AI 에이전트 확산 가속화, 기업 보안의 새로운 위협과 대응 전략

AI 에이전트 업무 프로세스 ‘리와이어’의 다음 국면: 폭증하는 비인간신원(NHI) 보안 과제

지난 2026년 8월 29일에 다뤘던 ‘AI 에이전트부터 로봇까지, 업무 프로세스 ‘리와이어’ 전략’ 이슈가 예상보다 훨씬 빠른 속도로 현실화되고 있습니다. 단순히 업무 프로세스를 자동화하는 단계를 넘어, AI 에이전트들이 조직의 데이터와 외부 도구를 직접 호출하며 업무를 수행하는 단계에 이르면서, 보안 패러다임 자체의 근본적인 변화가 요구되고 있습니다. 이전 논의에서 다루었던 ‘에이전트의 확산’ 자체에 초점이 맞춰져 있었다면, 이번 국면의 핵심은 그 에이전트들이 만들어내는 ‘신원의 양(Quantity)’과 ‘복잡성(Complexity)’에서 발생하는 보안 리스크입니다. 기업들은 이제 인간 직원의 신원 관리만으로는 감당할 수 없는, 기하급수적으로 증가하는 비인간신원(NHI)이라는 거대한 보안 사각지대에 놓였습니다. 이 흐름을 놓치지 않고, 실질적인 AI 에이전트 보안 전략을 재정립하는 것이 생존의 문제가 되었습니다.

※ AI로 생성된 이미지입니다

기하급수적 NHI 증가: 인간 중심 보안 체계의 임계점 도달

최근 조사 결과는 업계에 경종을 울리고 있습니다. 팔로알토네트웍스의 ‘2026 신원 보안 환경 보고서’에 따르면, 기업 내 NHI가 인간 신원 1개당 평균 109개에 달하는 것으로 파악되었습니다. 이 수치에서 가장 눈에 띄는 부분은 AI 에이전트 신원이 인간 1명당 무려 79개에 달한다는 점입니다. 이는 과거에는 ‘서비스 계정’이나 ‘토큰’ 정도로 취급되던 개념들이 이제는 자율적으로 동작하는 ‘AI 에이전트’ 단위로 진화하며 보안 경계를 무너뜨리고 있음을 의미합니다. 단순히 계정 생성이 늘어난 것 이상으로, 각 에이전트가 고유의 접근 권한과 데이터를 읽고 외부 API를 호출하는 행위 자체가 하나의 ‘신원 활동’으로 인식되어야 합니다. 더욱 우려되는 점은 이러한 증가 추세가 멈추지 않을 것이라는 전망입니다. 응답자들은 향후 12개월간 AI 에이전트 신원이 85%, NHI 전체가 77% 증가할 것으로 예측하며, 이는 인간 신원 증가율(56%)을 압도하는 수치입니다. 이러한 속도감 있는 변화는 기존의 정적이고 경계 기반의 보안 모델로는 절대 따라잡을 수 없는 속도입니다.

※ AI로 생성된 이미지입니다

AI 에이전트 보안 거버넌스 구축: ‘누구’가 아닌 ‘무엇’으로 식별하기

이러한 상황에서 보안의 핵심 과제는 ‘누구(Who)’의 신원을 관리하는 것에서 ‘무엇(What)’의 행위와 존재(Entity)를 식별하는 것으로 초점이 이동하고 있습니다. 즉, 네트워크 상에서 활동하는 모든 존재(AI 에이전트, 워크로드, 사용자)가 어떤 권한으로, 어떤 목적으로 데이터를 사용하고 있는지에 대한 실시간 검증이 필수적입니다. 원문에서 언급된 바와 같이, 이미 많은 AI 에이전트와 NHI가 기업 데이터에 접근하고 있음에도 불구하고, 핵심 통제 적용률은 절반에 미치지 못하는 실태가 드러났습니다. 특히, ‘최소 권한 원칙(Principle of Least Privilege)’의 적용 필요성은 90%에 육박하지만, 이를 실제로 구현하는 ‘행동 모니터링’이나 ‘자격 증명 폐기’ 같은 핵심 통제 적용률은 현저히 낮습니다. 이러한 격차를 메우기 위해서는, 더 이상 수동적인 감사(Audit)가 아닌, 시스템 자체에 보안 검증 레이어를 심는 ‘신원 중심 아키텍처’로의 전환이 불가피합니다.

