Microsoft 디지털 방어 보고서 2026, AI 에이전트 보안이 달라지는 이유
AI를 활용하여 생성한 이미지입니다.
마이크로소프트가 2026년 10월 1일 Digital Defense Report를 공개했어요. 올해 보고서에서 눈에 띄는 부분은 공격자가 AI를 쓰기 시작했다는 사실 자체보다, AI 에이전트가 기업 데이터·애플리케이션·API와 직접 연결되면서 보안의 경계가 달라지고 있다는 설명이에요.[1]
예전에는 보안팀이 서버, 계정, 클라우드, 메일 같은 영역을 나눠 관리해도 됐어요. 이제는 한 에이전트가 여러 시스템을 오가며 일을 처리할 수 있습니다. 한 곳에서 보인 이상 징후가 다른 시스템의 기록과 연결될 때 비로소 공격 흐름이 드러날 수도 있어요. 보고서는 이런 연결을 전제로 올해의 위협과 방어 방법을 설명합니다.[1]
AI는 공격 속도를 높이지만 공격의 재료는 익숙해요
마이크로소프트는 공격자가 AI를 정찰, 사회공학, 악성코드·익스플로잇 개발, 침해 후 활동에 활용하고 있다고 설명했어요.[1] 다만 보고서가 말하는 현재 모습은 AI가 모든 공격을 완전히 자동화했다는 이야기가 아니에요. 기존 공격 과정의 일부를 더 빠르게 하고, 대상에 맞게 바꾸는 데 먼저 쓰이고 있다는 쪽에 가깝습니다.
이 차이를 놓치면 대응 방향도 틀어져요. AI가 들어왔다고 해서 방어의 기본이 사라지는 것은 아니에요. 사람을 속이는 메시지, 탈취된 계정, 외부에 노출된 시스템, 과도한 권한은 여전히 공격에 이용됩니다.[1] 보안팀은 새로운 모델 이름보다 어떤 계정이 어떤 데이터와 도구에 접근하는지를 먼저 확인해야 해요.
사회공학에서는 AI가 공격 문장을 더 자연스럽게 만들고, 정찰 단계에서는 공개 정보를 모아 대상에 맞춘 시나리오를 만드는 데 도움을 줄 수 있어요. 그 결과 공격자가 같은 시간에 더 많은 대상을 다룰 가능성이 생깁니다. 그렇다고 메시지 한 통만 보고 AI 공격인지 판별하려고 하면 놓치는 부분이 많아요. 발신 계정의 로그인 기록, 링크가 연결된 도메인, 첨부 파일, 이후의 권한 사용을 함께 봐야 합니다.
에이전트는 새로운 계정처럼 관리해야 해요
보고서는 에이전트 보안에서 정체성, 적절한 접근 권한, 에이전트 사이의 인증, 작업의 귀속, 접근 취소를 살펴봐야 한다고 설명해요.[1] 이 항목들은 사람 계정을 관리할 때도 중요하지만, 에이전트는 속도와 자동 실행 범위가 더 넓어서 실수의 영향이 커질 수 있습니다.
예를 들어 고객 문의를 분류하는 에이전트가 내부 문서 검색 권한을 갖고 있다고 해볼게요. 여기에 메일 발송이나 결제 시스템 호출 권한까지 붙으면 단순한 분류 도구가 아니에요. 누가 어떤 이유로 권한을 부여했는지, 에이전트가 다른 에이전트에게 작업을 넘길 때 요청 주체를 확인하는지, 문제가 생겼을 때 토큰과 세션을 즉시 끊을 수 있는지가 중요해집니다.
권한을 넓게 주고 나중에 로그를 보는 방식은 에이전트 환경에서 특히 위험해요. 작업에 필요한 데이터와 도구만 허용하고, 읽기와 쓰기 권한을 분리하는 편이 낫습니다. 자동 실행을 허용하더라도 외부 전송·삭제·결제 같은 작업은 사람 승인을 거치게 만들 수 있어요. 이는 보고서의 최소 권한, 인증, 모니터링 원칙을 실제 운영에 옮긴 방법입니다.[1]
프롬프트 인젝션은 모델만의 문제가 아니에요
마이크로소프트는 AI 시스템의 보안 항목으로 프롬프트 인젝션, 메모리, 모델과 데이터, 에이전트 동작, 주변 소프트웨어와 서비스의 무결성을 언급했어요.[1] 프롬프트 인젝션은 모델에게 이상한 문장을 넣는 문제처럼 보이지만, 실제 피해는 에이전트가 연결된 시스템에서 발생할 수 있습니다.
