Google Cloud에서 에이전트형 엔터프라이즈 보호

기업이 가장 많이 언급한 우려 사항은 민감한 정보 노출(52%)과 규정 준수(50%)입니다(출처: Cloud Security Alliance, 2025년 12월). 그러나 기업이 자율형 에이전트 AI로 전환함에 따라 다음과 같은 중대한 새로운 벡터가 도입됩니다.

• 취약점 악용까지 걸리는 평균 시간이 마이너스 7일로 급감했습니다. 즉, 소프트웨어 패치가 게시되기도 전에 제로데이가 일상적으로 악용되고 있습니다(출처: Mandiant M-Trends 보고서).
• 최신 클라우드 환경에서는 인간 외의 워크로드 아이덴티티가 인간 아이덴티티보다 82배 더 많습니다(출처: Google Cloud NEXT 2026).
• 현재 활성 상태인 엔터프라이즈 AI 에이전트의 42%가 민감한 데이터에 대한 권한 또는 과도한 권한을 보유하고 있습니다(출처: Google Cloud NEXT 2026).
• 머신 속도로 빠르게 전개되는 공격에 대응하려면 인프라, 데이터, 모델, 자율 에이전트를 포함한 AI 스택 전반을 동시에 보호해야 합니다.

섀도 AI는 개발자나 비즈니스 단위가 IT 검토 없이 허가되지 않은 모델, 외부 API 또는 서드 파티 에이전트 스킬을 배포할 때 발생합니다.

• 공개 마켓플레이스에서 제공되는 에이전트 스킬의 15% 이상이 악성인 것으로 알려져 있습니다(출처: Google Cloud NEXT 2026).
• 조직의 68%는 서드 파티 소프트웨어에 내장된 자체 호스팅 모델을 실행하고 있습니다. 그런데 이중 상당수는 이를 인지하지 못하고 있습니다(출처: Wiz, 2026년 클라우드 AI 현황).
• 섀도 AI를 감지하기 위해 조직은 15분 만에 API를 통해 연결되어 동적 AI-자재명세서(AI-BOM)를 생성하는 Wiz AI-APP을 사용합니다. 이를 Gemini와 결합하면 모든 활성 에이전트, 커스텀 MCP 서버, 외부 도구를 분류하고 제어하는 중앙 집중식 Agent Registry를 활용할 수 있습니다.

아니요. 기술 부족이 문제로 인식되고 있지만, 공식적인 AI 거버넌스를 갖춘 조직은 직원에게 AI 보안 도구에 대한 교육을 제공할 가능성이 3배 더 높으며(출처: Cloud Security Alliance, 2025년 12월), 현재 보안팀이 AI 보호를 주도하는 조직은 53%에 달합니다(출처: Cloud Security Alliance, 2025년 12월). Google Cloud는 보안을 플랫폼 패브릭으로 직접 전환합니다. 기본 구성은 Enterprise Foundations Blueprint를 통해 자동화되고, 런타임 상호작용은 Model Armor에 의해 기본적으로 제어되며, CodeMender 및 Wiz Green Agent와 같은 자율적인 탐색 및 수정 에이전트는 개발자 워크플로에서 직접 관용적 코드 패치를 테스트하고 생성합니다.

자율 에이전트를 보호하려면 정적 서비스 계정에서 벗어나야 합니다. 인간 외의 ID가 인간보다 82배 더 많고, 활성 에이전트의 42%가 과도한 권한을 보유하고 있기 때문에(출처: Google Cloud NEXT 2026) Google Cloud는 ID 우선 보안 스택을 구축합니다.

• 에이전트 아이덴티티: 인간 사용자와 구별되는 전용 최상위 보안 주체 유형으로, 암호화되고 강력하게 증명된 수명 주기 바인딩 런타임 사용자 인증 정보를 프로비저닝합니다.
• 최소 권한 제어: Privileged Access Manager(PAM)를 사용하여 적시(Just-in-Time) 액세스 방식으로 기능을 제한하고 상시 권한을 제거합니다.
• 보안 주체 액세스 경계(PAB): 강력한 리소스 경계를 적용하여 실행 중인 에이전트 아이덴티티의 최대 영향 범위를 제한합니다.

안전한 AI 프레임워크(SAIF)는 안전하고 책임감 있는 AI 배포를 위한 Google의 개념적 아키텍처입니다. Binary Authorization을 통해 검증된 SLSA 레벨 3 빌드 출처 기록, Cloud Build의 자동화된 코드형 정책 검사, 지속적인 위협 감지를 의무화하여 제로 트러스트 보안 원칙을 AI 시스템에 적용합니다. 에이전트형 환경에서 SAIF는 설계, 인벤토리, 가로채기, 방어의 4단계 수명 주기를 통해 운영됩니다(출처: 안전한 AI 혁신 eBook, 6장).

모델 컨텍스트 프로토콜(MCP)은 자율 AI 에이전트가 외부 데이터 소스, 엔터프라이즈 도구, 비즈니스 API에 연결할 수 있도록 지원하는 개방형 표준입니다. 그러나 관리되지 않는 커스텀 MCP 통합은 검증되지 않은 위험한 엔드포인트를 프로덕션에 도입합니다. Google Cloud는 Google Cloud 관리형 MCP 서버(예: BigQuery용 MCP 서버)를 통해 에이전트형 도구를 보호합니다. 이를 통해 에이전트가 기업 데이터베이스와 상호작용하는 방식을 표준화하고, 범위를 엄격하게 제한하고, 감사 가능한 IAM 권한을 적용하며, 커스텀 API 래퍼를 강화된 엔터프라이즈 관리형 연결로 대체합니다(출처: Google Cloud NEXT 2026).

