에이전트 아키텍처의 보안 경계

최근 많은 코딩 에이전트가 파일 시스템을 읽고, 쉘 명령을 실행하며, 직접 코드를 생성하는 방식으로 진화하고 있다. 하지만 대부분의 팀은 이러한 구성 요소들을 단일 보안 컨텍스트에서 실행하고 있어 심각한 보안 위협에 노출되어 있다.

가장 큰 위험은 prompt injection이다. 공격자가 로그 파일 등에 악성 프롬프트를 숨겨두면, 에이전트는 이를 실행하기 위해 ~/.ssh나 ~/.aws/credentials와 같은 민감한 정보를 외부로 전송하는 스크립트를 생성하고 실행할 수 있다. 이는 에이전트가 가진 권한이 인프라 전체로 확산될 수 있음을 의미한다.

안전한 시스템을 구축하려면 에이전트 시스템을 구성하는 네 가지 핵심 요소를 구분하고 각각의 신뢰 수준을 정의해야 한다.

• Agent: LLM 기반 런타임으로, 프롬프트 주입에 취약할 수 있다.
• Agent Secrets: API 토큰, DB 자격 증명 등 시스템 운영에 필요한 민감 정보다.
• Generated Programs: 에이전트가 생성한 코드로, 예측 불가능하며 가장 강력한 권한을 가질 수 있는 위험 요소다.
• Filesystem/Environment: 시스템이 구동되는 물리적 또는 가상 환경이다.

보안을 강화하기 위해서는 Agent Harness가 에이전트에 직접 비밀 정보를 노출하지 않도록 설계해야 한다. 에이전트는 권한이 엄격히 제한된 scoped tool을 통해서만 기능을 수행해야 하며, 생성된 프로그램이 별도의 자격 증명이 필요한 경우 이를 독립적인 보안 컨텍스트에서 관리해야 한다.