Google ADK로 보는 제로 트러스트 AI 에이전트 보안

핵심 요약

Google Developers가 공개한 Agent Development Kit의 제로 트러스트 가이드는 AI 에이전트를 단순한 프롬프트가 아니라 운영 소프트웨어로 다뤄야 한다는 점을 보여준다. 지원과 환불을 처리하는 예시에서는 민감한 쓰기 작업에 서명을 붙이고, 신뢰할 수 없는 코드는 샌드박스에서 실행하며, 입력과 출력을 테스트 가능한 정책으로 검사한다. AI 도구를 고르는 팀은 모델 성능만 볼 것이 아니라 검증 가능한 신원, 제한된 실행, 감사 로그, prompt injection에도 작동하는 통제가 있는지 확인해야 한다.

지금 이 주제가 중요한 이유

AI 에이전트는 데모를 넘어 고객 지원, IDE, 내부 대시보드, 운영 도구, 금융에 가까운 업무로 들어가고 있다. 답변 초안을 쓰는 도구라면 사람이 검토할 수 있다. 하지만 환불을 승인하고, 파일을 바꾸고, 내부 API를 호출하고, 고객 데이터를 사용해 답한다면 실제 운영 주체로 보아야 한다. Google의 글 https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/ 는 에이전트 보안을 추상적인 원칙이 아니라 구체적인 아키텍처로 설명한다.

제로 트러스트는 하나의 경계를 믿지 않는다는 뜻이다. 시스템 프롬프트는 도움이 되지만, 악의적인 지시는 티켓, 문서, 웹페이지, 파일 이름, 도구 출력 안에 숨어 있을 수 있다. 모델은 추론을 맡고, 플랫폼은 한계를 강제해야 한다. 돈, 데이터, 신원, 코드 변경이 걸린 작업에서는 특히 그렇다.

따라 할 만한 아키텍처

첫 번째 패턴은 의도와 권한을 분리하는 것이다. 에이전트가 환불이 타당하다고 판단할 수는 있지만, 최종 쓰기 요청은 특정 서비스 신원으로 서명되고 수신 서비스가 검증해야 한다. 이렇게 하면 어떤 에이전트가 어떤 워크플로로 어떤 작업을 했는지 추적할 수 있다.

두 번째 패턴은 격리다. 에이전트는 코드 조각을 실행하고 파일을 변환하며 외부 도구를 호출할 수 있다. 그렇다고 호스트 전체 권한을 줄 필요는 없다. 샌드박스는 생성 코드가 잘못되거나 외부 입력이 악의적일 때 피해 범위를 줄인다.

세 번째 패턴은 의미 기반 방화벽이다. 도메인이나 파일 확장자만 검사해서는 부족하다. 환불 금액이 한도를 넘는지, 답변이 개인정보를 노출하는지, 명령이 파괴적인지, 도구 호출이 사용자 요청을 벗어나는지 확인해야 한다. 이런 규칙은 프롬프트 문장이 아니라 CI에서 테스트되는 정책이어야 한다.

AI 도구 선택 기준의 변화

https://www.bttc.site/software 에서 AI 코딩 도구나 자동화 소프트웨어를 비교할 때 보안 증거를 체크리스트에 넣어야 한다. 별도 서비스 신원, 범위가 제한된 자격 증명, 인간 승인, 샌드박스 실행, 감사 로그, 내보낼 수 있는 정책, 명확한 문서를 확인하라. 멋진 데모도 모든 호출이 하나의 개인 토큰으로 실행된다면 실제 업무에는 위험하다.

작은 팀도 같은 원칙을 적용할 수 있다. 에이전트가 접근할 수 있는 저장소, 클라우드 계정, 문서, 결제 시스템을 정한다. 고위험 작업은 인간 검토 뒤에 둔다. 결정과 도구 호출 로그를 남긴다. AI 도구 흐름은 https://www.bttc.site/blog 의 관련 글과 함께 계속 점검할 수 있다.

실무 점검 목록

먼저 에이전트가 할 수 있는 일을 모두 적는다. 문서 읽기, 코드 검색, 티켓 생성, 파일 수정, 명령 실행, 메시지 전송, 결제 승인, API 호출 등이 포함된다. 각 작업을 되돌리기 쉬운지와 피해 범위로 분류한다. 공개 FAQ 읽기는 낮은 위험이지만 결제, 인증, 운영 설정, 고객 데이터 변경은 강한 통제가 필요하다.

다음으로 좁은 신원과 짧은 수명의 자격 증명을 사용한다. 개발자의 개인 토큰을 모든 워크플로에 재사용하지 않는다. 네트워크, 파일, 메모리, 실행 시간을 제한한다. 마지막으로 prompt injection, 민감 정보 요청, 파괴적 명령을 포함한 회귀 테스트를 만든다. 목표는 모델을 완벽하게 만드는 것이 아니라 위험한 행동이 안전하게 실패하도록 만드는 것이다.

자주 묻는 질문

강한 시스템 프롬프트만으로 충분한가요?

아니다. 프롬프트는 지시일 뿐 보안 경계가 아니다. 민감한 작업에는 제한된 자격 증명, 서명, 샌드박스, 승인, 감사가 필요하다.

Google 가이드에서 무엇을 배워야 하나요?

모델의 추론과 운영 권한을 분리하는 것이다. 에이전트는 제안할 수 있지만 실제 실행은 서비스와 정책이 강제해야 한다.

소프트웨어 선택에 어떻게 도움이 되나요?

신원, 로그, 권한 경계, 안전한 실행, 정책 테스트를 확인하는 실용적인 체크리스트가 된다.

운영 중 놓치기 쉬운 부분

도입 이후에는 누가 정책을 바꾸고, 누가 예외를 승인하며, 어떤 로그를 얼마나 오래 보관할지가 중요해진다. AI 에이전트는 편리하기 때문에 처음에는 작은 권한으로 시작해도 시간이 지나면서 더 많은 도구와 연결되기 쉽다. 매월 연결 대상, 권한, 실패 로그, 승인된 예외를 검토하는 것만으로도 보이지 않는 자동화를 줄일 수 있다.

또 하나의 핵심은 사용자 경험과 보안을 불필요하게 충돌시키지 않는 것이다. 고위험 작업만 멈추고, 낮은 위험의 검색이나 요약은 빠르게 실행되도록 설계하면 개발자와 운영자는 규칙을 우회할 이유가 줄어든다. 좋은 제로 트러스트 설계는 모든 것을 금지하는 방식이 아니라 위험한 작업일수록 더 많은 증거와 승인을 요구하는 방식이다.

또한 공급업체의 설명만 믿지 말고 작은 검증 환경에서 직접 확인해야 한다. 테스트 티켓, 가짜 고객 데이터, 위험한 명령 예시를 준비하면 권한, 감사, 차단 규칙이 실제로 작동하는지 빠르게 볼 수 있다.

결론

제로 트러스트 AI 에이전트는 자동화를 막기 위한 것이 아니다. 서명, 샌드박스, 정책, 감사로 자동화를 실제 업무에 쓸 수 있을 만큼 안전하게 만드는 설계다.