AI 에이전트 사고의 초동 대응이 늦어지는 팀을 위한 30분 인시던트 런북 (Runbook)

AI 에이전트를 실무 환경(Production)에서 운영하기 시작하면, 문제는 "얼마나 똑똑한가"보다 이상 세션, 폭주한 자동화, 설명할 수 없는 차분(diff), 중단 판단의 지연으로 옮겨갑니다.

2026년 6월 1일부터 6월 3일에 공개된 영어 1차 정보를 살펴보면, 사고 대응의 중점이 상당히 명확합니다. OpenAI는 세션 가시화(Session Visualization)를 강화했고, GitHub은 에이전트 실행 비용과 자동화 리스크를 명시했으며, Anthropic은 AI 지원 공격이 더욱 자율적으로 변하고 있음을 보여주었습니다.

이 기사에서는 최신 뉴스를 단순한 요약으로 끝내지 않고, AI 에이전트 사고가 발생했을 때 첫 30분 동안 무엇을 중단하고, 무엇을 남기며, 무엇을 인간의 판단으로 되돌릴 것인가를 실무 관점에서 정리합니다.

첫 30분 동안 해야 할 일은 원인 규명보다 먼저 "더 이상 확산시키지 않는 것"입니다.

사고 시그널	첫 30분 동안 할 일	즉시 인간의 판단으로 되돌릴 것
기억에 없는 AI 세션	세션 전수 조사, 강제 로그아웃, 관련 토큰 확인	권한 박탈의 범위
...

OpenAI는 2026년 6월 2일 자 ChatGPT release notes를 통해 계정에 연결된 세션 확인 기능을 안내했습니다.

원문: "review sessions associated with their account"

일본어 번역: 자신의 계정에 연결된 세션을 확인할 수 있다.

이것은 단순한 계정 편의 기능이 아닙니다. AI 사고 대응에서는 **"어떤 surface(접점)에서 어떤 세션이 동작하고 있었는가"**를 가장 먼저 분리해내기 위한 입구입니다.

특히 다음 4가지 사항은 처음에 고정적으로 기록합니다.

session_surface
: ChatGPT / Codex / API Platform / third-party -
device_or_runtime
: 단말기, 실행 환경, 근사 위치 -
sign_in_time
: 언제부터 동작했는가 -
containment_action
: 강제 로그아웃했는가, 지속 관찰 중인가

GitHub은 2026년 6월 2일, Copilot app의 technical preview 확대 시 이용자의 업무가 "에이전트를 실행하는 것"에서 "출력을 관리하는 것"으로 이동한다고 설명했습니다.

원문: "managing their output: reading chat transcripts, hunting for the diff that matters"

일본어 번역: 출력 관리, 즉 transcript(대화 기록)를 읽고 중요한 차분(diff)을 찾는 쪽으로 업무가 이동한다.

사고 시 가장 먼저 확인해야 할 대상은 완성된 코드가 아니라 대화 이력과 차분의 기점입니다. PR(Pull Request)만 추적하면 "왜 그 변경이 시작되었는가"를 놓치게 됩니다.

따라서 AI 에이전트 사고 시에는 다음 항목을 한 세트로 저장합니다.

• 어떤 issue / prompt / previous session으로부터 기동되었는가
• transcript의 마지막뿐만 아니라 최초의 지시 사항
• 도중에 user가 course-correct(경로 수정)한 지점
• 최종 diff와 changed files

GitHub Docs의 About Copilot automations에서는 automation이 실행될 때마다 cloud agent session이 기동하며, GitHub Actions minutes와 GitHub AI Credits를 소비한다고 설명되어 있습니다.

원문: "Each time an automation runs, it starts a Copilot cloud agent session"

일본어 번역: automation이 실행될 때마다 Copilot cloud agent session이 기동한다.

원문: "uses GitHub Actions minutes and GitHub AI Credits"

일본어 번역: GitHub Actions minutes와 GitHub AI Credits를 소비한다.

