도입 속도 vs 통제 속도, 격차가 만드는 리스크
기업들이 AI 에이전트를 앞다투어 도입하는 동안, 이를 통제할 보안 체계는 그 속도를 따라가지 못하고 있습니다. 루브릭(Rubrik)의 연구조직 제로랩스(Zero Labs)가 IT·보안 책임자 1,600명 이상을 대상으로 진행한 조사에 따르면, 86%가 1년 안에 AI 에이전트가 자사 보안 가드레일을 넘어설 것이라고 답했습니다. 반면 조직 내에서 작동 중인 에이전트를 완전히 파악하고 있다고 답한 비율은 **23%**에 그쳤습니다.
이 격차 자체가 문제의 본질을 보여줍니다. 위협을 인지하는 비율(86%)과 실제 가시성을 확보한 비율(23%) 사이의 63%포인트 간극은, 기업들이 ‘위험하다는 것은 알지만 어디서 어떻게 위험한지는 모르는’ 상태로 AI 에이전트를 운영 중이라는 뜻입니다.
‘그림자 인력(Shadow Workforce)’이라는 새로운 개념
조사는 통제 밖에서 움직이는 AI 에이전트를 **비인간 신원(non-human identity)으로 구성된 ‘그림자 인력’**이라고 표현했습니다. 이는 기존 보안 업계에서 통용되던 ‘섀도우 IT(shadow IT)’ 개념의 연장선이지만, 결정적으로 다른 지점이 있습니다.
섀도우 IT는 통상 직원이 승인받지 않은 SaaS 툴을 몰래 쓰는 수준이었다면, 그림자 인력으로서의 AI 에이전트는 실제 의사결정을 내리고 핵심 데이터에 접근·조작하는 권한을 갖습니다. 문제는 이런 에이전트가 기업이 추적할 수 있는 속도보다 빠르게 늘어나고 있다는 점이며, 이는 곧 새로운 침해 경로가 통제되지 않은 채 계속 생성되고 있다는 의미이기도 합니다.
효율성의 역설: 자동화가 관리 부담을 늘리다
이번 조사에서 특히 주목할 결과는 AI 에이전트의 효용성 자체에 대한 의문입니다. 응답자의 80% 이상은 에이전트가 제공하는 효율성보다, 이를 감독하는 데 드는 수작업 부담이 더 크다고 답했습니다.
이는 자동화 기술 도입의 전형적인 역설을 보여줍니다. 업무를 줄이기 위해 도입한 기술이, 그 기술을 감시·검증·수습하는 새로운 업무를 만들어낸 셈입니다. 특히 에이전트가 자율적으로 여러 단계의 작업을 연쇄적으로 수행하는 구조이다 보니, 사람이 개입해 결과를 검증해야 하는 지점이 오히려 늘어난 것으로 해석할 수 있습니다.
‘되돌릴 수 없다’는 것의 진짜 의미
더 심각한 문제는 되돌리기(rollback) 불가능성입니다. 응답자의 88%는 시스템에 지장을 주지 않고 에이전트의 행동을 되돌릴 방법이 없다고 밝혔습니다.
전통적인 IT 시스템에서는 잘못된 배포나 설정 변경이 있어도 롤백, 스냅샷 복원, 트랜잭션 취소 같은 안전판이 존재합니다. 하지만 AI 에이전트가 이미 외부 API를 호출하거나, 이메일을 발송하거나, 데이터베이스에 쓰기 작업을 완료한 뒤에는 그 행동 자체를 되돌릴 방법이 마땅치 않습니다. 이는 에이전트의 오류가 단순한 ‘버그’가 아니라 **되돌릴 수 없는 실제 사건(irreversible incident)**으로 이어질 수 있다는 뜻입니다.
응답자의 거의 절반은 1년 안에 에이전트 기반 시스템이 공격의 대부분을 주도할 것으로 예상했으며, 조사는 이사회·경영진 차원에서 AI 전략을 복원력(resilience) 전략과 통합해야 한다고 결론지었습니다.
브로드컴의 진단: “신원 없는 두 번째 인력”
VMware Explore 2026에서 브로드컴(Broadcom) 신원관리보안부문 부사장 클레이턴 돈리(Clayton Donley)는 이 문제를 조직론 관점에서 짚었습니다. 기업들은 수십 년간 인간 직원을 위한 통제 체계(사번, 급여 시스템, 접근권한 인증 절차 등)를 정교하게 다져왔지만, 이제는 사번도 급여도 도덕적 판단 기준도 없는 두 번째 인력을 관리해야 하는 상황에 놓였다는 것입니다.
