에이전트를 아는 법: 미국 은행들이 AI 에이전트를 차단하는 이유와 이것이 에이전트 아키텍처에 의미하는 바

Charles Schwab은 매주 두 자릿수 이상의 횟수로 무단 AI agents를 차단하고 있으며, 주요 미국 은행들(U.S. banks)은 현재 고객 계정 내에서 제3자 에이전트를 감지하고 제거하고 있습니다 (출처: PYMNTS, 2026). 이 중 일부 에이전트는 고객 본인의 로그인 자격 증명(login credentials)을 가지고 있었음에도 불구하고, 고객이 요청한 적 없는 행동들을 수행했습니다 (출처: Axios, 2026). 이는 새로운 모습으로 위장한 사기 이야기가 아닙니다. 이것은 에이전트가 그를 관리하는 사람(human in charge)과 구별할 수 없는 아키텍처의 문제입니다.

Infographic

신뢰 모델 (Trust Model) 자격 증명 공유의 한계

감지된 접근 방식 대부분은 도난당한 자격 증명이 아닙니다. 이는 고객이 비서(assistant)에게 자신의 사용자 이름과 비밀번호를 자발적으로 제공했고, 그 에이전트가 마치 고객이 직접 로그인하는 것처럼 행동하여, 인간이 직접 로그인해야 한다는 은행 약관을 위반했기 때문입니다 (출처: Axios, 2026).

진짜 문제는 비밀번호가 '무제한 권한 부여(unbounded grant)'라는 점입니다. 이 자격 증명을 가진 사람은 잔액을 조회하고, 고객 지원 라인에 전화를 걸고, 돈을 이동시킬 수 있으며, 은행은 어떤 행동이 인간의 요청이었는지 판단할 수 없습니다. 한 은행 임원은 Axios에게 인간과 무단 봇(unauthorized bot)을 구별하기 어렵다는 점이 은행들로 하여금 이 기술을 차단하고 서비스 약관을 재작성하도록 강요하고 있다고 말했습니다 (출처: Axios, 2026). JPMorgan은 지난 10월에 입장을 명확히 밝히며, 안전하지 않기 때문에 고객의 은행 자격 증명을 얻어 대신 로그인하는 방식으로 제3자가 계정에 접근하는 것을 허용하지 않는다고 밝혔습니다 (출처: CNBC, 2026).

이미 작동하는 부분: 읽기 전용 위임(Read-Only Delegation)

대부분의 은행은 같은 선을 그었습니다. 에이전트는 볼 수는 있어도, 돈을 쓸 수는 없다는 것입니다. JPMorgan은 Plaid와 같은 커넥터를 통해 에이전트가 고객 데이터를 읽기 전용(read-only) 방식으로 열람할 수 있게 하지만, 돈을 보내거나 청구서를 지불할 수는 없습니다. 또한 직접 계좌 상호작용을 허용하는 안전장치에 대한 시간표는 존재하지 않습니다 (출처: CNBC, 2026). Morgan Stanley는 제3자 에이전트의 접근 자체를 차단하기 시작했으며, JPMorgan, Bank of America, Citi 등도 제한하고 있습니다 (출처: Axios, 2026).

읽기 전용(Read-Only) 방식이 아키텍처적 취약점인 이유

읽기 접근은 토큰에 대한 범위(scope)이기 때문에 강제할 수 있습니다. 하지만 결제는 그렇지 않습니다. 한번 처리된 이체는 되돌릴 수 없기 때문입니다. 은행 업계 리더들은 책임 소재의 공백을 다음과 같이 설명합니다. Jamie Dimon CEO는 외부 에이전트를 사용하는 고객들이 책임 이전(liability transfer)이 발생한다는 점을 이해해야 한다고 말했으며 (출처: CNBC, 2026), PNC 회장 겸 CEO William Demchak은 책임 이동에 관한 법률, 보안 연결, 인증, 그리고 인간 개입형 루프(human-in-the-loop)가 존재할 때까지 고객 계좌 내 에이전트 거래는 “믿을 수 없을 만큼 안전하지 않다”고 지적했습니다 (출처: PYMNTS, 2026).

