AI 시스템을 위한 네트워크 분할: 에이전트 아키텍처에서 폭발 반경(Blast Radiuses) 제한하기

팀들이 초기 AI 시스템을 구축할 때, 보통 모든 구성 요소를 단일 가상 네트워크에 배포합니다.

오케스트레이터, 벡터 데이터베이스, 캐시 클러스터, 백그라운드 워커 등이 동일한 사설 서브넷을 공유합니다. 모든 것이 내부 IP 주소로 마찰 없이 통신합니다. 라우팅이 간단하고 관리해야 할 네트워크 간 피어링(peering)도 없습니다.

전통적인 내부 애플리케이션의 경우, 이러한 평면 토폴로지(flat topology)는 흔합니다. 하지만 에이전트 기반 AI 시스템에서는 심각한 보안 위험을 초래합니다.

자율 AI 에이전트는 일반적인 마이크로서비스가 거의 하지 않는 일을 합니다: 즉, 모델 추론에 기반하여 네트워크 요청을 동적으로 구성하고, 외부 도구를 호출하며, 신뢰할 수 없는 엔드포인트에서 콘텐츠를 가져옵니다.

만약 에이전트가 평면 네트워크 내에서 실행되다가 프롬프트 인젝션(prompt injection)이나 악성 입력에 직면하면, 공격자는 해당 에이전트를 내부 프록시로 사용하여 사설 인프라를 탐색할 수 있습니다.

본 게시물에서는 AI 에이전트의 네트워크 위협 모델을 설명하고, 구역화된 네트워크 설계가 폭발 반경(blast radiuses)을 어떻게 제한하는지, 프로덕션 환경에서 이것이 어떻게 작동하는지, 그리고 주의해야 할 사항들을 다룹니다.

문제점: 에이전트 기반 위협 모델

전통적인 소프트웨어에서는 네트워크 요청이 결정론적입니다. 코드는 정확한 호스트, 포트 및 페이로드 구조를 지정합니다.

AI 에이전트는 비결정론적입니다. 사용자 프롬프트나 검색된 문서가 에이전트에게 임의의 매개변수를 가진 HTTP 도구를 호출하도록 지시할 수 있습니다.

이는 **서버 측 요청 위조(Server-Side Request Forgery, SSRF)**의 문을 열어줍니다:

1. 에이전트가 외부 문서를 검색하거나 숨겨진 지침을 포함하는 사용자 입력을 처리합니다.
2. 해당 지침은 에이전트에게 내부 URL(예: 클라우드 인스턴스 메타데이터 서비스 또는 내부 데이터베이스 관리 포트)을 가져오도록 지시합니다.
3. 에이전트는 자신의 호스트 신원을 사용하여 요청을 실행합니다.

평면 네트워크에서, 에이전트는 중요한 데이터베이스, 내부 자격 증명 및 기타 서비스와 사설 네트워크 경로를 공유합니다. 일단 에이전트가 손상되면, 공격자는 에이전트의 내부 네트워크 접근 권한을 상속받게 됩니다.

아이디어: 구역화된 네트워크 마이크로-퍼리미터(Zoned Network Micro-Perimeters)

이러한 위험으로부터 보호하기 위해, 프로덕션 AI 플랫폼은 구역화된(zoned) 네트워크 아키텍처를 채택해야 합니다. 모든 것을 한곳에 두는 대신, 구성 요소들은 신뢰 수준과 접근 요구사항별로 그룹화됩니다:

