AI를 금지하지 않고 안전하게 활용하는 방법: Cedar, OPA 및 정보 흐름 제어를 통한 6계층 통제 기반

2026년 10월 27일 정리 / 기업, 학교, 단체 등의 조직 내 네트워크와 클라우드 대상

주의: 기술 적용 범위 및 요금은 변경될 수 있습니다. 본 문서의 설계가 무조건적인 안전성을 보장하는 것은 아닙니다.

신기술을 단순히 금지만 하는 방식으로는 이용 상황을 파악하기 어려우며, 사고 발생 시 설명하기도 어렵습니다. 필요한 것은 누가 무엇을 허용하고, 어떤 조건에서 중단시키며, 어떻게 복구했는지를 기술적인 증거로 보여주는 시스템입니다.

홀딩스(Holding)의 경우, 공통의 최소 통제 기준·감독·보고와 각 자회사의 운영 및 법적 책임을 분리하여 정의합니다. 경영진이 확인해야 할 항목은 자산 대장, 리스크, 승인, 차단 능력, 감사, 지속적인 업데이트, 활용 효과의 7가지입니다.

아래는 서로 다른 제품이나 기술을 조합한 제안 구성입니다.

중요한 차이점: Cedar/OPA가 판단하는 부분은 PDP(Policy Decision Point)이며, API나 MCP를 통해 실제로 차단하는 부분은 PEP(Policy Enforcement Point)입니다. PDP가 올바르더라도 PEP를 우회하면 지킬 수 없습니다.

구조: 승인된 AI, 모델, MCP, 데이터, 연결 대상, 책임자, 예외, 유효 기간을 일원적으로 관리합니다.

• 도입: 자산 목록화 → 데이터 분류 → 리스크 평가 → 승인 플로우 → 만료된 항목의 자동 재심사.

• 비용: 대장·워크플로우 제품, 운영 인력, 교육, 감사. 기존 ITSM을 활용하여 비용 절감이 가능합니다.

• 장점: 경영진 및 고객에게 설명이 가능합니다. 한계: 규정만으로는 조작을 멈출 수 없습니다.

구조: OIDC 등 인증, MFA(Multi-Factor Authentication), 다수의 서비스에 대한 SSO(Single Sign-On), 관리자의 임시 권한(JIT), 단명 토큰 등을 사용합니다.

• 도입: 기존 ID 프로바이더와 통합 → 에이전트/서비스의 신원 식별 → 장기 키 감소 → 관리자의 특권 조작을 감사합니다.
• 비용: 사용자 수 또는 특권 ID 수에 따른 라이선스, 구축 비용, 감사 저장 비용.
• 장점: 안전성과 로그인 편의성을 모두 갖춥니다. 한계: 정상적인 ID가 탈취되면 추가적인 행동 제어가 필요합니다.

Cedar는 '누가(principal) 어떤 조작(action)을 어느 자원(resource)에, 어떤 조건(context)으로 실행할 수 있는지'를 정의하는 권한 언어입니다. Amazon Verified Permissions는 Cedar를 사용하는 관리형 서비스입니다.

OPA(Open Policy Agent)는 Rego로 규칙을 작성하고 API·클라우드·CI 등에서 평가하는 오픈소스(OSS)입니다.

도입: 조작 목록을 생성 → 정책을 정의 → 권한 누수 테스트 → API/MCP 실행 직전에 반드시 조회 → 오류 발생 시 거부합니다.

• 비용: Cedar/OPA의 OSS 라이선스 비용은 기본적으로 필요하지 않습니다. 다만, 연동 개발, 정책 관리, 로그, 가용성, 유지보수 비용이 필요합니다. Verified Permissions는 사용량 기반 과금입니다.
• 공개 요금 예시: AWS 공식 단일 승인 API 요금이 US$0.000005/건일 경우, 500만 건은 월 US$25입니다 (승인 API만 해당하며, 실제 적용 구분 및 최신 요금을 확인해야 합니다).
• 장점: 서비스 전반에 걸쳐 권한 규칙을 통제합니다. 한계: 직접 DB 연결과 같은 우회 경로, 이미 획득된 데이터의 외부 전송은 별도의 대책이 필요합니다.

'열람 허용'과 '외부 전송'을 분리하여 심사합니다.

구조: 기밀도 레이블(機密度ラベル)을 데이터에 부여하고, AI가 사용하는 툴 간의 데이터 이동을 추적합니다. 전송 전에 내용·수신처·목적을 대조합니다.

• 도입: 데이터 분류 → 레이블 부착 → 이메일·HTTP·MCP 출구에서 검사를 통합 → 더미 기밀 데이터로 차단 테스트를 진행합니다.

• 비용: 분류 및 운영, DLP 라이선스, 검사량, 오탐지 확인 공수.

• 장점: 올바르게 열람한 정보라도 부정한 외부 전송을 억제할 수 있습니다. 한계: 미파악된 통신 경로, 암호화 데이터, 레이블 소실 등이 난제입니다.

구조: AI가 실행할 수 있는 파일·프로세스·네트워크를 제한합니다. 고객 A의 침해로부터 고객 B나 관리 기반으로의 확산을 방지합니다.

• 도입: 독립적인 실행 환경 → 비밀 정보 비마운트(non-mount) → 출구 프록시(Exit Proxy) → 네트워크 기본 거부(Default Deny) → 경계를 돌파하는 테스트를 진행합니다.
• 비용: VM/컨테이너, 프록시, EDR, 네트워크, 모니터링 및 운영.
• 장점: 침입 후 피해를 국소화할 수 있습니다. 한계: 호스트나 관리 기반 자체의 침해, 허가된 전송처로의 정보 유출은 남아있습니다.

참고: Anthropic Sandbox Runtime · NIST Zero Trust

원리/구조: 인증 주체(Authentication Subject), AI 에이전트(AI Agent), 도구 실행(Tool Execution), 정책 버전(Policy Version), 허가 사유 등을 보호 대상과 독립된 로그에 저장합니다. 비정상 상황 발생 시에는 인증을 무효화하고, 환경을 격리하며, 백업 복구를 수행합니다.

도입 절차: 감사 이벤트 정의 → 로그 수집 → 탐지 조건 설정 → 정지 훈련(Stop Drill) → 불변 백업으로부터 별도의 환경으로 복구합니다.

비용 요소: 로그 용량(GB), 보존 연수, SOC 인력, EDR 단말 수, 복구 인프라, 훈련 비용.

장점: 사고 발생 후 설명 가능성 확보 및 조기 복구가 가능합니다.한계점: 오탐지(False Positive) 및 탐지 누락(Detection Miss), 과도한 경고 알림(Alert Overload), 복구 과정의 미검증 등이 있습니다.

이는 GMO 사안의 구체적인 침입 경로를 단정하는 것이 아닙니다. 동종 고객 환경 침해를 가정한 평가표입니다.

기술의 합격 기준은 **'절대 허용되지 않는 조치를 실제로 막을 수 있는지', '모든 경로에서 통제되는지', '원인을 추적할 수 있는지', '침입 후에도 복구할 수 있는지'**입니다. 단순히 제품을 도입했다는 보고만으로는 충분하지 않습니다.