OWASP ACS v0.1 공개 — 제멋대로 권한 남용하는 AI 에이전트 통제법

최근 GPT-6 Astra나 Claude Fable 5.1처럼 스스로 컴퓨터를 조작하며 복잡한 업무를 처리하는 똑똑한 AI 에이전트들이 큰 주목을 받고 있습니다. 하지만 에이전트가 내 카드로 엉뚱한 결제를 하거나 중요한 데이터를 마음대로 삭제하는 사고를 치면 어떻게 해야 할까요? 실제로 보안 표준 기구인 OWASP는 최근 발표한 2026년 보안 위협 목록에서 이런 '과도한 권한 남용' 문제를 무려 3위로 격상했습니다. 고삐 풀린 에이전트를 안전하게 가두고 제어하기 위해 등장한 새로운 구원투수, 에이전트 통제 표준(ACS) v0.1이 무엇인지 핵심만 쉽고 재미있게 풀어 드립니다.

말을 안 들으면 멈춘다: ACS v0.1 핵심 메커니즘

과거에는 AI 에이전트가 돌발 행동을 하지 않기를 바라며 프롬프트를 다듬는 임시방편에 의존해야 했습니다. 에이전트에게 "이상한 명령은 실행하면 안 돼"라고 애원하는 일종의 말싸움에 가까웠던 셈입니다.

하지만 OWASP가 발표한 ACS v0.1은 기계가 즉시 읽고 강제할 수 있는 선언형 실행 제어 규칙을 제시합니다. 핵심은 에이전트가 행동하는 모든 길목에 두 개의 확실한 게이트키퍼를 배치하는 구조입니다.

첫째는 에이전트가 특정 도구를 호출하기 직전에 작동하는 도구 요청 훅(tool request hook)입니다. 둘째는 도구가 실행된 결과 데이터를 에이전트에게 전달하기 직전에 작동하는 도구 결과 훅(tool result hook)입니다. 이 두 훅을 거치면 검증되지 않은 외부 코드가 에이전트 내부로 유입되어 시스템을 통째로 장악하는 인젝션 공격을 원천 차단할 수 있습니다.

최근 도쿄에서 열린 MCPCon Japan에서는 이러한 보안 통제 장치를 실제 기업 인프라에 통합하는 실무 방안들이 공유되었습니다. 기존 기업들이 널리 사용하는 키클록(Keycloak)이나 오스(OAuth) 인증 체계를 에이전트 권한 관리와 연동하고, 리눅스 재단이 주도하는 오픈소스 에이전트 게이트웨이(agentgateway)를 데이터 영역의 중계 서버로 활용해 개발자가 에이전트 트래픽을 안전하게 통제하도록 돕는 흐름입니다.

다음 단계에서는 이 두 가지 런타임 훅이 실제로 어떻게 선언되어 작동하는지 직관적으로 보여주는 JSON 정책 스키마 예시를 상세히 설계해 살펴보겠습니다.

eBPF와 샌드박스: 가장 안전한 디지털 감옥 만들기

최근 도쿄에서 열린 MCPCon Japan에서는 이러한 안전 통제 규칙을 실제 운영 환경에 어떻게 적용할 것인지에 대한 구체적인 인프라 표준들이 논의되었습니다. 아무리 애플리케이션 수준에서 "위험한 행동을 하지 말라"고 규정해 두어도, 에이전트가 돌아가는 운영체제 자체를 격리하지 않으면 소용이 없기 때문입니다.

이에 개발자들은 가상 머신이나 컨테이너로 독립된 보안 샌드박스를 구축하고, 여기에 eBPF 기술을 결합하는 방안을 적극적으로 도입하고 있습니다. eBPF는 시스템의 가장 깊은 곳인 커널 수준에서 에이전트의 움직임을 실시간으로 감시하는 '초고속 보안 카메라' 역할을 합니다. 서버 성능에 거의 부담을 주지 않으면서도, 에이전트가 허가받지 않은 파일에 접근하거나 엉뚱한 외부 네트워크로 통신을 시도하는 순간 즉각 차단해 줍니다.

실제 기업용 시스템에 이를 연동하기 위한 오픈소스 생태계도 빠르게 자리를 잡고 있습니다. 리눅스 재단 산하의 에이전틱 AI 재단(AAIF)이 공유한 오픈소스 'agentgateway'는 에이전트의 네트워크 트래픽을 안전하게 통제해 주는 허브 역할을 합니다. 여기에 키클록(Keycloak)을 이용한 권한 관리나 오스(OAuth) 같은 검증된 사용자 인증 도구들을 결합하여, 개발자들이 기업 환경에서도 보안 걱정 없이 강력한 에이전트 시스템을 손쉽게 구축할 수 있도록 돕고 있습니다.

내가 쓰는 에이전트의 재료 성분표, AgBOM

마트에서 가공식품을 살 때 포장지 뒷면에 적힌 원재료명을 꼼꼼히 확인해 본 적 있으신가요? 알레르기를 유발하는 성분은 없는지, 몸에 해로운 첨가물이 들어있지는 않은지 확인하기 위해서입니다.

OWASP ACS v0.1이 도입한 에이전트 명세서(AgBOM)도 이와 똑같은 역할을 합니다. 우리가 사용할 에이전트가 어떤 소프트웨어 라이브러리에 의존하고 있고 어떤 도구를 사용할 수 있도록 허가받았는지 투명하게 적어둔 디지털 성분표인 셈입니다.

이 개념은 기존 소프트웨어 보안 분야의 업계 표준 포맷인 사이클론DX(CycloneDX)나 SPDX를 확장해 만들어졌습니다. 덕분에 기업 보안 담당자는 에이전트를 실무에 배포하기 전에 보안 취약점이 있는 라이브러리가 포함되지는 않았는지, 허가받지 않은 위험한 도구가 연결되지는 않았는지 시스템으로 빠르게 자동 검사할 수 있습니다.

만약 에이전트의 명세서를 아주 심플한 JSON 형태로 확인해 본다면 아래와 같은 구조가 됩니다.

{
  "bomFormat": "CycloneDX",
  "specVersion": "1.6",
  "component": {
    "name": "Customer-Support-Agent",
    "type": "application",
    "properties": [
      { "name": "ai:model", "value": "gpt-6-astra" },
      { "name": "ai:allowed_tools", "value": "read_db, send_email" }
    ]
  }
}

에이전트가 쓰는 기본 인프라와 도구 권한이 이처럼 명시되어 있으면 보안 관리가 훨씬 간결해집니다. 내가 쓰는 인공지능 비서가 어떤 재료로 만들어졌는지 명확히 파악하는 것, 이것이 바로 통제 가능한 에이전트 도입의 첫걸음입니다.

통제 가능한 자율성만이 신뢰를 얻습니다

에이전트 기술이 우리 일상과 업무 속에 자연스럽게 스며들려면 완벽한 통제력을 갖추는 것이 최우선 과제입니다. 제대로 제어되지 않는 자율성은 편리한 비서가 아니라 언제 터질지 모르는 사고로 이어질 수 있기 때문입니다.

이를 위해 보안 표준뿐만 아니라 실제 개발 환경을 지원하는 보안 인프라도 빠르게 진화하고 있습니다. 이미 업계에서는 키클록(Keycloak)과 같은 사용자 인증 솔루션이나 OAuth 표준 권한 체계를 에이전트 제어에 접목하기 시작했습니다. 여기에 리눅스 재단이 지원하는 '에이전트 게이트웨이(agentgateway)' 같은 오픈소스 프로젝트가 더해지면서, 개발자들은 비용 걱정 없이 안전하게 트래픽을 제어할 수 있는 실질적인 인프라를 구축할 수 있게 되었습니다.

제멋대로 권한을 남용하지 않는 안전한 AI 비서를 곁에 두고 싶다면, 이제 프롬프트 수정을 넘어 인프라 수준의 보안에 관심을 가질 때입니다. 안전한 울타리가 잘 마련되어야만 비로소 에이전트의 뛰어난 자율성도 빛을 발할 수 있습니다.