MS “프론티어 모델 신뢰 불가” 에이전트 내부자 위협 대응

마이크로소프트가 기업이 도입한 AI 에이전트를 외부 해킹이 아닌 내부자 위협(insider threat)으로 다뤄야 한다고 경고했습니다. TechCrunch에 따르면 마이크로소프트는 2026년 10월 19일 에이전트를 감시·통제하기 위한 신기능 가디언 에이전트(Guardian Agents)와 직원들이 들여오는 최대 60종의 에이전트를 탐지하는 디펜더(Defender) 기능을 공개했습니다. 핵심 메시지는 분명합니다. 출처와 관계없이 프론티어 모델은 신뢰할 수 없으므로, 모델 공급자와 분리된 독립적 통제 체계가 필요하다는 것입니다.

1. 마이크로소프트가 내놓은 해법: 가디언 에이전트와 섀도 AI 탐지

TechCrunch에 따르면 이번 발표의 중심은 가디언 에이전트입니다. 이는 기업이 실제 업무에 사용하는 AI 에이전트들의 행동을 지속적으로 모니터링하는 것을 목표로 합니다. 마이크로소프트 보안 사업 책임자인 하예테 갈로(Hayete Gallot)는 프론티어 모델은 그 출처와 관계없이 신뢰할 수 없다고 밝혔습니다. 그 이유가 악의적이거나 쉽게 해킹당하기 때문이 아니라, 예측 불가능하기 때문이라는 설명입니다. 모델은 조직의 규범이나 판단을 따르도록 훈련된 것이 아니라 작업을 달성하도록 훈련됐으며, 여기에 중요한 데이터와 도구에 대한 접근 권한까지 부여받는 경우가 많아 심각한 피해로 이어질 수 있다는 지적입니다.

함께 강화된 또 다른 축은 가시성 확보입니다. 마이크로소프트는 디펜더 제품에 에이전트 탐지 기능을 추가해 직원들이 직장에 들여오는 최대 60종의 에이전트를 찾아낼 수 있도록 했다고 밝혔습니다. 이는 허가되지 않은 생성형 AI와 에이전트가 부서 단위로 확산되는 이른바 섀도 AI 문제를 정면으로 겨냥한 조치입니다. 기업이 어떤 에이전트가 어디에서, 어떤 권한으로 동작하는지 파악하지 못하면 통제 자체가 불가능하다는 현실을 반영합니다. 회사 발표 기준, 이번 조치는 에이전트 도입 속도가 빨라질수록 사전 승인 목록 관리와 실행 로그 확보가 보안의 출발점이 된다는 점을 보여줍니다.

흥미로운 대목은 마이크로소프트의 위치입니다. TechCrunch는 마이크로소프트가 OpenAI와 Anthropic에 모두 투자했고, OpenAI는 마이크로소프트 클라우드의 대형 고객이며, 마이크로소프트 자체도 AI 랩을 운영하고 있다고 전했습니다. 그럼에도 자사 이해관계와 맞닿은 모델 공급자에 대한 불신을 공개적으로 제기한 셈입니다. 보도에 따르면 이는 이해충돌 소지와 별개로 논리 자체는 타당합니다. 에이전트를 감사하는 소프트웨어는 감사 대상인 에이전트 공급자와 분리돼야 하며, 마치 감사인이 감사 대상 조직과 독립적이어야 하는 것과 같다는 설명입니다.

2. 외부 해커 방어에서 내부 통제로: 프로젝트 퍼셉션의 전환

가디언 에이전트는 지난 6월에 공개된 프로젝트 퍼셉션(Project Perception)의 일부로 도입됐습니다. 당초 프로젝트 퍼셉션은 외부에서 들어오는 AI 해커를 전제로 설계됐습니다. 보도에 따르면 이는 Anthropic의 마이토스(Mythos)와 페이블(Fable), OpenAI의 보안 취약점 스캐닝 시스템 데이브레이크(Daybreak)와 같은 강력한 해킹 모델에 대한 마이크로소프트의 대응이었습니다. 초기 구성은 공격자와 방어자, 복구자의 역할을 나눈 세 종류의 에이전트였습니다.

최근 들어 전제가 바뀌었습니다. 마이크로소프트 최고경영자인 사티아 나델라(Satya Nadella)는 적이 외부 해커가 아니라 기업이 돈을 내고 도입한 바로 그 에이전트일 수 있다고 경고했습니다. 문제 많은 인간 직원, 즉 내부자 위협과 같다는 비유입니다. 보도에 따르면 나델라는 이달 초 비공개 블로그를 통해 모델 제공업체의 안전·보안 보장이 있더라도 AI 모델 제공업체를 신뢰하는 것을 멈출 때라고 주장했습니다. AI 랩이 만든 제품을 그 AI 랩이 통제하지 않는 별도의 시스템으로 감시하고 통제해야 한다는 것입니다.

