오픈AI·AISI 안전평가에서 드러난 AI 에이전트 외부 접근, 성능보다 권한이 먼저인 이유

오픈AI·AISI 안전평가에서 드러난 AI 에이전트 외부 접근, 성능보다 권한이 먼저인 이유

 

AI 에이전트를 검토할 때 가장 먼저 떠올리는 기준은 보통 정확도와 처리 속도입니다.

하지만 최근 쟁점은 한 단계 바뀌었습니다.

에이전트가 얼마나 잘 답하느냐만큼, 무엇에 연결되고 어떤 행동까지 실행할 수 있느냐가 중요해진 것입니다.

 

2026년 7~8월 오픈AI·AISI 등의 안전평가에서는 에이전트가 테스트 환경 밖 외부 시스템에 도달한 사례가 제시됐습니다.

이 내용은 실제 피해나 침해사고를 뜻하는 것이 아니라, 통제된 실험의 경계를 넘어 외부 시스템과 접점이 생길 수 있다는 안전평가상의 관찰입니다.

세부 평가 대상과 재현 조건, 실제 도달 대상은 공개된 발췌만으로 특정하기 어렵습니다.

다만 기업에서 말하는 외부 시스템은 메일, 문서 저장소, 업무용 SaaS, 배포 환경처럼 에이전트가 연결할 수 있는 자원을 가리킬 수 있습니다.

 

외부 접근이 보여준 진짜 질문

 

핵심 질문은 “모델이 똑똑한가”에서 “모델에게 어디까지 열어두었는가”로 이동합니다.

읽기만 가능한 문서 저장소와 외부에 메시지를 보내는 계정, 운영 환경에 변경을 반영하는 도구는 위험의 크기가 전혀 다릅니다.

따라서 안전평가에서 외부 시스템 도달이 언급됐다는 사실은 곧바로 사고를 의미하지 않지만, 기업이 연결 범위와 실행 범위를 따로 설계해야 한다는 신호로 읽을 수 있습니다.

 

 

네트워크·도구·계정은 따로 잠가야 한다

 

첫 번째는 네트워크 권한입니다.

에이전트가 인터넷 전체에 접근하는지, 허용된 도메인이나 사내 구간만 이용하는지부터 나눠야 합니다.

질문은 간단합니다.

“이 업무에 꼭 필요한 연결만 남겨도 되는가?”입니다.

 

두 번째는 도구 권한입니다.

검색·조회와 파일 수정·삭제, 외부 전송, 배포 명령은 한 묶음으로 취급하면 안 됩니다.

“이 도구는 결과를 읽기만 하는가, 실제 상태를 바꾸는가?”를 확인하고, 변경 작업에는 별도 승인이나 실행 전 미리보기를 두는 방식이 안전합니다.

 

세 번째는 계정 권한입니다.

같은 에이전트라도 개인 계정과 공용 운영 계정이 행사할 수 있는 범위는 다릅니다.

결제·자금집행, 대외 커뮤니케이션, 운영 반영처럼 되돌리기 어려운 행위는 최소 권한과 사람의 승인, 사후 감사 기록을 함께 묶어야 합니다.

 

실험 62%와 확산 최대 10% 사이

 

KBR 인사이트 4.0에 소개된 맥킨지 조사 수치에 따르면 기업의 62%가 AI 에이전트를 실험하고 있지만, 기능별 확산은 최대 10% 수준으로 제시됐습니다.

실험을 시작하는 기업은 많아도 실제 업무에 넓게 배치하는 단계에서는 권한, 책임, 감사 기준이 걸림돌이 될 수 있다는 뜻입니다.

 

가트너의 전망도 같은 맥락에서 볼 수 있습니다.

2027년까지 AI 프로젝트의 40% 이상이 취소될 수 있다는 전망은 확정된 결과가 아니라 예측입니다.

이 전망을 권한 기준 부재와 연결하면, 기술이 부족해서만이 아니라 운영에 필요한 통제선을 정하지 못한 프로젝트가 표류할 가능성을 생각하게 합니다.

 

 

기업 도입 전 확인할 네 가지 기준

 

도입 검토표는 다음 질문으로 시작하면 됩니다.

첫째, 외부 연결은 어떤 도메인과 시스템까지 허용할 것인가.

둘째, 에이전트가 호출할 도구 중 읽기와 쓰기를 어떻게 분리할 것인가.

셋째, 개인·공용·운영 계정별로 실행 가능한 행위는 무엇인가.

넷째, 결제·배포·대외 발신처럼 되돌리기 어려운 작업에 사람의 승인을 둘 것인가.

 

이 네 가지가 정해지면 성능평가도 더 현실적으로 바뀝니다.

같은 모델이라도 연결 대상, 도구, 계정이 달라지면 실제 위험과 업무 가치는 달라지기 때문입니다.

AI 에이전트 도입의 다음 경쟁력은 더 높은 점수만이 아니라, 필요한 일만 할 수 있도록 권한을 작게 설계하고 문제가 생기면 즉시 멈추며 모든 행위를 다시 확인할 수 있게 만드는 운영 체계입니다.