에이전틱 AI란
기존 챗봇이 “질문 → 답변” 한 턴으로 끝났다면, 에이전틱 AI는 스스로 계획을 세우고, 여러 도구(파일, DB, API, 브라우저)를 순차적으로 호출하며 다단계 작업을 수행한다. 보안 관점에서 이건 “말만 하던 애가 이제 실제로 행동한다”는 의미라서 위험도가 질적으로 달라진다.
MCP(Model Context Protocol)란
MCP는 LLM이 외부 도구·데이터 소스에 연결하는 방식을 표준화한 개방형 프로토콜이다. 흔히 “AI용 USB-C”라고 비유한다 — 도구마다 커스텀 연동을 만드는 대신 표준 인터페이스 하나로 다양한 서버(파일시스템, 이메일, 사내 시스템 등)에 붙을 수 있게 한다.
[호스트(AI 앱)] — [MCP 클라이언트] — [MCP 서버 (도구/데이터 제공자)]
이 표준화가 개발 생산성은 크게 높였지만, 동시에 “검증 안 된 외부 서버를 AI 에이전트에 붙이는” 새로운 공급망 리스크를 만들었다.
주요 공격 벡터
| 공격 유형 | 설명 |
|---|---|
| 컨퓨즈드 디퓨티(Confused Deputy) | 정상 권한을 가진 에이전트를 속여 원래 권한 범위를 넘는 작업을 대신 수행하게 함 |
| 토큰 패스스루(Token Passthrough) | 인증 토큰이 검증 없이 여러 서버를 그대로 통과해 권한 경계가 무너짐 |
| 툴 포이즈닝(Tool Poisoning) | 도구 설명(description)에 악성 지시를 숨겨, 에이전트가 그 설명을 읽는 순간 조작됨 |
| 러그풀(Rug Pull) 업데이트 | 처음엔 정상 동작하던 MCP 서버 패키지가 이후 업데이트로 악성 동작(예: 에이전트가 보낸 메일을 몰래 공격자에게 참조 전송)을 슬쩍 추가 |
| SSRF (도구 커넥터 경유) | 도구가 임의 URL을 호출할 수 있는 점을 악용해 내부망 접근 |
| 불량 서버 등록 | 공개 레지스트리의 검증 체계가 약해 악의적/탈취된 서버가 정상 서버처럼 등록됨 |
핵심 포인트
MCP 서버는 사실상 “제3자 코드를 내 AI 에이전트 권한으로 실행시키는 것”과 같다. 오픈소스 의존성 공급망 공격(예: npm 패키지 오염)과 본질이 같은 문제이고, 여기에 “에이전트가 자율적으로 도구를 선택·실행한다”는 특성이 더해져 위험이 커진다.
대응 방향
- 인증: OAuth 2.1 기반 토큰 교환으로 각 서버·세션마다 범위(scope)가 제한된 토큰 발급 (토큰 패스스루 방지)
- 서버 신뢰 검증: 서버 화이트리스트, 서명·해시 기반 무결성 검증(attestation), 업데이트 시 재검증
- 최소 권한: 에이전트가 필요한 도구·데이터 범위만 접근하도록 권한 스코프를 세분화
- 실행 격리: 도구 실행을 샌드박스에서 처리해 실패해도 폭발 반경을 제한
- 사람 승인 게이트: 되돌릴 수 없는 작업(삭제, 결제, 외부 전송)은 자동 실행 금지, 승인 단계 삽입
- 모니터링: 도구 호출 로그를 별도로 남기고 이상 패턴(비정상적으로 많은 파일 접근 등) 탐지
면접에서 나올 법한 질문
- MCP가 왜 새로운 보안 문제를 만드는지 설명해보라
- 에이전트에게 도구 권한을 부여할 때 어떤 원칙으로 설계할 것인가
- 오픈소스 공급망 공격과 MCP 서버 리스크의 공통점은 무엇인가
Sources: