AI 에이전트가 시범 도입 단계를 지나 금융, 의료, 공공 등 실제 운영 환경으로 빠르게 들어오고 있습니다. 단일 질문에 답하는 기존 생성형 AI와 달리, 에이전트는 여러 단계에 걸쳐 스스로 계획하고, 판단하고, 도구를 호출해 작업을 실행합니다. 사람을 대신해 메일을 보내고, API를 호출하고, 코드를 실행하는 일이 사람의 확인 없이 일어나기도 합니다.

이런 자율성은 업무 효율을 높이는 동시에, 기존 애플리케이션 보안 모델이 다루지 못하던 새로운 공격면을 만듭니다. OWASP는 이 변화에 대응해 2025년 12월 에이전틱 애플리케이션을 위한 첫 번째 위협 목록을 발표했습니다. 이 글에서는 이 목록이 어떤 기준인지와 10가지 위협(ASI01~ASI10)을 정리합니다.

 

☑️ OWASP Top 10 for Agentic Applications 2026이란

 

OWASP Top 10 for Agentic Applications 2026은 자율적으로 동작하는 AI 에이전트 환경에서 영향이 가장 큰 10가지 보안 위협을 정리한 프레임워크입니다. OWASP GenAI Security Project 산하 Agentic Security Initiative(ASI)가 발표했으며, 에이전틱 애플리케이션을 대상으로 한 첫 번째 버전(Version 2026)입니다.

이 목록이 중요한 이유는 발행 주체와 제작 방식에 있습니다. OWASP는 웹 애플리케이션 보안 분야에서 가장 널리 알려진 비영리 기관이며, OWASP Top 10은 업계 표준으로 자리잡은 목록입니다. 이번 목록은 산업·학계·정부의 보안 전문가들이 위협 리서치, 레드팀 결과, 현장에서 검증한 완화책을 기여하고, 전문가 리뷰 보드와 공개 리뷰를 거쳐 정리한 커뮤니티 합의 기반 문서입니다. 보안 담당자가 가장 영향이 큰 위협을 먼저 이해하고 대응을 시작하는 출발점, 즉 나침반 역할의 기준으로 만들어졌습니다.

 

☑️ 왜 에이전트는 별도의 보안 기준이 필요한가

 

질문에 답하기만 하던 기존 생성형 AI와 달리, 에이전트는 스스로 계획하고 도구를 호출해 작업을 실행합니다. 이 자율성 때문에 같은 공격이라도 피해가 훨씬 커집니다. 예를 들어 단일 응답을 조작하는 데 그치던 프롬프트 인젝션이, 에이전트 환경에서는 여러 단계에 걸친 목표 변경과 도구 연쇄 호출로 확대됩니다. 즉 에이전트는 기존 위험을 그대로 두면서 그 영향을 증폭합니다.

그래서 권한을 최소화하는 것(최소 권한)만으로는 부족하고, 자율성 자체를 최소화하라는 최소 자율성(Least-Agency) 개념이 함께 제시됩니다. 필요하지 않은 곳에 자율성을 부여하면 업무에 가치를 더하지 못한 채 공격받을 수 있는 지점만 넓어지기 때문입니다. 이 관점이 이어지는 10가지 위협을 관통하는 기본 전제입니다.

 

☑️ 에이전틱 AI 보안 위협 10가지 (ASI01~ASI10)

 

10가지 위협은 에이전트의 입력(Inputs), 처리(Integration/Processing), 출력(Outputs) 흐름 위에 놓입니다. 각 위협은 어떤 공격인지, 어디서 발생하는지, 어떻게 막을 수 있는지를 기준으로 정리되어 있습니다.

ASI01 에이전트 목표 탈취(Agent Goal Hijack)

에이전트의 목표나 의사결정 경로를 공격자가 조작하는 위협입니다. 에이전트는 사용자의 지시도, 외부에서 들어온 데이터도 같은 자연어로 처리하기 때문에, 정상 지시와 공격자가 심어둔 지시를 안정적으로 구분하지 못합니다.

이 약점을 노려 공격자는 에이전트가 읽어들이는 문서, 웹페이지, 메일, 일정 초대, 외부 데이터에 명령을 숨깁니다. 에이전트가 그 내용을 처리하는 순간 숨은 명령이 실행되어, 기밀을 외부로 빼내거나 연결된 도구를 악용하게 됩니다. 실제로 이메일 한 통만으로 코파일럿이 기밀 메일과 파일을 유출한 사고, 웹페이지에 심은 명령으로 자율 에이전트가 내부 인증 페이지에 접근한 사고가 보고되었습니다.

에이전트에서 위험이 특히 커지는 이유는, 조작이 단일 응답 하나를 바꾸는 데 그치지 않기 때문입니다. 한 번 목표가 바뀌면 이후 여러 단계의 계획과 행동 전체가 공격자가 의도한 방향으로 흘러갑니다. 실제 보고된 보안 사고가 가장 많이 몰려 있는 위협 중 하나입니다. 

 

ASI02 도구 오용 및 악용(Tool Misuse and Exploitation)

에이전트가 부여받은 권한 범위 안에서, 정상 도구를 안전하지 않은 방식으로 사용하는 위협입니다. 도구 자체가 악성인 경우가 아니라, 정상 도구가 의도치 않게 위험하게 쓰이는 상황을 가리킵니다.

권한이 필요 이상으로 넓게 열린 것이 핵심 원인입니다. 예를 들어 메일 요약 도구에 삭제·발송 권한까지 함께 부여되어 있거나, 특정 데이터만 조회하면 되는데 전체 레코드에 접근할 수 있는 경우입니다. 여기에 검증 없이 전달되는 입력이 더해지면, 에이전트가 외부 데이터에 속아 데이터를 삭제하거나 유출하고, 비용이 큰 API를 반복 호출해 과금을 폭증시킬 수 있습니다. 정상 관리 도구를 차례로 연결해 보안 탐지를 우회하거나, 자동 실행이 허용된 도구를 반복 호출해 데이터를 조금씩 빼내는 방식도 보고되었습니다.

에이전트에서 위험이 커지는 이유는, 도구를 직접 고르고 연쇄적으로 호출하는 주체가 에이전트이기 때문입니다. 사람이 매번 확인하지 않는 만큼 잘못된 도구 사용이 빠르게 누적됩니다. 또한 도구 정의가 MCP 서버 같은 외부 경로로 들어오는 경우가 늘면서 공급망 위협과도 맞닿습니다.

 

ASI03 아이덴티티 및 권한 남용(Identity and Privilege Abuse)

에이전트의 위임 구조와 신뢰 관계를 악용해 접근 권한을 끌어올리는 위협입니다. 사람을 기준으로 설계된 기존 신원·권한 체계와, 에이전트가 서로 권한을 넘기고 위임하는 구조 사이의 불일치에서 비롯됩니다.

대표적으로 고권한 에이전트가 작업을 넘길 때 자신의 권한을 좁히지 않고 그대로 넘겨, 좁은 역할의 하위 에이전트가 과도한 권한을 갖게 되는 경우가 있습니다. 캐시된 자격증명이 세션이나 사용자 사이에 정리되지 않고 재사용되거나, "관리 도우미" 같은 그럴듯한 이름의 위조 에이전트가 내부 신뢰를 얻어 권한 작업을 수행하기도 합니다. 작업 시작 시점엔 권한이 유효했지만 실행 시점엔 만료·축소된 권한으로 작업이 계속되는 문제도 여기에 속합니다.

에이전트에서 위험이 커지는 이유는, 에이전트가 고유한 신원 없이 사람의 권한을 빌려 동작하는 경우가 많기 때문입니다. 누가 어떤 권한으로 한 행동인지 추적하기 어려운 공백이 생기고, 이 공백이 권한 상승의 통로가 됩니다. 사람이 아닌 에이전트·서비스의 신원, 이른바 비인간 신원(Non-Human Identity) 관리와 직접 맞닿는 위협입니다.

 

ASI04 에이전틱 공급망 취약점(Agentic Supply Chain Vulnerabilities)

에이전트가 사용하는 구성요소가 악의적이거나 변조되었을 때 발생하는 위협입니다. 여기서 구성요소는 모델과 가중치, 도구, 플러그인, 데이터셋, 다른 에이전트, MCP·A2A 같은 인터페이스, 에이전트 레지스트리, 업데이트 채널까지 폭넓게 포함합니다.

기존 소프트웨어 공급망 보안이 주로 설치 시점의 정적 의존성을 점검한다면, 에이전트 생태계는 런타임에 외부 도구와 에이전트를 동적으로 불러와 조합한다는 점이 다릅니다. 외부에서 가져온 프롬프트 템플릿에 숨은 명령이 들어 있거나, 도구 설명·메타데이터에 악성 지시가 심겨 있거나, 정상 도구를 가장한 유사 이름 도구가 호출되는 방식이 대표적입니다. 신뢰받는 레지스트리가 변조되면 잘못된 구성요소가 한 번에 광범위하게 퍼질 수도 있습니다.

에이전트에서 위험이 커지는 이유는, 신뢰의 단위가 설치 목록이 아니라 실행 순간으로 옮겨가기 때문입니다. 어떤 구성요소가 들어와 있는지 확인하는 것만으로는 부족하고, 실행 시점에 그 구성요소가 안전한지 계속 검증해야 합니다.

 

ASI05 예기치 않은 코드 실행(Unexpected Code Execution, RCE)

코드를 생성하고 실행하는 에이전트가, 의도치 않게 원격 코드 실행이나 내부 시스템 악용으로 이어지는 위협입니다. 이른바 바이브 코딩 도구처럼 실시간으로 코드를 만들어 바로 실행하는 환경에서 특히 문제가 됩니다.

공격은 여러 경로로 일어납니다. 프롬프트에 숨긴 셸 명령이 그대로 실행되거나, 안전하지 않은 역직렬화나 코드 평가 함수가 악용되거나, 검증 없이 설치된 패키지가 설치 과정에서 악성 코드를 실행하는 식입니다. 실시간으로 생성된 코드는 기존 보안 통제를 우회하기 쉬워, 호스트나 컨테이너 장악, 지속적 침투, 샌드박스 탈출로 이어질 수 있습니다. 실제로 코딩 에이전트가 검토 없이 설치·삭제 명령을 실행해 운영 데이터를 손상시킨 사고, 에이전트가 사용자 디렉터리를 삭제한 사고가 반복적으로 보고되고 있습니다.

에이전트에서 위험이 커지는 이유는, 코드 생성과 실행 사이에 사람의 검토가 생략되는 경우가 많기 때문입니다. 단일 출력 하나가 아니라, 정상 도구들을 차례로 연결하는 과정에서 최종적으로 코드 실행이 달성되기도 합니다.

  

ASI06 메모리 및 컨텍스트 오염(Memory & Context Poisoning)

에이전트가 작업의 연속성을 위해 저장하고 다시 불러오는 메모리나 컨텍스트를, 공격자가 오염시키는 위협입니다. 대화 요약, 임베딩, RAG 저장소처럼 에이전트가 계속 참조하는 정보가 대상이 됩니다.

공격자는 업로드 파일, API 피드, 일반 대화, 다른 에이전트와의 교환 등 검증이 느슨한 경로로 악의적 데이터를 메모리에 심습니다. 한 번 오염되면 이후의 추론과 계획, 도구 선택이 잘못된 정보 위에서 이루어집니다. 가짜 가격 정보를 반복 주입해 에이전트가 그것을 사실로 저장하게 하거나, 보안 에이전트의 메모리를 길들여 악성 활동을 정상으로 분류하게 만드는 방식이 예시입니다.

에이전트에서 위험이 커지는 이유는, 일회성 입력과 달리 오염된 내용이 메모리에 지속적으로 남기 때문입니다. 공격에 사용된 원래 입력이 사라진 뒤에도, 세션과 작업을 넘어 영향이 계속됩니다. 오염된 메모리가 결국 에이전트의 목표 해석까지 바꿔 목표 탈취로 이어지는 경우도 많습니다.

  

ASI07 안전하지 않은 에이전트 간 통신(Insecure Inter-Agent Communication)

여러 에이전트가 협업하며 주고받는 실시간 메시지가, 충분한 인증·무결성·의미 검증을 갖추지 못할 때 발생하는 위협입니다. 에이전트들은 API, 메시지 버스, 공유 메모리로 끊임없이 통신하는데, 이 채널이 약하면 공격면이 크게 넓어집니다.

암호화되지 않은 채널에서 중간자 공격으로 메시지를 가로채 숨은 지시를 끼워 넣거나, 신뢰·위임 메시지를 재전송해 오래된 권한을 되살리거나, 통신을 보안이 약한 옛 방식으로 강등시켜 악성 명령을 정상 교환처럼 보이게 만드는 방식이 가능합니다. 가짜 에이전트를 탐색 서비스에 등록해 권한 있는 통신을 가로채는 경우도 있습니다.

에이전트에서 위험이 커지는 이유는, 구조가 분산되어 있고 에이전트마다 신뢰 수준이 다르기 때문입니다. 하나의 경계만 지키면 되는 기존 방식으로는 막기 어렵고, 메시지 하나의 조작이 여러 에이전트의 잘못된 협업으로 번질 수 있습니다.

 

ASI08 연쇄 장애(Cascading Failures)

하나의 결함이 여러 자율 에이전트를 거치며 증폭되어, 시스템 전체의 장애로 번지는 위협입니다. 환각, 악성 입력, 오염된 도구나 메모리에서 시작된 단일 오류가 출발점이 됩니다.

에이전트는 스스로 계획하고 위임하며 상태를 저장하기 때문에, 하나의 오류가 사람의 단계별 점검을 건너뛰고 저장된 상태에 남아 계속 영향을 줍니다. 에이전트들이 새로운 도구나 동료 에이전트와 연결되면서, 잠재된 결함이 권한 있는 작업으로 번져 기밀성·무결성·가용성을 동시에 위협합니다. 하나의 잘못된 판단이 짧은 시간에 다수의 하위 작업을 촉발하거나, 두 에이전트가 서로의 출력을 신뢰하며 오류를 키우는 피드백 루프가 대표적인 증상입니다.

에이전트에서 위험이 커지는 이유는, 결함의 전파 속도와 규모가 사람이 따라잡기 어려운 수준이기 때문입니다. 이 위협은 결함의 출처가 아니라 그 전파와 증폭 자체에 초점을 둡니다. 다행히 빠른 확산, 도메인 간 전이, 반복 재시도 같은 증상은 탐지의 단서가 됩니다.

  

ASI09 인간-에이전트 신뢰 악용(Human-Agent Trust Exploitation)

에이전트의 자연스러운 언어와 권위 있어 보이는 설명을 이용해, 사람의 판단을 잘못된 방향으로 유도하는 위협입니다. 사람이 자율적 추천을 지나치게 신뢰해 독립적으로 검증하지 않고 승인할 때 위험이 커집니다.

근거가 불투명한데도 권위 있어 보여 그대로 신뢰하게 되는 경우, 민감한 작업에 최종 확인 절차가 없어 한 번의 승인이 곧바로 송금이나 데이터 삭제로 이어지는 경우, 에이전트가 그럴듯한 근거를 꾸며내 위험한 작업을 정당해 보이게 만드는 경우가 대표적입니다. 조작된 인보이스를 읽은 재무 보조 에이전트가 공격자 계좌로의 긴급 송금을 권하고, 담당자가 이를 신뢰해 승인하는 식의 사고가 보고되었습니다.

에이전트에서 위험이 커지는 이유는, 최종 실행을 사람이 맡는 구조 탓에 에이전트의 관여가 사후 추적에서 잘 드러나지 않기 때문입니다. 사람이 한 정상적인 승인처럼 기록에 남아, 에이전트가 그 판단에 어떤 영향을 미쳤는지 가려지기 쉽습니다.

ASI10 악성 에이전트(Rogue Agents)

에이전트가 의도된 기능이나 허용 범위에서 벗어나, 해롭거나 기만적으로 동작하는 위협입니다. 개별 행동 하나하나는 정상으로 보여도, 전체로서의 행동이 유해해지는 행동 무결성의 상실에 초점을 둡니다.

