AI 에이전트의 메모리는 공격 표면입니다 — 방어 방법 안내

AI 에이전트들은 벡터 스토어(vector stores), RAG 인덱스(RAG indexes), 세션 간 컨텍스트를 유지하는 대화 기록(conversation histories)과 같은 지속성 메모리(persistent memory)를 갖추고 있습니다. 이는 매우 강력한 기능입니다. 하지만 동시에 거의 아무도 방어하지 않고 있는 완전히 새로운 공격 표면(attack surface)이기도 합니다.

문제점

AI 에이전트가 향후 모든 실행에서 자신의 메모리를 신뢰하게 되면, 해당 메모리를 단 한 번만 오염(poisoning)시킬 수 있는 공격자는 이후의 모든 에이전트 동작에 대해 **지속적인 영향력(persistent influence)**을 얻게 됩니다. 이는 OWASP의 ASI06 — 메모리 오염(Memory Poisoning)에 해당합니다.

실제 공격 시나리오:

• RAG 파이프라인(pipeline)에 악성 문서를 주입하여 매 검색(retrieval) 시마다 에이전트의 시스템 지침(system instructions)을 재작성함
• 탈취된 도구 출력(tool output)을 통해 에이전트의 장기 메모리(long-term memory)에 백도어 지침을 심음
• 보호된 메모리 키(API 엔드포인트, 허용된 도메인 등)를 수정하는 적대적 사용자 입력(adversarial user input)

이것들은 이론적인 이야기가 아닙니다. Johann Rehberger는 ChatGPT의 메모리 기능에 대한 메모리 오염 공격을 시연했습니다. 이러한 공격 표면은 LangChain, LlamaIndex, CrewAI, AutoGen, Mem0와 같은 모든 프레임워크에 존재합니다.

해결책: OWASP Agent Memory Guard

Agent Memory Guard는 에이전트와 메모리 저장소 사이에서 런타임 보안 계층(runtime security layer) 역할을 하는 오픈 소스 Python 라이브러리입니다. 모든 읽기 및 쓰기 작업은 구성 가능한 탐지 파이프라인(detection pipeline)을 통과합니다.

탐지 항목:

위협	방법
대역 외 변조 (Out-of-band tampering)	모든 메모리 항목에 대한 SHA-256 무결성 기준선(integrity baselines) 적용
...

작동 방식:

from agent_memory_guard import MemoryGuard

guard = MemoryGuard.from_yaml("policy.yaml")
...

정책은 YAML로 구성 가능합니다:

detectors:
  - prompt_injection:
      action: block
...

성능

• 메모리 오염 공격에 대해 92.5%의 재현율(recall) 달성
• 100% 정밀도(precision) — 오탐(false positives) 제로
• 작업당 중앙값 지연 시간(median latency) 59 마이크로초(microsecond)
• LangChain, LlamaIndex, CrewAI, AutoGen 및 Mem0를 위한 즉시 적용 가능한 통합(Drop-in integrations) 지원

언론 보도

Help Net Security에서 방금 심층 분석 보고서를 게시했습니다: AI 에이전트가 자신의 메모리를 통해 무기화되는 것을 방지하는 방법

시작하기

pip install agent-memory-guard

• GitHub: OWASP/www-project-agent-memory-guard
• Docs: 리포지토리 내 전체 API 참조 및 통합 가이드 제공
• License: Apache 2.0

만약 여러분이 지속성 메모리 (Persistent memory)를 가진 AI 에이전트를 구축하고 있다면 (2026년 현재, 그렇지 않은 에이전트가 어디 있겠습니까?), 에이전트와 메모리 저장소(Memory store) 사이에 보안 계층 (Security layer)이 필요합니다. Agent Memory Guard가 바로 그 계층입니다.

질문이 있으신가요? 댓글로 남겨주세요. Pull Request (PR)는 언제나 환영합니다.