기업에서 AI Agent를 활용하는 범위가 넓어지면서 보안 관리의 기준도 달라지고 있습니다. 지금까지는 직원 한 사람에게 계정을 만들고, 업무에 필요한 시스템 권한을 부여하는 방식이 일반적이었습니다. 그런데 이제는 사람의 지시를 받아 실제 업무를 수행하는 AI Agent도 조직 안에서 하나의 ‘업무 주체’로 관리할 필요가 생겼습니다.
쉽게 말하면 AI Agent에도 사원증이 필요한 시점입니다. 이 사원증은 단순한 이름표가 아닙니다. 어떤 Agent인지, 누구의 권한으로 작동하는지, 어떤 시스템에 접근했는지 확인하기 위한 신원 정보에 가깝습니다.
AI Agent는 사람의 권한으로 여러 업무를 수행합니다
AI Agent는 자료를 찾아 정리하거나, 고객 문의를 분류하고, 내부 시스템의 정보를 조회하는 등 다양한 일을 맡을 수 있습니다. 문제는 Agent가 업무를 처리하는 과정에서 사람의 계정이나 시스템 권한을 대신 사용한다는 점입니다.
예를 들어 직원이 만든 Agent가 고객 정보나 사내 문서에 접근했다면, 나중에 “누가 이 정보를 조회했는가”를 확인할 때 직원 이름만으로는 충분하지 않을 수 있습니다. 실제로 어떤 Agent가 어떤 요청에 따라 움직였는지까지 확인해야 상황을 제대로 파악할 수 있습니다.
RSA Agent ID가 보여주는 변화
RSA는 최근 RSA Agent ID를 발표했습니다. 기업 환경에서 운영되는 AI Agent를 자동으로 찾아내고 등록한 뒤, 각 Agent가 누구의 권한으로 어떤 업무를 수행했는지 증명하는 것이 핵심입니다.
이 흐름은 AI Agent를 단순한 프로그램이 아니라 권한을 가진 디지털 업무 구성원으로 보기 시작했다는 뜻이기도 합니다. 사람 계정 관리와 별개로 프로그램, 서비스 계정, AI Agent의 신원을 구분해 관리해야 하는 이유가 커지고 있습니다.
보이지 않는 Agent가 더 큰 문제일 수 있습니다
Gartner는 직원들이 보안 부서가 파악하지 못한 AI Agent를 직접 만들고 사용하는 상황, 이른바 Shadow AI Agent 문제가 커질 수 있다고 경고했습니다. 업무 효율을 높이기 위해 만든 작은 자동화 도구라도 회사 데이터나 외부 서비스와 연결되면 보안 관리 대상이 됩니다.
모든 Agent를 막는 것이 답은 아닙니다. 어떤 Agent가 존재하는지 파악하고, 필요한 범위 안에서만 권한을 주며, 작업 기록을 남기는 관리 방식이 필요합니다. 사람에게만 ID를 발급하던 기업의 접근 방식은 이제 사람과 프로그램, 그리고 AI Agent까지 함께 관리하는 방향으로 바뀌고 있습니다.
AI Agent를 도입할 때 가장 먼저 확인할 질문은 기능이 얼마나 뛰어난가만이 아닙니다. 이 Agent가 누구를 대신해 무엇을 할 수 있는지, 그리고 그 활동을 나중에 확인할 수 있는지가 새로운 기준이 되고 있습니다.
