에이전트를 사용하여 내부자 위협을 차단하는 방법

에이전트 아키텍처의 구성이 부실한 경우가 많다는 점과 이러한 위험이 결합되면 공격 표면이 확대될 수 있습니다. 신뢰할 수 있는 요청과 신뢰할 수 없는 요청을 에이전트가 구분하지 못하면 위험은 더욱 커집니다. 에이전트의 과도한 자율성과, 승인되지 않거나 조작된 에이전트 작업을 감지하고 중지할 수 없는 상황이 결합되면 재앙이 발생할 수밖에 없습니다.

에이전트를 지원하는 이 새로운 업무 환경에서 내부자 위협은 최소한 네 가지 방식으로 나타날 수 있습니다.

• 악의적인 인간과 악의적인 에이전트: 인간은 악의적인 의도(예: 금전적 이득, 불만, 이념, 스파이 활동)를 가지고 있으며, 에이전트는 목표와 일치하지 않거나 통제되지 않은 상태로 활동합니다.

• 악의가 없는 인간과 악의적인 에이전트: 에이전트는 설계상 적대적이지만(예: 모델 및 학습 데이터 오염) 인간은 어떠한 악의도 없습니다.

• 악의가 없는 인간과 악의가 없는 에이전트: 인간과 에이전트 모두 의도하지 않은 방식으로 행동합니다. 인간은 태만하며 에이전트는 작업을 수행하기 위해 의도치 않게 통제에서 벗어나게 됩니다.

• 악의적인 인간과 악의적이지 않은 에이전트: 인간이 에이전트를 사용하여 취약점을 찾거나 시스템을 감시하는 등의 악의적인 작업을 실행합니다. 

불량 에이전트에 관한 현재 논의의 상당 부분은 모델 정렬, 즉 인간 피드백 기반 강화 학습(RLHF)과 미세 조정을 통해 자율 시스템이 바람직한 특정 방식으로 행동하도록 만드는 일에 초점을 맞춥니다. 모델의 정렬이 우수하면 당연히 모델이 더 적절하게 동작할 확률이 높아집니다. 이제 안전 전문가들은 모델 정렬이 필수 요소 중 하나일 뿐이며 완전한 솔루션은 아니라고 주장합니다.  

에이전트 시스템을 구현하는 기업에는 모델 제어와 표면 영역 강화, 김지 및 대응과 같은 기존 보안 방법의 결합이 필요합니다. 에이전트와 인간 팀 또는 단독 에이전트는 신속하게 움직여야 하므로, 기계 수준의 대응 능력이 필수적입니다. 

보안은 Gemini의 본질적인 요소로, 모델과 에이전트 및 네트워크 계층에서 즉시 사용 가능한 보안 제어 기능을 제공합니다. 이를 통해 기업은 감사 가능한 방식으로 모든 에이전트와 작업을 추적하고 확인할 수 있습니다. 다음은 Agent Studio를 사용하는 로우 코드 에이전트와 에이전트 개발 키트를 사용하는 하이 코드 에이전트로 내부자 위험을 최소화하기 위해 Google에서 권장하는 방법입니다.

1. 에이전트 아이덴티티 및 액세스 권한: 최소 권한의 원칙에 따라 에이전트에 대한 세분화된 액세스 제어를 정의합니다. 에이전트의 아이덴티티 유형(전용 또는 위임)을 확인하고 에이전트 아이덴티티를 사용합니다. 가장 제한적인 리소스에는 에이전트 자체 ID에만 바인딩된 가장 제한적인 역할을 부여하고, 공유 계정은 절대로 사용하지 않습니다.

2. Agent Governance: 최소 에이전시 원칙을 따르고 비잔틴 내결함성을 도입하여 단일 지점 장애와 결탁을 완화하고, 모듈성을 유지하며, 영향 범위를 제한합니다.  Agent Gateway와 시맨틱 거버넌스 정책을 사용하여 에이전트 상호작용과 도구 호출을 제어합니다.

3. Agent Artifact Registry: 에이전트 작업을 에이전트 ID 및 데이터 계보 프로세스에 매핑합니다. 에이전트 작업에 대한 감사 추적을 통해 에이전트의 이상 행동이나 정책 위반을 감지합니다.  Agent Registry를 사용하여 모든 에이전트, 도구, 기술, 엔드포인트의 인벤토리를 유지합니다. 

4. 공격 표면 관리: Agent Gateway와 Private Service Connect 및 Private Ingress(비공개 URL)를 함께 사용하여 의도치 않은 외부 노출을 완화합니다. 

5. 요청 승인: 하이 코드 에이전트의 경우 REQUEST-AUTHZ를 IAP(Identity-Aware Proxy)와 함께 사용하여 에이전트 호출을 가로채고 HTTP 헤더를 검사합니다.

6. 콘텐츠 승인: 데이터 손실 방지를 달성하고, 콘텐츠 수준 가드레일을 적용하고, 하이 코드 에이전트에  Model Armor 및 CONTENT_AUTHZ를 사용하여 데이터를 정리합니다.

7. 위협 감지:  Agent Platform Threat Detection을 사용하여 시맨틱 공격 감지(예: 프롬프트 인젝션, 탈옥)에 대한 알림을 보내고, 자동 대응을 실행하여 손상된 Agent Runtime을 격리합니다. 하이 코드 에이전트의 경우에는 BeforeToolCallback 및 AfterToolCallback을 사용하여 결정론적 규칙을 적용해 프롬프트 인젝션을 차단하고 출력을 검증합니다.

8. 의도 및 기능 제약: 의도를 제약하는 모델 수준 제어(입력 정제, 데이터 수집 최소화, 범위 격리)와 기능을 제약하는 에이전트 수준 제어(목표 제한 설정, 휴먼인더루프, 최소 권한 IAM)를 통해 심층 방어를 달성합니다.

9. 네트워크 보안:  VPC-SC를 보안 주체 액세스 경계와 결합하여 에이전트 환경을 위한 포괄적인 네트워크 방어 체계를 구축합니다.

10. 멀티 테넌트 컨텍스트 매핑: 업스트림 테넌트 컨텍스트(예: X-Tenant-ID)를 Agent Gateway에 있는 사용자의 검증된 디렉터리 사용 권한에 바인딩합니다. 신뢰할 수 없는 원시 헤더를 제거하고 다운스트림 암호화 서명 JWT를 발행하여, 침해되거나 삽입된 런타임이 테넌트 파라미터를 스푸핑하고 측면 데이터 에스컬레이션 공격(혼동된 대리인)을 실행하지 못하게 합니다.

에이전트(또는 아시모프가 상상한 로봇)와 함께 살아가려면, 우리에게는 강력한 모델 제어 기능과 전통적인 보안 관행의 지원을 받는 잘 정렬된 모델이 필요합니다. 이러한 모델 제어 기능과 관행은 모델이 제대로 정렬되지 않은 경우에도 정상적으로 작동합니다.

이 모든 것은 내부자 위험 프로그램이 인간과 에이전트를 구분하지 않는 미래를 시사합니다. 이러한 미래에는 에이전트가 내부자 위험 관리에 동원될지도 모릅니다. 자세히 알아보려면 CISO 인사이트 허브를 확인하세요.