※ AI로 생성된 이미지입니다

실무 워크플로우 관점: AI 에이전트 권한 관리의 단계별 접근법

실무자 입장에서 가장 시급한 것은, 자율적으로 작동하는 AI 에이전트의 권한을 어떻게 통제하고 감사할 것인가의 문제입니다. 단순히 MFA(Multi-Factor Authentication)를 적용하는 것을 넘어, 에이전트가 특정 태스크를 수행하기 위해 필요한 권한만을 ‘일시적으로’ 부여하고, 작업 완료 즉시 권한을 회수하는 워크플로우가 필요합니다. 예를 들어, 특정 데이터베이스에서 보고서를 생성하는 에이전트를 가정해 봅시다. 이 경우, 일반적인 API 호출 방식 대신, JIT(Just-in-Time) 접근 제어와 ZSP(Zero Standing Privileges) 개념을 결합한 접근 방식이 요구됩니다. 이를 구현하려면, 자동화 오케스트레이션 툴(예: n8n 또는 전용 IAM 솔루션)과 연동하여, 작업 시작 시점의 ‘목적 정의서’를 기반으로 필요한 스코프(Scope)를 동적으로 생성하고, 이 스코프가 만료되면 모든 토큰을 무효화하는 워크플로우 설계가 필요합니다.

[예시: 에이전트 권한 요청 워크플로우]

1. Trigger: 사용자 요청 (e.g., ‘월간 재무 데이터 분석’)

2. Intent Validation: LLM 기반 에이전트가 요청의 목적과 범위를 분석 (프롬프트 엔지니어링 필수)

3. Policy Check: IAM 시스템에 ‘재무 데이터 조회 및 시각화 API 호출’ 권한 요청

4. JIT Grant: 4시간 동안 ‘read_only’ 권한 부여 및 세션 생성

5. Execution & Monitoring: 에이전트 실행 및 모든 트랜잭션 로깅

6. Automatic Revocation: 4시간 경과 또는 최종 보고서 생성 시 권한 자동 폐기

이러한 체계적인 접근은 보안 취약점을 최소화하는 가장 확실한 방법론 중 하나입니다.

※ AI로 생성된 이미지입니다

AI 에이전트와 NHI 폭증이 가져올 기업 운영상의 시사점

AI 에이전트의 확산은 분명 기업 생산성 혁명의 동력입니다. 많은 응답자가 소속 조직에서 이미 자율형 AI 에이전트를 사용하고 있다고 답한 것에서 보듯, 거부할 수 없는 흐름입니다. 하지만 이 거대한 편리함의 이면에는, 기존 보안 모델의 근본적인 재설계라는 숙제가 놓여 있습니다. 단순히 보안 솔루션을 ‘추가’하는 것이 아니라, 보안 자체를 ‘인프라의 기본 레이어’로 통합하는 관점이 필요합니다. 특히, ‘특권 접근’ 관리가 전통적인 VPN이나 방화벽 레벨을 넘어, ‘행위 기반의 신원 검증(Behavioral Identity Verification)’ 레벨로 올라와야 한다는 점이 핵심입니다. 자격 증명(Credential) 자체보다, 그 자격 증명을 사용하는 ‘맥락(Context)’과 ‘의도(Intent)’를 검증하는 것이 차세대 보안의 핵심 키워드가 될 것입니다. 기업 거버넌스 차원의 전사적 대응이 시급해 보입니다.

결론: ‘신원’을 중심으로 재편하는 미래 보안 아키텍처 구축 로드맵

AI 에이전트가 업무 프로세스를 ‘리와이어’하는 이 시점, 보안의 초점은 ‘접근 통제’에서 ‘존재 검증’으로 완전히 옮겨가고 있습니다. 폭증하는 NHI를 감당하기 위해, 기업들은 제로 트러스트 원칙을 기반으로, 에이전트 활동에 대한 가시성(Visibility)과 통제력(Control)을 확보해야 합니다. 지금 당장 보유한 모든 AI 에이전트의 접근 권한 목록을 재점검하고, JIT/ZSP 원칙을 적용할 수 있는 워크플로우 재설계 프로젝트를 시작하는 것이 가장 시급한 대응책입니다. 이 변화의 흐름에 맞춰 보안 아키텍처를 근본적으로 재편하는 것이 미래 경쟁력 확보의 초석이 될 것입니다.

📎 원문