[글로벌 AI·AX 핫뉴스 10/100] 마이크로소프트, 내부 AI 에이전트 통제 확대…발견과 실행 보호의 경계를 읽다

회사의 문서를 읽고 도구를 호출하는 AI 에이전트는 답변을 만드는 데서 일을 끝내지 않는다. 접근 권한이 있으면 파일이나 업무 시스템에 변화를 남길 수 있다. 사람이 시작한 작업이라도 에이전트가 맡은 일에 필요한 권한과 그 사람의 전체 권한은 같지 않다.

마이크로소프트는 10월 19일 기업 내부 에이전트를 관리하는 보안 접근을 공개했다. 모델이 스스로 옳게 행동하기를 기대하는 데 더해, 모델 바깥의 신원·권한·실행 통제로 업무 범위를 정하겠다는 내용이다. AI·AX를 평가하는 관심이 생성 결과와 함께 실제 행동의 경계로 옮겨 가는 발표다.

업무가 바뀔 때 권한도 달라지는 통제

회사는 프로젝트 퍼셉션을 기업 내부 에이전트의 관리와 통제에 활용하는 방식을 설명했다. 신원과 데이터, 단말·네트워크·클라우드·실행 환경에서 신호를 모아 행동의 위험을 계속 살피는 구조다. 보안팀이 정한 경계 안에서 가디언 에이전트가 감독을 돕는다는 구상이다.

같은 날 상세 발표에는 작업과 기간에 맞춰 권한을 부여하는 동적 권한, 여러 신호를 결합하는 동적 에이전트 위험, 위험 변화에 따라 접근을 조정하는 동적 조건부 접근이 소개됐다. 읽기는 유지하면서 쓰기를 제한하거나 중요한 행동에 사람의 승인을 요구하는 대응을 예로 들었다.

로컬 에이전트의 발견 범위도 35종을 추가해 총 60종으로 넓힌다고 밝혔다. 이는 조직 안에 어떤 에이전트가 있는지 파악하는 범위다. 60종 모두의 모든 행동을 모든 운영체제에서 차단할 수 있다는 뜻은 아니다. 발견한 존재를 통제 대상으로 삼는 일과 실제 실행을 보호하는 일은 구별된다.

보안 업무를 맡는 AI에서 내부 AI를 지키는 체계로

퍼셉션의 출발점은 지난 7월 27일 발표였다. 당시 마이크로소프트는 공격 경로를 찾는 레드팀, 위협을 조사·판단하는 블루팀, 수정과 강화를 맡는 그린팀 에이전트의 협업을 소개했다. 외부 공격을 방어하는 보안 업무에 AI를 쓰는 흐름이 먼저 제시됐다.

10월 발표는 그 기반을 기업 안에서 일하는 에이전트의 관리에도 연결한다. 방어에 AI를 쓰는 것과 업무용 AI의 행동을 통제하는 것이 만나는 지점이다. 내부에 배치했다는 이유만으로 모든 접근을 신뢰할 수는 없다는 문제의식이 깔려 있다. 회사는 모델의 지능과 그 지능에 허용할 권한을 분리하는 원칙을 강조했다.

제공 단계는 발표의 방향과 별도로 읽어야 한다. 현재 열람되는 퍼셉션 개요 문서는 정해진 기간에 소수 초대 고객이 사용하는 제한적 공개 미리보기로 표시한다. 7월의 미리보기 예고와 10월의 기능 소개만으로 새 기능 전체가 정식 제공됐다고 판단할 수는 없다. 최신 발표에는 기능별 정식 출시일과 국가별 일정이 명시돼 있지 않다.

도구가 있다는 사실과 보호가 작동한다는 사실

공식 지원표는 발견과 실행 보호를 별도로 제시한다. 운영체제와 연동 방식에 따라 가능한 조합이 다르기 때문이다. 표에 없는 조합은 지원이 문서화된 것으로 볼 수 없다고 설명한다. 에이전트의 이름이 지원 목록에 있다는 사실만으로 특정 단말에서 보호가 활성화됐다고 해석하면 이 차이가 사라진다.

네트워크 검사에도 범위가 있다. 지원표는 인증서 고정이나 HTTP/3를 사용하는 에이전트의 네트워크 검사를 지원하지 않는다고 밝힌다. 윈도 리눅스 하위 시스템인 WSL의 지원을 네이티브 리눅스 전체 지원과 혼동할 수도 없다. 같은 에이전트라도 실행 환경을 알아야 보호의 의미가 정해진다.