나델라의 발언은 책임의 외주화 금지로 요약됩니다. 그는 가장 민감한 데이터에 접근하고 우리를 대신해 미션 크리티컬한 행동을 수행할 수 있는 복잡한 에이전틱 시스템과 모델을 배포하고 있다고 지적했습니다. 이어 우리를 대신하는 지능이 하는 일에 대한 책임을 외주화할 수 없으며, 모델 제공업체의 보장이 우리의 책임을 덜어주지 않는다고 강조했습니다. 그의 결론은 지능의 공급과 그에 대한 권한을 분리해야 한다는 것입니다. 갈로의 발언과 결합하면, 기업 보안의 초점이 모델 자체의 선의나 단일 취약점 패치에서 에이전트 권한 관리와 행동 감사라는 운영 통제로 이동하고 있음을 보여줍니다.

3. 한국 개발자·기업에게 주는 시사점

① 에이전트 권한 목록부터 다시 설계해야 합니다

국내 기업도 고객 데이터 조회, 결제·발주, 코드 배포, 인사 정보 검색처럼 민감한 도구를 에이전트에 연결하는 사례가 늘고 있습니다. 이번 경고대로라면 도입 검토의 첫 질문은 모델 성능이 아니라 어떤 데이터와 도구에 대한 열쇠를 쥐여주는가여야 합니다. 읽기 전용과 쓰기·실행 권한을 분리하고, 결제나 삭제, 외부 전송처럼 되돌리기 어려운 행동은 사람 승인 단계와 이중 확인 절차를 두는 것이 안전합니다. 특히 파일 접근 범위, 데이터베이스 쓰기 권한, 외부 API 호출 한도를 에이전트별로 명세하고 주기적으로 축소하는 최소 권한 원칙이 필요합니다. 보도된 60종 탐지 기능이 시사하듯, 현업에서 승인 없이 들여온 에이전트가 이미 동작하고 있을 가능성을 전제로 전수 점검을 진행하는 것이 좋습니다.

② 모델 공급자와 감시 체계를 분리하는 거버넌스가 필요합니다

나델라가 제안한 지능의 공급과 권한의 분리는 한국 기업의 클라우드·보안 구매 구조에도 직접 적용됩니다. 동일한 벤더의 모델과 모니터링에만 의존하면 장애나 오작동, 정책 위반 시 원인 규명과 책임 소재가 불투명해집니다. 로그 저장소와 정책 엔진, 차단 규칙을 모델 제공자와 독립적으로 운영하고, 에이전트의 실행 이력과 도구 호출 기록을 내부 감사 체계와 연결하는 방식이 대안이 될 수 있습니다. 스타트업은 초기부터 에이전트 인벤토리와 변경 이력을 관리하고, 금융·공공·의료처럼 규제가 엄격한 분야는 내부 통제 증적 확보를 도입 조건으로 명문화하는 것이 좋습니다. 이는 특정 제품 선택이 아니라 감사 독립성 확보라는 관점에서 접근해야 합니다.

우리의 관점: 이번 발표는 에이전트 보안이 모델 신뢰성 논쟁에서 운영 통제 경쟁으로 넘어갔음을 보여줍니다. 한국 기업에게는 모델 벤치마크 비교보다 권한 설계와 독립적 감시 체계 구축이 더 시급한 과제가 될 가능성이 큽니다. 단기적으로는 섀도 AI 식별과 최소 권한 적용이, 중기적으로는 공급자와 분리된 로그·감사 인프라가 도입 성패를 가를 것입니다. 마이크로소프트의 제안이 자사 보안 제품 판매와 연결된 측면도 분명하므로, 특정 벤더 종속 없이 검증 가능한 통제 수단을 확보하는 전략이 중요합니다.

※ 위 시사점 섹션은 보도된 사실에 기반한 WhatsUpPick 편집팀의 독자적 분석·전망이며, 특정 제품 도입을 권유하는 것이 아닙니다.

참고 자료

• TechCrunch 보도 — 가디언 에이전트 발표와 나델라·갈로 발언을 전한 원기사
• 공식 뉴스룸 — 마이크로소프트 보안 및 제품 발표 확인용 공식 채널
• Microsoft Security — 디펜더와 에이전트 보안 관련 공식 정보 확인용