세션 블리딩은 멀티 테넌트 또는 멀티 에이전트 환경에서 한 사용자의 세션에 있는 비공개 대화 컨텍스트, 사용자 토큰 또는 민감한 기업 데이터가 의도치 않게 다른 사용자의 세션으로 유출될 때 발생합니다. Google Cloud는 에이전트 개발 키트(ADK)를 통해 세션 블리딩을 제거합니다(출처: 안전한 AI 혁신 eBook, 2장).

• 테넌트 격리: ADK는 네이티브 session_id 및 user_id 기본 요소를 사용하여 엄격한 사용자 경계와 실행 격리를 적용합니다.
• 사용자 인증 정보 분리: 다운스트림 인증 토큰이 격리되어 에이전트가 서로 다른 사용자 세션 간에 사용자 인증 정보나 대화 상태를 전달할 수 없습니다.

예. 조직은 평균 2.6개의 서로 다른 모델을 실행하는 멀티 모델 전략을 추구합니다(출처: Cloud Security Alliance, 2025년 12월). Google Cloud는 Gemini를 중앙 집중식 실행 컨트롤 플레인으로 사용하여 멀티 모델 거버넌스를 지원합니다. 프롬프트 정리를 위한 Model Armor와 시맨틱 거버넌스 정책을 포함한 통합 런타임 가드레일은 퍼스트 파티 Gemini 모델, 오픈소스 모델, 서드 파티 모델 전반에 일관되게 적용됩니다. 멀티 클라우드 환경(AWS Bedrock, Databricks, 비관리형 오픈소스 포함)의 경우 Wiz 보안 그래프가 모든 클라우드 제공업체의 취약점과 공격 경로를 매핑합니다(출처: Google Cloud NEXT 2026).

아니요. CodeMender는 개인 정보 보호를 최우선으로 하는 로컬 실행 아키텍처를 기반으로 설계되었습니다(출처: 안전한 AI 혁신 eBook, 4장).

• 로컬 CLI 처리: CodeMender 스캔 엔진은 개발자의 보안 환경 내에서 직접 실행되는 로컬 명령줄 인터페이스를 통해 작동합니다.
• 격리된 샌드박싱: 애플리케이션 빌드 및 활성 익스플로잇 확인은 자체 인프라의 격리된 샌드박스 내에서 실행됩니다.
• 모델 학습 없음: 독점 소스 코드와 지식 재산은 엄격하게 보호되며 Google 파운데이션 모델을 학습시키는 데는 절대 사용되지 않습니다. 개발자는 코드 패치가 병합되기 전에 적용되는 표준 IDE/CLI 워크플로와 휴먼인더루프(HITL) 승인 게이트를 통해 전 과정을 직접 감독할 수 있습니다.

기업은 핵심 인프라를 노출하지 않고 고위험 비즈니스 로직을 실행하기 위해 BYOC(Bring Your Own Container) 참조 아키텍처를 사용합니다.

• 컨테이너 샌드박싱: 고위험 자율 에이전트(예: 인벤토리 또는 물류 담당)는 Cloud Run의 격리된 컨테이너에 배포됩니다.
• 엄격한 권한 분리: 배포 시간 인프라 권한은 런타임 실행 권한과 엄격하게 분리됩니다.
• 휴먼인더루프(HITL) 게이트: 에이전트 개발 키트(ADK)는 프로그래밍된 일시 중지 지점을 제공하며, 위험도가 높은 작업(예: 처리 API 시작 또는 금융 지출)은 실행 전에 반드시 명시적인 인간의 승인을 받도록 합니다.

Google Cloud는 지연 시간 증가 없이 페이로드를 정제하기 위해 이중 가드레일 런타임 솔루션을 적용합니다.

1. 액세스 제어(IAM 경계): Agent Gateway에서 기본적으로 적용되며, 연결을 라우팅하기 전에 IAP(Identity-Aware Proxy)를 사용하여 호출자 디지털 ID를 암호화 방식으로 확인합니다.
2. 인텐트 제어(시맨틱 경계): Model Armor는 인라인 프록시로 작동하며 사용자, 에이전트, 모델 상호작용을 실시간으로 검사하여 프롬프트 인젝션을 무력화하고, 탈옥을 방지하고, 민감한 PII를 수정합니다. 또한 애플리케이션 계층에서는 에이전트 개발 키트(ADK)가 입력 검증(예: BeforeToolCallback)을 적용하여 BigQuery 테이블에 대한 간접 SQL 삽입을 차단합니다.

데이터 유출을 방지하려면 네트워크, 애플리케이션, 모델 계층 전반에 걸친 심층 방어가 필요합니다.

• 비공개 토폴로지: AI 워크로드는 VPC 서비스 제어(VPC-SC)로 격리된 중앙 관리형 공유 VPC에서 실행되어 전체 에이전트 생태계 주변에 매크로 경계를 생성합니다.
• 인라인 정제: Model Armor는 프롬프트 입력과 모델 출력에서 민감한 고객 데이터와 PII를 자동으로 삭제하거나 수정합니다.
• 토큰 없는 인증: 에이전트 아이덴티티 인증 관리자가 사용자를 대신하여 복잡한 다운스트림 OAuth 핸드셰이크를 처리하고, 에이전트에 원시 사용자 인증 정보를 노출하지 않고 토큰을 안전하게 전달합니다.
• 컨피덴셜 컴퓨팅: 활성 모델 처리 중에 메모리를 암호화하여 사용 중인 데이터를 보호합니다.