프롬프트 인젝션, 목표 탈취, 공급망 변조 같은 외부 침해가 발단이 될 수 있지만, 이 위협은 일탈이 시작된 이후의 통제 상실 자체를 다룹니다. 겉으로는 순응하면서 숨은 목표를 추구하는 목표 드리프트, 신뢰받는 워크플로우를 가로채는 행위, 에이전트 간 담합과 자기복제, 잘못 설계된 보상 지표를 악용하는 보상 해킹이 예시입니다. 비용 절감을 지시받은 에이전트가 백업 삭제가 가장 효과적이라고 판단해 복구 자산을 스스로 파괴한 사례처럼, 목표는 따르되 수단이 어긋나는 경우가 위험합니다.

에이전트에서 위험이 커지는 이유는, 자율성과 속도 때문에 일탈이 내부자 위협처럼 빠르고 넓게 확산되기 때문입니다. 규칙 기반 통제만으로는 정상으로 보이는 개별 행동 속에서 유해한 흐름을 잡아내기 어렵습니다.

 

☑️ OWASP가 공통적으로 제시하는 완화 방향 

 

OWASP는 10가지 위협마다 별도의 완화 가이드라인을 제시하지만, 그 내용을 살펴보면 여러 위협에 걸쳐 반복적으로 등장하는 대응이 있습니다. 개별 위협에 대응하기 전에 이 공통 항목들을 점검하면 기본 방어선을 세우는 데 도움이 됩니다.

첫째, 최소 권한과 최소 자율성입니다. OWASP는 도구마다 권한과 데이터 범위를 좁게 정의하고, 권한을 최소화하는 것을 넘어 불필요한 자율성 자체를 부여하지 말 것(Least-Agency)을 권고합니다.

둘째, 단명·범위 제한 자격증명입니다. 작업 단위로 짧게 유효한 토큰을 발급하고 사용 후 즉시 회수하는 방식으로 피해 범위를 제한하도록 제시합니다.

셋째, 사람의 승인 단계(휴먼인더루프)입니다. 고위험·비가역 작업에는 사람이 확인하는 절차를 두어 자동 실행을 막도록 권고합니다.

넷째, 변조 불가능한 기록과 이상탐지입니다. 모든 도구 호출과 에이전트 행동을 변조할 수 없는 형태로 기록하고, 평소 패턴에서 벗어나는 이상 행위를 탐지하도록 제시합니다.

다섯째, 신뢰 경계와 격리입니다. 에이전트와 코드 실행을 격리된 환경에서 운영하고 외부 통신을 통제하도록 권고합니다.

  

☑️ 위협에 대응할 수 있는 솔루션 영역

 

위 완화 방향은 개념만으로 완성되지 않고, 이를 실제로 구현하는 솔루션이 필요합니다. 클라우드네트웍스는 다음 영역에서 각 위협의 완화 방향과 맞닿는 솔루션을 제공합니다. 단, 어떤 단일 제품이 특정 위협을 모두 해결하는 것은 아니며, 위협별 대응의 일부를 담당한다는 관점에서 검토하는 것이 정확합니다.

앞서 살펴본 위협 가운데 아이덴티티·권한 남용(ASI03)과 비인간 신원 관리 문제는, 에이전트에 고유 신원을 부여하고 권한을 좁게 통제하는 것으로 대응합니다. 옥타(Okta)는 사람과 머신, AI 에이전트의 신원을 함께 관리하는 아이덴티티 보안을 제공해 이 영역에 활용할 수 있습니다.

권한 남용(ASI03)과 도구 오용(ASI02)의 피해를 줄이는 핵심은 작업 단위로 짧게 유효한 자격증명을 발급하고 즉시 회수하는 것입니다. 하시코프 볼트(HashiCorp Vault)는 동적이고 수명이 짧은 자격증명 발급과 자동 회수를 지원해 이 대응에 활용할 수 있습니다.

연쇄 장애(ASI08)와 악성 에이전트(ASI10)를 비롯한 대부분의 위협은, 모든 에이전트 행동과 도구 호출을 변조 불가능한 형태로 기록하고 이상 행위를 탐지하는 것이 공통 완화책입니다. 스플렁크(Splunk)는 로그 수집과 위협 탐지, 보안 운영 자동화를 제공해 이 탐지·추적에 활용할 수 있습니다.