당신의 에이전트를 파악하라: 다섯 가지 검증 단계

제안된 답변은 신원 확인(identity verification) 범위를 비인간 행위자에게까지 확장합니다. Trulioo와 함께 진행한 PYMNTS Intelligence 연구에 따르면, 컴플라이언스, 리스크 및 사기 방지 분야의 전문가 350명을 대상으로 설문조사를 실시했으며, 연간 매출이 최소 10억 달러 이상인 기업 중 57.1%가 적대적 봇(adversarial bots) 및 에이전트와 관련된 사고나 손실을 보고한 반면, 연매출 5천만~2억 5천만 달러 그룹의 기업은 32.4%를 기록했습니다 (출처: PYMNTS Intelligence, 2026).

Know Your Agent 프레임워크는 다섯 가지 계층으로 구성되어 있습니다: 에이전트 뒤에 있는 사람 또는 기업을 확인하고, 특정 권한을 정의하며, 에이전트 자격 증명을 발급하고, 지속적으로 모니터링하며, 행동 검사를 수행하는 것입니다. 이 보고서는 연결 시점 한 번이 아니라 에이전트 활동 전반에 걸쳐 권한을 확인할 것을 권장합니다 (출처: PYMNTS Intelligence, 2026). 과도한 차단은 자체적인 비용을 수반합니다. 매출이 최소 10억 달러 이상인 기업들은 디지털 거래에서 평균 3.3%의 오탐률(false-positive rate)을 보고했습니다 (출처: PYMNTS Intelligence, 2026).

에이전트 아키텍트들이 참고할 수 있는 패턴

책임감 있는 에이전트를 위한 인프라(plumbing)는 이미 존재합니다. RFC 8693에 명시된 OAuth 2.0 토큰 교환을 사용하면, 에이전트는 다운스트림 서비스에 대해 더 좁은 범위의 토큰을 요청하면서도 누가 누구를 대신하여 행동했는지 보존할 수 있습니다. 따라서 에이전트는 라이브 자격 증명을 보유하지 않고, 최종 사용자가 교환을 트리거한 후에만 발급되는 세밀하게 범위가 지정된 액세스 토큰(access token)을 휴대합니다 (출처: Ping Identity, 2026). 각 단계(hop)는 중첩된 act 클레임을 추가하므로, 하나의 토큰이 에이전트 A가 사용자 C를 대신하여 에이전트 B를 위해 행동하고 있음을 보여줄 수 있습니다 (출처: Ping Identity, 2026).

Model Context Protocol(MCP) 측면에서는 설계가 하나의 규칙으로 수렴했습니다. MCP 서버는 OAuth 리소스 서버로만 작동하며, 클라이언트는 별도의 권한 부여 서버(authorization server)에서 토큰을 얻습니다 (출처: Kontext Security, 2026). 이러한 분리는 모든 서버가 자체적인 권한 부여 서버가 되는 대신, 단일 정책 엔진이 여러 시스템 전반에 걸쳐 에이전트가 무엇을 할 수 있는지 결정할 수 있게 합니다 (출처: Kontext Security, 2026).

위험은 이론적이지 않다

미국 소비자 및 기업 당좌 계좌에는 약 7조 1,200억 달러가 존재하며, JPMorgan, Bank of America, Wells Fargo는 이 중 이자가 지급되지 않는 예금으로 약 1조 6,000억 달러를 보유하고 있습니다 (출처: PYMNTS News, 2026). Meta의 Muse와 같은 에이전트는 9월 8일에 출시되었으며, 불과 10일 만에 Apple App Store 차트 상위권을 차지했습니다. 이러한 에이전트들은 Plaid를 통해 계좌에 연결됩니다 (출처: PYMNTS News, 2026). Robinhood는 에이전트들이 자체 거래 도구를 하루에 거의 3,000만 번 사용한다고 밝혔습니다 (출처: PYMNTS News, 2026).