에이전트가 웹페이지에서 지시문을 읽고 사내 문서를 검색한 뒤 메일을 보내는 흐름을 생각해 보세요. 페이지 안에 들어 있는 악성 지시가 에이전트의 작업 규칙처럼 처리되면, 모델의 답변이 틀리는 데서 끝나지 않고 민감한 내용을 외부로 보낼 수 있어요. 입력을 신뢰하지 않고, 검색 결과와 사용자 지시를 구분하며, 도구 호출 전에 권한과 대상 데이터를 다시 확인해야 합니다.
메모리도 비슷해요. 에이전트가 이전 대화를 기억하면 편리하지만, 잘못된 지시나 민감한 정보가 다음 작업에 섞일 수 있습니다. 메모리에 무엇을 저장하는지, 얼마나 오래 보관하는지, 사용자가 삭제할 수 있는지, 다른 사용자의 작업과 섞이지 않는지를 정해야 해요.
AI는 방어에도 쓰이지만 사람의 판단은 남아요
보고서는 AI가 코드 분석과 취약점 발견에 도움을 주면서 방어자가 문제를 더 일찍 찾을 기회도 커진다고 설명합니다. 동시에 공격자도 취약점 탐색과 익스플로잇 개발에 이 기술을 활용할 수 있어 양쪽의 능력이 함께 올라갈 수 있어요.[1]
보안팀이 AI를 도입할 때는 자동화율보다 검증 지점을 먼저 정하는 편이 안전해요. 반복적인 로그 분류나 관련 정보 수집은 자동화할 수 있지만, 서로 무관해 보이는 약점이 하나의 공격 경로로 이어지는지 판단하는 일은 경험 많은 담당자가 확인해야 합니다.[1]
이 구분은 현실적인 운영 기준이 될 수 있어요. AI가 찾아낸 취약점 목록을 그대로 우선순위로 삼지 말고, 실제 자산의 중요도와 외부 노출 여부, 악용 가능성, 복구 방법을 함께 확인해야 합니다. 자동화가 늘어날수록 결과를 믿는 속도보다 결과를 되짚는 절차가 더 중요해집니다.
기업과 개인이 지금 점검할 항목
보고서의 내용을 바로 적용하려면 다음 순서가 현실적이에요.
- AI 에이전트가 읽을 수 있는 데이터와 호출할 수 있는 도구를 목록으로 만들어요.
- 에이전트별 소유자, 인증 방식, 권한 만료 시점, 긴급 취소 방법을 정해요.
- 읽기 권한과 쓰기·삭제·외부 전송 권한을 분리해요.
- 프롬프트 인젝션을 포함한 악성 입력을 테스트하고 도구 호출 로그를 남겨요.
- 계정·엔드포인트·클라우드·메일 로그를 연결해 한 시스템에 남지 않는 흐름을 확인해요.
개인 사용자는 모든 AI 기능을 끄는 것보다 연결 범위를 확인하는 일이 먼저예요. 메일, 클라우드 파일, 일정, 브라우저를 한 에이전트에 모두 연결했다면 편리함만큼 피해 범위도 커집니다. 사용하지 않는 연결을 끊고, 민감한 파일은 별도 계정이나 별도 폴더로 분리하며, 자동 발송과 자동 삭제 권한은 필요할 때만 허용하는 편이 좋아요.
이번 보고서에서 확실히 읽히는 결론은 AI가 보안의 기본 원칙을 대체하지 않는다는 점이에요. 정체성, 최소 권한, 데이터 보호, 모니터링, 테스트, 안전한 소프트웨어 개발은 여전히 필요합니다.[1] 달라진 점은 이 원칙을 모델 하나가 아니라 모델과 데이터, 도구, 계정, 인프라가 연결된 전체 흐름에 적용해야 한다는 데 있어요.
공격자와 방어자가 AI를 쓰는 속도는 앞으로도 달라질 수 있습니다. 그래서 기업은 새로운 기능을 무조건 도입하거나 막기보다, 어떤 연결이 생겼고 누가 그 연결을 끊을 수 있는지부터 기록해야 해요. 그 기록이 있어야 자동화의 편리함을 유지하면서도 사고가 났을 때 실제 경로를 추적할 수 있습니다.