• 실행 영역 (The Execution Zone): 핵심 에이전트 오케스트레이션 엔진과 임시 세션 상태(ephemeral session state)를 호스팅합니다. 벡터 인덱스에 쿼리하고 모델 게이트웨이에 프롬프트를 보낼 수는 있지만, 직접적인 인터넷 외부 연결(internet egress)은 없고 원시 백엔드 인프라로의 경로도 없습니다.
• 보호 영역 (The Protected Zone): 민감한 벡터 임베딩, 시맨틱 인덱스, 참조 데이터셋을 보관합니다. 내부 접근은 실행 영역에서 승인된 쿼리로만 엄격하게 제한됩니다. 공용 인터넷 접근은 전혀 없습니다.
• 샌드박스 영역 (The Sandboxed Zone): 신뢰할 수 없는 외부 파일(PDF, 스프레드시트, HTML)을 파싱하는 데 전념합니다. 문서 파싱은 역사적으로 메모리 안전성 버그와 제로데이 파서 취약점에 취약했습니다. 파서를 격리된 네트워크 엔클레이브에서 실행함으로써, 신뢰할 수 없는 파서 코드가 운영 에이전트와 동일한 네트워크 공간에서 실행되는 것을 막습니다.
• 외부 연결 영역 (The Egress Zone): 모든 외부 통신(모델 API 호출 또는 승인된 웹 도구 실행)은 상태 저장 방화벽(stateful firewalls)을 갖춘 검사된 외부 연결 계층을 통해 흐릅니다.

잘 작동하는 방법

1. 엄격한 폭발 반경 격리(Strict Blast Radius Containment): 만약 프롬프트 주입(prompt injection)이 에이전트를 비인가 네트워크 스캔을 시도하도록 속인다고 해도, 해당 네트워크 경로는 존재하지 않습니다. 패킷은 내부 데이터베이스에 도달하기 전에 가상 네트워크 경계에서 드롭됩니다.
2. 진정한 다층 방어(True Defense-in-Depth): 애플리케이션 수준의 입력 유효성 검사(예: URL 정규 표현식)는 DNS 리바인딩(DNS rebinding), 대체 IP 인코딩, 또는 HTTP 리다이렉트 체인을 통해 우회될 수 있습니다. 네트워크 방화벽에서 드롭 규칙을 강제하면 애플리케이션 코드가 무엇을 하든 사설 IP 공간 및 메타데이터 서비스로의 트래픽을 차단한다는 것을 보장합니다.
3. 격리된 파일 수집(Isolated File Ingestion): 문서 파싱을 샌드박스 네트워크에 분리함으로써, 제3자 문서 처리 라이브러리의 취약점이 핵심 에이전트 런타임이나 사용자 세션 스토어에 접근하는 것을 방지했습니다.
4. 통제된 관리형 서비스(Governed Managed Services): 사설 인터페이스 엔드포인트(PrivateLink와 같은)를 사용함으로써 데이터베이스 및 스토리지 트래픽을 클라우드 제공업체의 사설 물리 백본망 내에 완전히 유지하여, 공용 인터넷 라우팅 노출을 제거했습니다.

주의할 점

1. DNS Rebinding Attacks: 공격자가 초기 애플리케이션 검사 시에는 공용 IP로 해석되는 도메인 이름을 제공하지만, 에이전트의 HTTP 클라이언트가 연결할 때에는 사설 내부 IP를 가리키도록 할 수 있습니다. 이그레스(egress) 계층에서 DNS를 해석하고 연결 시점에 목적지 IP를 검증하도록 하십시오.
2. Hidden HTTP Redirect Chains: 공용 URL이 내부 IP나 클라우드 메타데이터 서비스로 연결되는 HTTP 302 리디렉트(redirect)를 반환할 수 있습니다. HTTP 클라이언트 라이브러리 또는 이그레스 방화벽에서 리디렉트 대상(target)을 확인한 후 따라가도록 하십시오.
3. Cross-Zone Network Costs: 피어링된 가상 네트워크나 트랜짓 게이트웨이(transit gateway)를 통해 트래픽을 이동하는 것은 클라우드 데이터 전송 비용을 발생시킵니다. 대용량 문서 임베딩 파이프라인은 테라바이트급 데이터를 생성할 수 있습니다. 서비스를 같은 리전(region) 내에 밀접하게 결합시키고 페이로드 전송을 최적화하여 예상치 못한 네트워크 청구를 피하십시오.
4. Operational Overhead of Peering: 보안 그룹과 라우트 테이블로 여러 개의 격리된 가상 네트워크를 수동으로 관리하는 것은 지속 가능하지 않습니다. 모든 네트워킹 영역을 Infrastructure as Code (IaC)로 정의하여 개발, 스테이징(staging), 프로덕션(production) 환경 전반에 걸쳐 환경이 재현 가능하고 감사 가능하도록 유지하십시오.