수년 동안 제로 트러스트 (Zero Trust) 아키텍처는 한 가지 가정하에 설계되었습니다:
인간이 의사결정을 내린다.

그 가정이 무너지고 있습니다.

자율적인 AI 에이전트는 이제 인간의 직접적인 개입 없이도 데이터베이스를 조회하고, 워크플로 (workflows)를 트리거하며, API를 호출하고, 다른 시스템과 상호작용할 수 있습니다. 현대의 AI 시스템은 더 이상 단순히 텍스트를 생성하는 데 그치지 않습니다. 이들은 기업 환경 내부에서 동작을 실행합니다.

AI 에이전트가 사용자를 대신하여 클라우드 인프라 내부에서 작동할 수 있게 되면, 그 에이전트의 정체성 (identity)은 그 어떤 인간의 정체성만큼이나 중요해집니다.

그리고 이는 보안 모델을 근본적으로 변화시킵니다.

도구 호출 (Tool Calling)의 부상

Amazon Bedrock Agents와 같은 플랫폼은 기업용 AI의 아키텍처를 변화시켰습니다.

이러한 시스템은 이제 사용자의 요청을 해석하고, 어떤 도구가 필요한지 결정하며, Lambda 함수, API, 데이터베이스 및 외부 서비스를 통해 백엔드 작업을 자율적으로 실행할 수 있습니다.

단순한 프롬프트 (prompt) 하나가 전체 액션 체인을 트리거할 수 있습니다.

워크플로 예시
사용자 프롬프트:
"지난 30일 동안의 고객 불만 사항을 요약해줘."

에이전트 동작:

• CRM 데이터베이스 조회
• 분석 API 호출
• 지원 티켓 데이터 추출
• 보고서 생성

생산성 측면에서는 강력합니다.
하지만 적절히 보안되지 않는다면 극도로 위험합니다.

새로운 공격 표면 (Attack Surface)

단 한 번의 성공적인 프롬프트 인젝션 (prompt injection)만으로도 에이전트의 동작을 완전히 하이재킹 (hijack)할 수 있습니다. 권한이 지나치게 광범위할 경우, 공격자는 에이전트가 다음과 같은 행위를 하도록 강제할 수 있습니다:

• 민감한 고객 데이터에 접근
• 승인되지 않은 API 호출 실행
• 기록 수정
• 권한이 높은 백엔드 워크플로 트리거

이러한 위험은 멀티 에이전트 시스템 (multi-agent systems)에서 더욱 악화됩니다. 고객 접점 에이전트가 침해되면, 높은 권한을 가진 백엔드 에이전트에게 악성 명령을 전달할 수 있기 때문입니다.

전통적인 네트워크 경계와 보안 도구들은 종종 이를 완전히 놓치곤 합니다. 트래픽이 신뢰할 수 있는 내부 서비스로부터 발생하기 때문입니다.

전통적인 제로 트러스트가 부족한 이유

기존의 제로 트러스트 (Zero Trust)는 인간의 행동과 비교적 예측 가능한 액세스 패턴을 위해 설계되었습니다. AI 에이전트는 다르게 작동합니다:

• 자율적으로, 그리고 머신 스피드 (machine speed)로 동작합니다.
• 실시간 인간 검증 없이 의사결정을 내립니다.
• 다른 에이전트들과 빈번하게 통신합니다.

이제 보안 시스템은 훨씬 더 어려운 질문에 답해야 합니다:

• 이 동작이 이 특정 에이전트에게 합리적인가?
• 이 요청이 의도된 역할과 일치하는가?
• 이 AI 간 (AI-to-AI) 상호작용이 정당한가?
• 행동이 정상적인 패턴에서 벗어나는가?

인증 (Authentication)만으로는 더 이상 충분하지 않습니다.

AI 에이전트를 실제로 보호하는 방법

AI 에이전트를 일반적인 IAM 사용자와 동일하게 취급하는 것만으로는 부족합니다. 보안은 아키텍처에 직접 설계되어야 합니다.

단기 자격 증명 (Short-Lived Credentials)만 사용

모든 에이전트 실행은 AWS STS를 통해 임시 자격 증명을 받아야 합니다. 장기 자격 증명 (Long-lived credentials)은 지속적인 공격 경로를 생성합니다.

진정한 최소 권한 원칙 (Least Privilege) 적용

각 에이전트는 엄격하게 범위가 지정된 권한을 가진 전용 IAM 역할 (IAM role)을 가져야 합니다. 즉, 에이전트가 필요로 하는 정확한 Lambda 함수, API, 데이터베이스에 대해서만 권한을 부여해야 합니다.

정적 API 키 (Static API Keys) 제거

AI 워크플로우에 하드코딩된 자격 증명이 존재해서는 안 됩니다. 워크로드 ID 페더레이션 (Workload Identity Federation)과 OIDC를 사용하여 에이전트가 동적으로 임시 역할을 맡을 수 있도록 하세요.

에이전트 워크플로우를 공격적으로 격리

침해 사고의 영향 범위 (blast radius)를 제한하기 위해 에이전트를 별도의 VPC 또는 계정에서 실행하세요. 자율 환경에서는 마이크로 세그멘테이션 (Micro-segmentation)이 매우 중요합니다.

에이전트 행동을 지속적으로 모니터링

CloudTrail, GuardDuty 및 행동 분석 (behavioral analytics)을 사용하여 도구 사용, 권한 상승 (privilege escalation), 에이전트 간 통신에서의 이상 징후를 탐지하세요.

ID 보안의 새로운 현실

머신 ID (Machine identities)는 기하급수적으로 증가하고 있습니다. 클라우드 보안의 미래는 더 이상 단순히 직원을 보호하는 것에 그치지 않습니다. 머신 스피드로 작동하는 자율 시스템을 거버넌스 (governing)하는 것에 관한 것입니다.

성공하는 조직은 AI 에이전트를 동적 권한 부여 (dynamic authorization), 엄격한 격리 (strict isolation), 지속적인 검증 (continuous verification), 그리고 실시간 행동 모니터링 (real-time behavioral monitoring)을 갖춘 일급 시민 신원 (first-class identities)으로 취급할 것입니다.

만약 우리가 이러한 시스템에 제로 트러스트 (Zero Trust)를 확장하는 데 실패한다면, 우리는 보안을 현대화하는 것이 아닙니다.
우리는 단지 우리 자신의 취약점을 자동화하고 있는 것뿐입니다.

자율 AI (autonomous AI) 시대에는, 설령 그 신원이 인간이 아닐지라도 신원 (identity)이 새로운 경계 (perimeter)입니다.

출처 및 추가 읽기:

• AWS Security Blog: Securing Generative AI Architectures

• OWASP Top 10 for Large Language Model Applications

• NIST Artificial Intelligence Risk Management Framework