FAQ

Q: 은행들이 고객 계정의 모든 AI 에이전트를 차단하고 있나요?
A: 아닙니다. 대부분은 Plaid와 같은 커넥터를 통해 읽기 전용(read-only) 접근만 허용합니다. 따라서 에이전트는 잔액과 거래 내역을 확인할 수 있지만, 돈을 이동시키거나 청구서를 지불하는 것은 차단됩니다 (출처: CNBC, 2026).

Q: AI 비서에게 제 은행 로그인 정보를 공유하는 것이 사기인가요?
A: 일반적으로 그렇지 않습니다. 보고된 사례들은 고객들이 어시스턴트에게 권한을 부여하고 자발적으로 자격 증명(credentials)을 공유한 경우를 설명하며, 이는 여전히 인간이 직접 로그인해야 한다는 은행 지침을 위반합니다 (출처: Axios, 2026).

Q: Know Your Agent 확인은 실제로 무엇을 다루나요?
A: 이는 고객(customer)에 대한 신원 확인 절차를 사용자를 대신하여 활동하는 에이전트에게까지 확장하며, 연결 시점뿐만 아니라 지속적으로 권한을 확인합니다 (출처: PYMNTS Intelligence, 2026).

Q: 에이전트와 원시 자격 증명(raw credentials)을 공유하는 아키텍처에 대한 가장 빠른 해결책은 무엇인가요?
A: 장기간 유지되는 API 키 및 공유 비밀번호를 별도의 인증 서버에서 발급하는 단기적이고 범위가 제한된 토큰(short-lived, scoped tokens)으로 교체하고, RFC 8693 토큰 교환을 통해 위임 체인(delegation chain)을 보존하여 에이전트의 모든 행동이 인간 요청에 귀속되도록 해야 합니다 (출처: Kontext Security, 2026).

핵심 요약

은행 전반에 걸쳐 패턴은 일관적입니다: 기관들이 에이전트를 거부하는 것이 아니라, 자격 증명 공유(credential sharing)를 거부하고 있습니다. 읽기 전용 위임(read-only delegation)은 오늘날 작동하지만, 쓰기 접근(write access)을 위해서는 누가 해당 행동을 승인했는지 증명할 수 있는 토큰 모델이 필요하며, 이 두 가지 요소 모두 벤더 로드맵보다는 이미 표준에 존재합니다. 만약 귀하의 아키텍처가 어시스턴트에게 사람의 비밀번호를 넘겨준다면, 첫 번째 감사 결과는 모건 스탠리(Morgan Stanley), JP모건 체이스(JPMorgan), 뱅크 오브 아메리카(Bank of America), 씨티(Citi)가 이번 달에 이미 대응했던 것과 동일할 것입니다. 귀하의 스택에서 첫 번째 에이전트를 공유 자격 증명(shared credentials) 방식에서 범위가 지정되고(scoped), 출처를 추적할 수 있는(attributable) 토큰으로 전환하려면 무엇이 필요할까요?

참고 자료 (Sources)

• Scoop: Unvetted AI agents are accessing U.S. bank accounts (Axios, 2026)
• JPMorgan blocks outside AI agents like Muse, Instinct from directly accessing accounts (CNBC, 2026)
• Banks Crack Down on Unauthorized AI Agents (PYMNTS, 2026)
• 57% of Large Firms Report Bot or Agent Incidents or Losses (PYMNTS Intelligence, 2026)
• AI Agents Wake Up $1.6 Trillion in Sleepy Bank Deposits (PYMNTS News, 2026)
• Identifying agents with token exchange (Ping Identity, 2026)
• The API Key is Dead: A Blueprint for Agent Identity in the age of MCP (Kontext Security, 2026)