Vercel Connect GA, AI 에이전트용 단기 자격 증명 도입

AI 에이전트는 Slack, GitHub, Snowflake 등 다양한 외부 시스템에 접근해야 하지만, 기존에는 장기 유효 토큰을 사용해 유출 시 보안 위험이 컸다. Vercel은 이러한 문제를 해결하기 위해 Vercel Connect를 정식 출시(GA)했다.

핵심 변화: 장기 토큰에서 단기 토큰으로

기존의 볼트(Vault) 기반 방식은 자격 증명의 도난을 어렵게 만들었지만, 유출된 토큰의 권한을 제한하거나 만료시키는 것은 불가능했다. Vercel Connect는 애플리케이션이 자격 증명을 저장하지 않고, 런타임에 필요한 권한만 요청하는 방식으로 동작한다.

• 단기 유효성: 토큰은 자동으로 갱신되며, 작업이 끝나면 즉시 만료된다.
• 권한 범위 제한(Scoping): 요청 시점에 특정 작업(예: 단일 저장소 읽기 전용)에만 필요한 최소 권한을 부여한다.
• 자동 갱신 및 폐기: 수동적인 토큰 로테이션이 필요 없으며, 특정 사용자나 전체 토큰을 한 번의 명령으로 폐기할 수 있다.

기술적 구현

Vercel Connect는 100개 이상의 커넥터를 지원하며, Vercel 배포 환경에 내장된 OIDC ID를 활용해 토큰 요청 주체를 인증한다. 이를 통해 앱은 프로바이더의 시크릿을 코드에 하드코딩하거나 환경 변수로 관리할 필요가 없다. GitHub의 경우, 조직 전체 권한 대신 단일 저장소 수준의 읽기 전용 권한만 부여하는 등 서비스별로 세밀한 권한 제어가 가능하다.