사용자 자격 증명(raw user credentials)을 하위 단계로 전달하는 대신, 엔터프라이즈 ID 게이트웨이를 통해 OAuth 2.1 토큰 교환 (RFC 8693)을 활용합니다.
• 액터 클레임 범위 지정 호출 (Actor-Claim Scoped Call): 하위 에이전트 또는 도구 실행 계층은 인간 주체(human subject)와 오케스트레이터를 모두 식별하는 중첩된 액터 클레임(act)이 포함된 단기 토큰을 수신합니다. 이를 통해 실행 권한이 두 주체의 권한 교집합에 의해 엄격하게 제한되도록 보장합니다.

에이전트 ID 거버넌스(Agentic Identity Governance)를 위한 3가지 타협 불가능한 규칙

1. 위임 우선, 사칭 금지 (Delegation Over Impersonation, RFC 8693): 에이전트가 사용자를 맹목적으로 사칭하는 것을 절대 허용해서는 안 됩니다. OAuth 2.1 토큰 교환 (Token Exchange)을 강제하여, 발급되는 모든 JWT 토큰이 중첩된 액터 클레임(nested actor claim)인 인간 주체 (Human Subject) -> 에이전트 오케스트레이터 (Agent Orchestrator) -> 하위 에이전트 (Sub-Agent)를 포함하도록 해야 합니다. 모든 다운스트림 API는 해당 작업을 누가 승인했는지와 어떤 에이전트가 실행했는지를 모두 검증해야 합니다.

2. 권한의 교집합 (Intersection of Privileges, User ∩ Agent): 에이전트의 런타임 권한은 사용자의 IAM 권한과 에이전트에 등록된 도구 범위 (tool scope)의 엄격한 수학적 교집합이어야 합니다. 에이전트는 자신을 호출한 인간 사용자보다 더 많은 시스템 액세스 권한을 가져서는 안 됩니다.

3. 휘발성 토큰 및 DPoP 바인딩 (Ephemeral Tokens & DPoP Binding): 정적 설정 방식의 API 키와 수명이 긴 리프레시 토큰 (refresh tokens)을 제거하십시오. 탈취된 토큰이 서비스 경계를 넘어 재사용(replay)될 수 없도록, DPoP (RFC 9449) 또는 mTLS를 통해 암호학적으로 바인딩된 짧은 수명의 토큰 (TTL 5분)을 발급해야 합니다.

아키텍트의 견해 (Architect’s Take)

AI 에이전트를 전통적인 서비스 계정 (service accounts)이나 백그라운드 작업 (background jobs)으로 취급하는 것을 중단하십시오. 현대적인 클라우드 환경에서 비인간 ID (non-human identities)는 인간 사용자의 17배에 달합니다. 만약 귀하의 ID 제공자 (Identity Provider, IdP)가 런타임에서 중첩된 위임 체인 (nested delegation chains)을 감사 (audit)할 수 없다면, 귀하의 에이전트 아키텍처는 언제든 발생할 수 있는 모니터링되지 않는 보안 침해 사고와 같습니다.

귀하의 플랫폼 팀은 멀티 에이전트 워크플로우 (multi-agent workflows)에서 OAuth 토큰 위임과 비인간 ID를 어떻게 처리하고 있습니까?

출처 및 참고 문헌 (Sources & References)

• WorkOS: The AI Agent Auth Checklist – RFC 8693 & DPoP Audit
• Scalekit: OAuth for AI Agents – Production Architecture Guide
• GitGuardian: Non-Human Identity Governance Platforms & Lifecycle Management
• Descope: OAuth Token Exchange (RFC 8693) in Agentic Systems

저자 소개 (About Me)

저는 IT 산업에서 14년의 경력을 쌓은 **엔터프라이즈 클라우드 및 AI 아키텍트 (Enterprise Cloud & AI Architect)**로, 조직이 엔터프라이즈급 클라우드, AI 및 자동화 솔루션을 설계하고 확장할 수 있도록 지원하고 있습니다.

현재 저의 업무는 엔터프라이즈 규모의 AIOps 플랫폼 구축에 집중되어 있으며, 고객의 AI 우선 (AI-first) 전환 여정을 가속화하고, FinOps 도입을 추진하며, 측정 가능한 비즈니스 임팩트를 창출하는 프로덕션 준비 단계의 생성형 AI (Generative AI) 애플리케이션을 개발하는 데 주력하고 있습니다.

LinkedIn 또는 X (Twitter) @jitu028을 통해 언제든 저와 연결해 주세요. 1:1 아키텍처 가이드가 필요하시다면 저의 Topmate를 방문해 주시기 바랍니다.