사고 시 automation을 중단해야 하는 이유는 안전성 때문만은 아닙니다. 피해가 지속되고 있는지, 비용이 계속 증가하고 있는지를 동시에 차단해야 합니다.

따라서 초동 대응 시에는 다음을 실시합니다.

• 대상 repository의 automation (자동화) 중지
• 실행 중인 session (세션)의 실행자 확인
• 실패 루프가 있는지 Actions 측의 실행 이력 확인
• AI Credits / minutes (AI 크레딧/분)의 이상 소비 확인

GitHub는 usage-based billing (사용량 기반 과금)으로의 이전을 안내하며, Copilot 이용은 2026년 6월 1일부터 GitHub AI Credits를 소비한다고 설명하고 있습니다.

원문: "Starting June 1, your Copilot usage will consume GitHub AI Credits."

한국어 번역: 6월 1일부터 Copilot 이용은 GitHub AI Credits를 소비한다.

원문: "Admins will also have new budget controls."

한국어 번역: 관리자에게는 새로운 예산 컨트롤 (budget controls)이 제공된다.

인시던트 재발 방지에서는 원인 분석뿐만 아니라 **상한선 재설계 (re-designing limits)**가 필요합니다. 예산 상한선이 없는 상태로 재개하면, '멈추지 않는 agent (에이전트)'를 다시 투입하기 쉬워집니다.

권장 사항은 사고 후 재개 조건에 다음을 포함하는 것입니다.

• 1 session (세션)당 최대 시간
• 1 automation (자동화)당 최대 실행 횟수
• 1 user (사용자) / 1 team (팀)당 월간 credit (크레딧) 상한
• 초과 시 자동 중지 및 reviewer (검토자) 알림

Anthropic은 2026년 6월 3일, 2025년 3월부터 2026년 3월까지 malicious cyber activity (악의적인 사이버 활동)로 인해 중단된 832개의 계정을 분석한 결과를 공개했습니다.

원문: "We examine 832 accounts that were banned for malicious cyber activity"

한국어 번역: 악의적인 사이버 활동으로 차단된 832개의 계정을 분석했다.

원문: "There is no ATT&CK ID for this type of agentic orchestration"

한국어 번역: 이러한 유형의 agentic orchestration (에이전트 오케스트레이션)에 대해서는 아직 ATT&CK ID가 없다.

이 부분이 중요합니다. AI 지원 공격이나 AI 사고는 단발적인 IOC (침해 지표)보다 여러 단계가 연쇄적으로 일어나는 동작으로 보지 않으면 놓치게 됩니다.

즉, 다음과 같은 관측 설계가 필요합니다.

• prompt (프롬프트) 변경
• tool (도구) 호출 증가
• 외부 host (호스트) 추가
• 권한이 높은 파일에 대한 쓰기
• 자동 재시도

이것들을 하나씩 별개의 이벤트로 보는 것이 아니라, 동일 session (세션) 내의 시계열로 보아야 합니다.

Anthropic은 Project Glasswing 확대를 안내하며, 보안 조직과 협력하여 대상을 넓히고 있다고 설명했습니다.

원문: "extending the partnership to approximately 150 new organizations"

한국어 번역: 파트너십을 약 150개의 새로운 조직으로 확대한다.

원문: "found more than 10,000 high- or critical-severity security flaws"

한국어 번역: 1만 건 이상의 높음 또는 심각한 수준의 보안 취약점을 발견했다.

탐지 능력이 높아질수록 운영의 병목 현상은 '찾는 것'이 아니라 triage (트리아지/우선순위 분류)와 반영 경계로 이동합니다.

이 때문에 사고 후의 시정 플로우에서는 다음을 분리합니다.