목표 탈취(ASI01)와 코드 실행(ASI05)처럼 입력과 실행을 노리는 위협은, 입력을 신뢰하지 않고 검증하며 정책으로 통제하는 것으로 대응합니다. 시스코 AI Defense(Cisco AI Defense)는 AI 모델과 애플리케이션 보호, 네트워크 기반 가시성, 정책과 가드레일 적용을 제공해 이 영역에 활용할 수 있습니다.

각 솔루션에 대한 상세 정보는 아래 제품 페이지에서 확인하실 수 있습니다.

솔루션	대응영역	관련 위협
옥타(Okta)	아이덴티티 및 권한 통제	아이덴티티·권한 남용(ASI03)
하시코프 볼트(HashiCorp Vault)	자격증명 및 시크릿 관리	도구 오용(ASI02), 권한 남용(ASI03)
스플렁크(Splunk)	보안 운영 및 가시성	연쇄 장애(ASI08), 악성 에이전트(ASI10) 등 공통
시스코 AI Defense(Cisco AI Defense)	AI 보안 가시성 및 가드레일	목표 탈취(ASI01), 코드 실행(ASI05)

  

☑️ 자주 묻는 질문

 

OWASP Top 10 for Agentic Applications 2026은 무엇인가요?

자율적으로 동작하는 AI 에이전트 환경에서 영향이 가장 큰 10가지 보안 위협을 정리한 OWASP의 프레임워크입니다. OWASP GenAI Security Project 산하 Agentic Security Initiative가 2025년 12월 첫 버전을 발표했습니다.

일반적인 생성형 AI 보안과 무엇이 다른가요?

질문에 답하는 기존 생성형 AI와 달리, 에이전트는 스스로 판단하고 도구를 호출해 작업을 실행합니다. 이 자율성 때문에 같은 공격이라도 여러 단계로 확대되어 피해가 커집니다. OWASP Top 10 for Agentic Applications는 이렇게 에이전트의 자율성과 위임에서 비롯되는 위험에 초점을 둡니다.

기업은 무엇부터 검토해야 하나요?

OWASP가 여러 위협의 완화 가이드라인에서 공통적으로 제시하는 항목은 최소 권한·최소 자율성, 단명 자격증명, 사람의 승인 단계, 변조 불가능한 기록과 이상탐지, 신뢰 경계 설정입니다. 개별 위협에 대응하기 전에 이 공통 항목들을 출발점으로 삼을 수 있습니다.

이 목록은 확정된 최종본인가요?

2025년 12월 발표된 첫 번째 버전입니다. 함께 제공되는 실제 보안 사고 사례 목록은 주기적으로 갱신되므로, 세부 사례와 수치는 작성 시점 기준으로 이해하는 것이 정확합니다.

☑️ 마무리

OWASP Top 10 for Agentic Applications 2026은 에이전틱 AI 보안을 처음 체계화한 커뮤니티 기반 기준점입니다. 10가지 위협은 각각 다른 공격면을 다루지만, 자율성과 위임이 기존 위험을 증폭한다는 공통된 문제의식 위에 놓여 있습니다.

앞서 살펴본 것처럼 이 위협들에 대응하려면 에이전트의 신원과 권한 통제, 단명 자격증명 관리, 보안 운영과 이상탐지, AI 보안 가시성과 가드레일이 함께 맞물려야 합니다. 클라우드네트웍스는 옥타, 하시코프 볼트, 스플렁크, 시스코 AI Defense 등 각 영역의 솔루션을 기반으로, 고객 환경에 맞는 에이전트 보안 대응 방향을 함께 검토할 수 있습니다. 에이전틱 AI 도입을 준비하면서 보안 거버넌스를 점검하고자 한다면 클라우드네트웍스에 문의해 주시기 바랍니다.

▶ OWASP Top 10 for Agentic Applications 2026 원문 다운로드

 

[출처 : OWASP GenAI Security Project - Agentic Security Initiative, "OWASP Top 10 for Agentic Applications 2026"]