돈리가 든 사례는 이 공백을 명확히 보여줍니다. 사베인스-옥슬리법(SOX) 체제 아래에서는 직원의 접근권한을 정기적으로 감사·인증해야 했지만, “내 에이전트가 이런 접근권한을 갖고 있는지는 아무도 인증하지 않는다”는 것입니다. 이는 규제 준수(컴플라이언스) 관점에서 특히 중요한 지적입니다. 금융·의료 등 규제 산업에서는 인간 직원의 권한 관리에는 엄격한 감사 체계가 작동하지만, 동일한 권한을 가진 AI 에이전트에는 사실상 그런 체계가 부재한 상태이기 때문입니다.
위협의 방향이 바뀌고 있다
돈리는 흥미로운 변화도 언급했습니다. 초기에는 공격자가 AI 에이전트를 ‘무기화’해 기업을 공격하는 시나리오(예: 프롬프트 인젝션을 통한 악성 행위 유도)에 관심이 쏠렸지만, 최근에는 반대 방향의 위험, 즉 기업 자신의 에이전트가 어떤 인증이나 감사 체계 밖에서 움직이는 문제로 관심이 옮겨가고 있습니다.
이는 위협 모델의 중요한 전환입니다. 외부 공격자를 막는 전통적 경계 보안(perimeter security)만으로는 부족하며, 내부에서 자율적으로 행동하는 비인간 행위자를 어떻게 통제할 것인가가 새로운 과제로 떠올랐다는 뜻입니다.
해법: 신원(Identity) — 개입(Intervention) — 점검(Inspection)
브로드컴이 제시하는 프레임워크는 세 가지 핵심 원칙으로 요약됩니다.
- 신원(Identity): 에이전트를 익명의 프로세스가 아니라 추적 가능한 신원으로 다루기
- 개입(Intervention): 나쁜 일이 벌어지는 것을 실시간으로 차단할 수 있는 통제 지점 확보
- 점검(Inspection): 에이전트가 실제로 무엇을 했고 왜 그렇게 했는지 들여다볼 수 있는 관찰 가능성(observability)
기술적으로 흥미로운 점은, 브로드컴이 완전히 새로운 기술을 만드는 대신 수십 년간 분산 애플리케이션 추적(distributed tracing)에 써온 기술을 프롬프트와 툴 호출(tool call) 레벨에 적용하고 있다는 것입니다. 이는 마이크로서비스 환경에서 요청 흐름을 추적하던 옵저버빌리티(observability) 기법을, AI 에이전트의 의사결정 흐름을 추적하는 데 재활용하는 접근입니다.
실전 적용: 기존 인프라를 재구축하지 않고도 가능한 것
돈리가 강조한 대목은 실무적으로 유용합니다. 기업이 기존 AI 인프라를 처음부터 다시 짓지 않고도, 그 위에 통제 계층을 얹는 방식으로 시작할 수 있다는 것입니다.
- 1단계 (수동적 관찰): 트래픽을 지켜보고 에이전트를 식별. 비용이 거의 들지 않고 기존 시스템을 바꿀 필요도 없음
- 2단계 (중앙 통제 지점 확보): 정책을 적용할 수 있는 지점을 마련
- 3단계 (키 회수 및 재발급): 개별적으로 발급받은 클로드(Claude)·오픈AI(OpenAI) API 키를 회수하고, 회사가 중앙에서 발급한 키로 대체
특히 세 번째 단계는 실질적인 통제력을 확보하는 핵심 조치입니다. 개인이나 팀 단위로 산발적으로 발급된 API 키를 그대로 두면, 어떤 앱이 어떤 권한으로 어떤 데이터에 접근하는지 조직 차원에서 파악할 수 없습니다. 중앙 발급 키 체계로 전환하면 최소한 ‘누가, 어떤 키로, 무엇을 했는지’를 추적할 수 있는 최소한의 기반이 마련됩니다.
정리
- 현황: 보안 책임자 86%가 위협을 인지하지만, 실제 가시성 확보는 23%에 불과 — 인지와 통제 사이의 심각한 격차
- 핵심 리스크: 되돌릴 수 없는 에이전트 행동(88%), 효율성보다 큰 감독 부담(80%+)
- 본질적 문제: AI 에이전트는 실질적 권한을 가진 ‘두 번째 인력’이지만, 인간 직원 수준의 신원·감사 체계가 부재
- 해법 방향: 신원-개입-점검 3원칙을 기존 인프라 위에 점진적으로 얹는 방식, 중앙 집중식 API 키 관리부터 시작
AI 에이전트 도입이 ‘얼마나 빠르게’의 문제였다면, 이제는 ‘얼마나 안전하게 통제하며’의 문제로 무게중심이 옮겨가고 있습니다.