• detect (탐지): 후보 탐지, 관련 로그 열거
• reproduce (재현): 재현 조건 및 영향 범위 압축
• patch (패치): 최소 차분 수정안
• approve (승인): 인간에 의한 반영 여부 결정

탐지, 수정, 반영을 하나로 묶으면 오탐(false positive)이라도 production write (운영 환경 쓰기)로 이어지기 쉽습니다.

• 의심스러운 session (세션)을 강제 로그아웃 시킨다

• automation (자동화) / scheduler (스케줄러) / webhook (웹훅) 기점의 재실행을 중단한다

• 운영 환경 deploy (배포), publish (발행), 외부 전송, billing (과금) 변경을 일시 중지한다

• 필요하다면 outbound network (아웃바운드 네트워크)를 제한한다

• session id (세션 ID), 실행자, 실행 근거가 된 issue (이슈) / prompt (프롬프트)를 저장한다

• transcript (기록), tool calls (도구 호출), changed files (변경 파일), PR URL을 저장한다

• 사용 모델, token (토큰) / credit (크레딧) 소비량, 실행 시간을 기록한다

• secrets (비밀 정보) / token (토큰)의 사용 범위를 점검한다

• 무엇이 trigger (트리거)였는가

• 어떤 권한이 과도했는가

• 인간 리뷰 (human review)로 되돌려야 할 경계는 어디인가

• 재개 조건으로 무엇을 추가할 것인가

agent_incident_runbook:
containment:
disable_sessions: true
...

실패 패턴	왜 위험한가	수정 방침
PR (Pull Request)만 보고 transcript (트랜스크립트)를 보지 않음	실행 이유와 일탈 지점을 알 수 없음	session (세션) 기준으로 감사한다
...

• 기억에 없는 AI session (세션)을 전수 조사했다
• automation (자동화) / scheduler (스케줄러)의 재실행을 중단했다
• transcript (트랜스크립트), tool calls (도구 호출), diff (차이점), PR (Pull Request)을 저장했다
• credits (크레딧) / minutes (분)의 이상 소비를 확인했다
• 외부 host (호스트), token (토큰), secret (비밀 정보) 이용을 전수 조사했다
• production write (운영 환경 쓰기)를 인간 승인으로 되돌렸다
• 재개 조건을 budget (예산) / scope (범위) / approval (승인)으로 정의했다

2026년 6월 1일부터 6월 3일까지의 1차 정보를 나열해 보면, AI 에이전트 사고 대응에서 중요한 것은 "더 좋은 모델을 찾는 것"이 아닙니다.

• OpenAI는 session (세션) 가시화를 앞세웠습니다.
• GitHub는 automation (자동화)의 실행 단위와 예산 통제를 명시했습니다.
• Anthropic은 AI 지원 공격이 더욱 연쇄적이고 자율적으로 변할 것임을 보여주었습니다.

즉, 실무에서 필요한 것은 중단, 증적, 예산, 승인 경계의 4가지 포인트입니다. AI 에이전트를 운영 환경에 도입한다면, 평상시의 편리함보다 사고 발생 시의 30분 Runbook (런북)을 먼저 만들어 두는 것이 더 효과적입니다.

• OpenAI Help Center: ChatGPT Release Notes

https://help.openai.com/en/articles/6825453-custom-instructions - GitHub Changelog: Expanded technical preview availability for the GitHub Copilot app

https://github.blog/changelog/2026-06-02-expanded-technical-preview-availability-for-the-github-copilot-app/ - GitHub Docs: About Copilot automations

https://docs.github.com/en/copilot/concepts/agents/cloud-agent/about-automations - GitHub Blog: GitHub Copilot is moving to usage-based billing

https://github.blog/news-insights/company-news/github-copilot-is-moving-to-usage-based-billing/ - Anthropic: What we learned mapping a year’s worth of AI-enabled cyber threats

https://www.anthropic.com/news/AI-enabled-cyber-threats-mitre-attack - Anthropic: Expanding Project Glasswing