Microsoft가 AI 에이전트를 내부자 위협으로 분류했다

우리 팀 직원 중 몇 명이 회사가 모르는 AI 에이전트를 업무 PC에서 돌리고 있을까. Microsoft는 10월 19일 이 질문에 제품으로 답했다. Microsoft Defender가 직원이 업무에 들여온 에이전트를 최대 60종까지 찾아낸다. Claude Code, Codex, OpenClaw가 목록에 있다. 찾아낸 에이전트는 데이터와 시스템 접근 범위를 제한하고 작업에 따라 권한을 동적으로 조정하며 위험한 결정으로 보이면 사람의 승인을 요구한다.

같은 발표에 Guardian Agents가 들어 있다. 기업이 쓰는 에이전트를 감시하는 에이전트다. 6월에 공개한 Project Perception의 일부로 공격을 맡는 레드, 탐지를 맡는 블루, 수정을 맡는 그린 세 층의 에이전트로 짜여 있다. 원래는 외부에서 오는 AI 해커를 막으려고 설계했다.

한 줄 정리

Microsoft가 모델 회사의 안전 보장을 믿지 말고 회사 밖의 별도 시스템으로 에이전트를 감시하라고 나서면서 에이전트 관리가 보안 제품의 새 영업 영역이 됐다.

한눈에 보기

신뢰의 문제가 아니라 구조의 문제다

Microsoft 보안 사업 책임자 Hayete Gallot의 설명은 이렇다. 프런티어 모델은 어느 회사 것이든 믿을 수 없는데 악의가 있어서가 아니다. 예측하기 어렵고 각 조직의 규범과 판단을 따르도록 훈련된 적이 없기 때문이다. 사내 블로그에서 Satya Nadella는 지능을 공급하는 쪽과 그 지능에 대한 권한을 쥔 쪽을 분리해야 한다고 썼다.

회계 감사를 떠올리면 쉽다. 감사인이 감사받는 회사 소속이면 감사가 되지 않는다. 에이전트를 만든 모델 회사가 에이전트의 안전도 보증하면 같은 문제가 생긴다. TechCrunch도 이 논리 자체는 타당하다고 평가했다.

배경이 껄끄럽다. Microsoft는 OpenAI와 Anthropic에 투자했고 OpenAI는 주요 클라우드 고객이다. 투자한 회사들의 모델을 못 믿겠다고 말하면서 그 불신을 해결하는 제품은 자사에서 사라고 권한다. 논리가 맞는 것과 파는 쪽의 이해가 걸린 것은 별개이고 둘 다 사실이다.

대표가 오늘 확인할 수 있는 것

도구를 사기 전에 확인할 수 있는 일이 셋 있다. 직원들이 쓰는 에이전트 이름을 메신저로 한 번 받아 본다. 그 에이전트가 쓰는 모델 키가 개인 카드인지 회사 계정인지 가른다. 고객 정보가 든 폴더에 에이전트가 접근하는지 묻는다.

세 질문에 답이 바로 나오지 않으면 그 자체가 결과다. 에이전트를 막자는 이야기가 아니다. 쓰는 사람이 늘어날수록 목록 없이 굴러가는 시간만 길어진다.

업계도 같은 방향으로 움직인다

같은 날 Nvidia의 Open Agent Safety Platform에 Microsoft가 창립 멤버로 이름을 올렸다. 에이전트를 격리된 환경에 가두고 하드웨어 수준에서 행동을 감시해 필요하면 멈추는 일종의 킬 스위치다. 100곳이 넘는 기업이 지지를 밝혔다. 에이전트용으로 설계한 Surface Laptop Ultra PC도 함께 나왔다.

기업 고객 입장에서 선택지가 둘로 갈린다. 하나는 모델 회사가 주는 안전 기능을 쓰는 방식이고 다른 하나는 모델과 무관한 감시 계층을 따로 두는 방식이다. 후자는 비용이 더 들지만 모델을 바꿔도 통제 체계가 그대로 남는다.

위시클레이 관점

직원 15명짜리 콘텐츠 팀에 에이전트 감시 소프트웨어는 과한 투자다. 가져갈 것은 제품이 아니라 질문의 순서다. 우리 팀에서 지금 어떤 에이전트가 어떤 폴더와 계정에 닿아 있는지 목록으로 말할 수 있는가. Defender가 60종을 찾아낸다는 발표는 그만큼 회사가 모르는 에이전트가 이미 많다는 전제 위에 서 있다.

전날 나온 OpenCode 키 유출 사고와 나란히 놓으면 그림이 맞는다. 문제는 모델이 말을 안 듣는 일 이전에 에이전트가 무엇을 쥐고 있는지 회사가 모른다는 데서 먼저 터졌다. 권한 목록과 키 목록이 없으면 감시 제품을 사도 감시할 대상이 비어 있다.

그래서 첫 단계는 비싸지 않다. 공유 스프레드시트 한 장에 에이전트 이름과 쓰는 사람, 닿는 데이터, 쓰는 키를 적는다. 분기마다 한 번 대표가 훑어본다. 거기에 사람이 승인해야 하는 작업의 선, 예컨대 고객 발송이나 결제와 삭제를 먼저 그어 둔다. 이 선은 어떤 보안 제품을 나중에 고르든 그대로 설정값이 된다.

참고

• Microsoft의 에이전트 보안 발표와 업계 반응 (TechCrunch)
• Defender의 로컬 에이전트 탐지 기능 개요 (Microsoft Learn)
• Nadella 글의 논지를 소개한 모델 내부자 위험 해설 (snscratchpad)