실행 보호 설정 문서는 또 다른 조건을 보여준다. 해당 기능은 미리보기이며 지원 윈도 환경, 디펜더 등록, 백신의 활성 모드와 실시간 보호, 관련 라이선스 등이 전제다. 기본값은 비활성이고 감사 모드와 차단 모드가 구분된다. 감사는 탐지하면서 행동을 허용하는 방식이므로 경고가 기록됐다고 실제 차단이 이뤄졌다는 뜻은 아니다.

산업적으로 이 구분은 AI 도입의 범위를 평가하는 단위를 바꾼다. 모델을 쓸 수 있는가에 더해 어떤 데이터에 접근하고 어떤 도구를 실행하며 그 행동을 어디에서 제어하는지가 함께 들어온다. 보안 기능의 개수만으로 조직의 보호 수준을 매기기 어려운 이유다. 지원 범위와 실제 설정이 만나야 관리의 내용이 드러난다.

국내 적용은 라이선스와 처리 위치까지 이어진다

국내 조직이 이번 발표를 읽을 때도 신원 생성과 고급 보호 기능의 이용 조건을 나눠야 한다. 엔트라 에이전트 ID 설명은 신원 생성·관리 기반과 보안 기능의 확장을 구별한다. 엔트라 고객에게 제공되는 기반 위에서 고급 보안을 에이전트에 확장하려면 에이전트 365가 필요하다고 안내한다. 신원을 만들 수 있다는 사실이 모든 보호 기능의 무료 제공을 뜻하지 않는다.

데이터 조건은 퍼셉션의 애플리케이션 카드에서 더 구체화된다. 프롬프트와 세션 내용, 출력은 고객 데이터로 다루며 기반 모델 훈련에 쓰지 않고 조직 간 세션을 공유하지 않는다고 설명한다. 그러나 훈련에 사용하지 않는다는 조건과 어느 나라에서 처리하는지는 서로 다른 문제다.

카드는 고객 데이터 저장 위치가 유럽연합인 조직은 역내에서 프롬프트를 처리하고, 나머지는 위치와 GPU 가용성에 따라 미국·영국·유럽연합·호주·뉴질랜드에서 글로벌 처리한다고 명시한다. 이를 한국 내 저장·처리 보장으로 읽을 근거는 없다. 국내 적용을 검토할 정보는 기능의 명칭에서 끝나지 않고 데이터가 처리되는 조건까지 이어진다.

위험 판단의 근거와 사람의 결정을 남기는 운영

퍼셉션 기술 문서는 관리자가 에이전트의 신원과 역할을 설정하고 누가 작업을 실행하거나 세션을 볼지 정하는 구조를 설명한다. 진행 중인 작업을 살피고 승인을 요청한 행동을 허용·거부하거나 세션을 멈추는 경로도 둔다. 자율 실행을 설명하는 문서 안에 사람의 감독이 함께 들어 있는 셈이다.

애플리케이션 카드는 결과가 부정확하거나 불완전할 수 있으며, 연결된 자료와 권한에 따라 품질이 달라진다는 한계도 명시한다. 탐지와 조사에 AI를 사용하더라도 그 결과를 확정 사실로 받아들일 수는 없다. 보안 업무를 돕는 AI 역시 자신이 볼 수 있는 범위 안에서 판단한다.

따라서 남는 확인 과제는 위험 점수가 올랐다는 기록과 실제 권한 변경이 어떻게 연결됐는지, 어떤 행동이 허용·차단됐으며 중요한 결정에 누가 관여했는지를 추적하는 일이다. 최신 발표가 강조하는 연속적인 통제는 이런 기록과 지원 조건 안에서 평가할 대상이다. 사고 감소나 비용 절감이 검증됐다는 성과 수치로 바꿀 수 없다.

한국어 지원과 국내 판매 조건, 새 기능별 요금과 정식 제공 일정도 개별 안내가 구체화돼야 판단할 수 있다. 이번 소식이 보여 주는 변화는 기업 내부 AI를 보안의 독립된 관리 대상으로 다루기 시작했다는 점이다. 모델 성능의 높고 낮음만으로 업무 권한의 적절성을 대신 평가할 수 없다는 질문이 남는다.

AI가 조직의 일을 수행할수록 결과물과 행동의 기록이 함께 중요해진다. 이번 마이크로소프트 발표는 에이전트의 능력과 그 능력을 행사할 권한을 나눠 보게 한다. 업무 자동화의 범위는 에이전트가 할 수 있는 일과 조직이 허용한 일이 어디에서 만나는지에 따라 구체화된다.

글로벌 AI·AX 핫뉴스 연재 모아보기 →