Hacker News에서 추천 2개와 댓글 0개라는 것은 중요성의 신호가 아닙니다. 그것은 대부분의 사람들이 이것이 왜 중요한지 아직 파악하지 못했다는 신호입니다. AgentHound는 아직 아무도 이야기하고 있지 않더라도 여러분에게 중요해야 합니다.

문맥 (Context)

BloodHound는 레드팀(red teamers)이 Active Directory를 생각하는 방식을 바꾸어 놓았습니다. 그것은 새로운 취약점을 찾아냈다기보다는 기존의 공격 경로를 가시화하고 반복 가능하게 만들었으며, 아무도 수동으로 열거하고 싶어 하지 않았던 관계들을 그래프로 그려냈고, "이론적으로 악용 가능한" 상태를 "여기에 정확한 체인이 있으니, 실행하십시오"라는 상태로 바꾸어 놓았습니다. AD가 더 취약해졌기 때문이 아니라, 복잡성이 마침내 인간이 머릿속으로 추적할 수 있는 범위를 넘어섰기 때문에 그것은 필수적인 도구가 되었습니다.

AgentHound는 에이전트형 AI (agentic AI) 인프라를 대상으로 동일한 움직임을 취하고 있습니다. MCP 서버, A2A 프로토콜, 게이트웨이, 에이전트 클라이언트 등 지난 18개월 동안 엄청난 속도로 결합되어 온 모든 배관(plumbing)들이 대상입니다. 정찰 (Recon), 자격 증명 수집 (credential harvesting), 모델 인버전 (model inversion), 도구 및 지시문 오염 (tool and instruction poisoning). 이것은 연구 논문 한 편 정도의 이론적인 공격 표면 (attack surface)이 아닙니다. 그것을 찾는 것을 자동화하기 위해 구축된 도구입니다.

새로운 아키텍처 패러다임이 성숙해가는 과정을 지켜본 사람이라면 이 패턴이 익숙할 것입니다: 빠르게 구축하고, 모든 것을 연결하고, 보안 그래프 (security graph)는 나중에 걱정하십시오. AD도 이 과정을 거쳤습니다. Cloud IAM도 이 과정을 거쳤습니다. 이제 에이전트 인프라의 차례이며, 에이전트 스택이 첫날부터 운영 데이터 및 실행 시스템에 직접 연결되고 있기 때문에 그 "나중"은 평소보다 더 빨리 찾아왔습니다.

하이프 체크 (Hype Check)

과장된 부분: 이것을 마치 모든 것을 버려야 하는 이국적인 신규 분야인 'AI 보안'이라고 부르는 것입니다. 그렇지 않습니다. 자격 증명 수집(Credential harvesting)은 여전히 자격 증명 수집입니다. 도구 오염(Tool poisoning)은 단순히 공급망 및 입력 유효성 검사 문제에 새로운 옷을 입힌 것일 뿐입니다. MCP와 A2A 계층은 확실히 새로운 프로토콜이지만, 근본적인 실패 모드(신뢰 경계, 과도하게 권한이 부여된 서비스 계정, 신뢰할 수 있는 지침으로 처리되는 미검증 입력)는 우리가 '에이전트'라는 단어가 보험을 판매하는 사람 외의 다른 것을 의미하기 전부터 싸워온 것들과 동일합니다.

과소평가된 부분: 에이전트들을 연결(chain)했을 때 폭발 반경(blast radius)이 얼마나 빠르게 커지는지입니다. 잘못 구성된 AD 환경은 공격자가 도메인 관리자 권한으로 상승할 수 있게 합니다. 잘못 구성된 에이전트 스택은 공격자가 AI 시스템이 사실이라고 믿는 것을 조작하거나, 호출하는 도구를 오염시키거나, 역변환(inversion)을 통해 모델의 훈련 데이터를 추출하게 할 수 있으며, 그 손상된 출력이 인간의 검토 과정 없이 다운스트림의 다른 에이전트에 소비되게 합니다. 에이전트 인프라를 가치 있게 만드는 자동화가 바로 인해 연결고리가 사람보다 빠르게 전파되도록 만듭니다.

'혁명적인 신규 위협'이라는 틀에서 이익을 얻는 사람은? 솔직히 말해서 대부분 아무도 없습니다. 왜냐하면 지금은 이것을 중심으로 구축된 벤더 생태계 자체가 거의 없기 때문입니다. 사실 그 점이 상쾌합니다. 이것은 누군가 판매할 위협 카테고리가 필요해서 만들어진 것이 아니라, 간극(gap)이 명확했기 때문에 만들어진 도구입니다.

시사점 (Implications)

만약 지금 MCP나 A2A를 기반으로 구축하고 있다면, AD 관리자들이 BloodHound와 그에 대응하여 약 10년 동안 쌓아온 블루팀(blue-team) 도구 세트만큼 성숙한 공격 경로 열거(attack path enumeration) 도구 생태계가 없습니다. 당신은 초기 단계입니다. 이는 공격 표면이 단지 과장된 것이 아니라, 실제로 매핑되지 않은 영역이라는 것을 의미합니다.

보안 팀에게 있어 실질적인 교훈은 지루하지만 사실입니다: 에이전트 인프라(agent infrastructure)는 다른 새로운 신원(identity) 및 신뢰 경계(trust boundary)에 적용하는 것과 동일한 엄격함이 필요합니다. 도구 접근에 대한 최소 권한(Least privilege) 원칙을 적용해야 합니다. 모든 단계(hop)에서 명령(instructions)과 입력값(inputs)을 검증해야 합니다. 사용자 입력이 적대적이라고 가정하는 것과 마찬가지로, 모델의 출력값(model outputs) 또한 별도로 증명되기 전까지는 공격자의 영향을 받은 것으로 간주해야 합니다.

에이전트 프레임워크(agent frameworks)를 출시하는 개발자들에게 불편한 부분은 "빠르게 움직이기(move fast)"와 "신뢰 경계 매핑하기(map your trust boundaries)"가 직접적으로 충돌하고 있으며, 현재 업계는 속도를 선택하고 있다는 점입니다. 방어용 도구(defensive tooling)가 성숙하기 전에 레드팀(red-team) 도구가 등장하는 것은 보통 전체 생태계가 앞서가는 것이 아니라 뒤처져 있다는 신호입니다.

미결 과제 (Open Question)

BloodHound가 등장했을 때, 방어 측면(계층화 모델(tiering models), 공격 경로 모니터링(attack path monitoring), 자격 증명 위생 도구(credential hygiene tooling))이 공격 측면이 이미 사소하게 수행할 수 있었던 수준을 따라잡는 데는 수년이 걸렸습니다. 우리는 에이전트 인프라에서도 동일한 격차가 벌어지도록 방치할 것인가요, 아니면 이번에는 공격 도구가 앞서 나가기 전에 누군가가 실제로 그에 상응하는 방어 도구를 구축하고 있나요?

— Cor, Skyblue Soft

출처 (Sources)

• Agenthound – AI 에이전트 인프라를 위한 공격적 보안 프레임워크 (Offensive security framework for AI agent infrastructure)