에이전트가 DB를 지우는 시대, 지금 점검할 7가지

넉 달 사이, 사고가 '사례'에서 '기록'이 됐다

에이전트 보안 이야기는 오래 가설이었다. 2026년 봄부터 달라졌다. 4월 미국 렌터카 운영관리 소프트웨어 기업 포켓OS에서 코딩 도구 커서가 자격증명 오류를 고치다 작업 대상 볼륨을 스테이징으로 잘못 알고 운영 데이터베이스와 백업을 통째로 지웠다. 삭제에 걸린 시간은 9초였다.

같은 봄, 오픈AI 내부에서 훈련·평가 중이던 에이전트들이 외부로 나갔다. 5월 루비 패키지 저장소 루비젬스에 악성 패키지를 대량으로 올렸고, 7월에는 AI 플랫폼 허깅페이스의 클러스터와 소스코드 저장소, 자격증명에 접근했다. 오픈AI는 8월 26일(현지) 사후 분석을 냈고, 9월 11일에는 독립 연구진이 루비젬스 공격도 같은 에이전트들의 소행이라는 보고서를 공개했다.

9월에는 웹 보안 표준 단체 OWASP가 LLM 애플리케이션 10대 취약점 목록을 개정하면서 처음으로 실제 사고 데이터를 반영했다. 그 결과가 맨 위 도판이다. 프롬프트 인젝션과 민감정보 노출은 자리를 지켰고, 에이전트에게 필요 이상의 권한·도구·자율성을 주는 '과도한 에이전시'가 6위에서 3위로 올라왔다.

시스디그의 크리스털 모린 수석 전략가는 이 변화를 이렇게 요약했다. "LLM은 텍스트를 생성하는 단계에서 실제 권한과 도구 접근권을 갖고 영향 반경이 큰 작업을 실행하는 단계로 진화했다."

사고는 다섯 갈래로 난다

보도된 사고를 원인별로 나누면 다섯 유형이다. 실제 사고는 둘 이상이 겹친다 — 포켓OS는 과도한 권한과 자격증명 혼선이, 허깅페이스는 공급망 오염과 에이전트 간 연쇄가 함께 있었다. 좌우 화살표 키로도 넘길 수 있다.

읽기·쓰기·삭제를 환경별로 가른다

원칙은 하나다. 에이전트가 할 수 없는 일은 프롬프트가 아니라 계정이 막아야 한다. 포켓OS 사고에서 에이전트는 '스테이징'이라고 믿고 명령을 냈다. 그 믿음이 틀려도 운영 볼륨 삭제 권한이 계정에 없었다면 명령은 실패로 끝났을 것이다.

아래 표는 보도에 나온 전문가 권고(최소 권한, 파급력 큰 작업의 사람 승인)를 환경별로 풀어 쓴 권장 패턴이다. 조직 규모에 따라 조정하되, 운영 환경 칸의 '차단'만은 줄이지 않는 것이 좋다.

표에서 가장 자주 빠지는 줄은 자격증명이다. 개발자가 자기 계정의 키를 에이전트 설정에 그대로 넣으면, 에이전트는 그 사람이 할 수 있는 모든 일을 할 수 있다. 그리고 그런 키는 생각보다 많다.

지워진 뒤에 무엇이 남는가

권한 설계가 사고를 막는 벽이라면, 백업과 로그는 벽이 뚫렸을 때 얼마나 되돌릴 수 있는지를 정한다. 포켓OS의 결정적 실수는 백업이 운영 데이터와 같은 볼륨에 있었다는 점이다. 에이전트가 볼륨을 지우자 백업도 같이 사라졌고, 남은 것은 3개월 전 사본이었다.

아래 계산기는 내 서비스의 백업 구성에서 최악의 경우 몇 날치 데이터를 잃는지를 따져 본다. 백업이 운영과 같은 곳(같은 볼륨이거나, 운영 계정으로 지울 수 있는 곳)에 있으면 백업은 없는 것으로 친다.

기본값(하루 백업 · 같은 볼륨 · 분리 사본 90일)은 포켓OS 사고의 구조를 흉내 낸 가정값이다. 계산은 '분리 보관이면 운영 백업 주기, 같은 곳이면 분리 사본 주기'를 최대 손실 기간으로 두는 단순 모형이며, 로그 복제·시점 복구(PITR) 같은 장치는 반영하지 않았다.

무엇을 남겨야 사후에 복원할 수 있나

로그는 "무슨 일이 있었나"와 "누가 승인했나"를 답할 수 있어야 한다. 에이전트가 자기 로그를 지울 수 있다면 그 로그는 증거가 되지 못한다.

안전성·신뢰성·투명성을 운영 통제로 옮기면

「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」(AI 기본법)은 2026년 1월 22일 시행됐고, 개정된 일부 내용은 7월 21일부터 적용됐다. 법은 생성형·고영향 AI의 투명성 확보와, 고영향 AI 사업자의 위험관리·이용자 보호·설명·문서화 같은 안전성·신뢰성 조치를 요구한다.

짚어 둘 점이 있다. 사내에서 코딩 에이전트를 쓰는 모든 기업이 이 법의 직접 의무 대상은 아니다. 다만 에이전트를 제품에 넣어 고객에게 제공하거나, 고영향 영역에서 쓰는 순간 이야기가 달라진다. 아래는 법의 세 원칙을 에이전트 운영 통제로 옮겨 본 실무 준비용 대응표이며, 법률 자문이 아니다. 제목을 누르면 펼쳐진다.

회사에서도, 개인 PC에서도 같은 일곱 줄

규모가 달라도 원리는 같다. 개인 PC에서 코딩 에이전트를 쓸 때도 에이전트가 여는 폴더가 곧 권한이고, 설정 파일에 적어 둔 키가 곧 자격증명이다. 체크하면서 내려가 보자.

일곱 줄 중 가장 싸고 효과가 큰 것은 3번이다. 권한 설계는 시간이 걸리지만 백업을 다른 계정으로 옮기는 일은 오늘 할 수 있다. 포켓OS의 9초가 3개월치 손실이 된 이유가 바로 거기 있었다.