인공지능이 질문에 답하는 단계를 넘어 이메일을 보내고, 앱을 실행하고, 시스템 설정을 바꾸는 ‘AI 에이전트’로 이동하고 있다. 편의성이 커지는 만큼 AI가 잘못된 판단을 하거나 공격자의 지시를 받아들였을 때 영향을 미치는 범위도 넓어진다. 최근 한국인터넷진흥원(KISA)의 사이버 모의훈련과 유럽연합(EU)의 Android 상호운용성 조치는 이 변화를 서로 다른 방향에서 보여준다.

KISA는 9월 1일 과학기술정보통신부와 함께 ‘2026년 하반기 사이버 위기 대응 모의훈련’ 참여 기업 모집을 시작했다. 기존 훈련은 임직원 대상 해킹메일, 디도스 공격 대응, 기업 홈페이지 모의침투, 서버 취약점 탐지 등 네 분야로 진행된다. 이번에는 기업 홈페이지 모의침투 과정에 AI 에이전트를 시범적으로 활용한다.

모집 기간은 10월 2일까지이며 훈련은 10월 19일부터 30일까지 진행된다. 규모나 업종과 관계없이 민간기업이 신청할 수 있다. 이는 AI가 실제 공격을 벌였다는 발표가 아니라 참여 기업이 동의한 통제된 환경에서 대응 능력을 점검하는 훈련이다. 다만 기존에 사람이 수행하던 취약점 탐색과 공격 경로 확인의 일부를 에이전트가 맡는다는 점에서 공격 자동화가 기업 보안 현장으로 들어오고 있음을 보여준다.

✦

11개 Android 기능이 개방 대상

유럽에서는 같은 기술이 이용자의 일을 대신하는 서비스 경쟁의 중심에 놓였다. EU 집행위원회는 7월 16일 디지털시장법(DMA)에 따라 Google이 제3자 AI 서비스에 Android 기능을 개방하도록 하는 최종 결정을 채택했다. 집행위원회는 유럽 모바일 이용자의 약 60%가 Android 기기를 사용하지만, 음성 호출과 화면 맥락 이해, 다른 앱에서 작업을 실행하는 기능은 Google의 Gemini에 유리하게 제공돼 왔다고 판단했다.

개방 대상은 AI 서비스를 음성으로 호출하는 기능, 화면 내용을 바탕으로 작업하는 기능, 앱과 상호작용하는 컴퓨터 제어, 밝기·미디어·방해금지 모드·블루투스 같은 시스템 설정, 기기에 탑재된 온디바이스 모델 접근 등 11개 기능이다. 이메일 전송이나 음식 주문, 사진 공유처럼 이용자를 대신해 다른 앱에서 행동하는 기능도 포함된다.

대부분의 조치는 차기 주요 운영체제인 Android 18과 늦어도 2027년 8월 1일까지 구현해야 한다. 여러 AI 서비스가 각자의 호출어를 동시에 사용할 수 있게 하는 기능은 Android 19와 2028년 8월 1일이 시한이다. 집행위원회는 이용자가 어떤 AI 서비스에 어떤 기능을 허용할지 동의 절차를 통해 선택하게 하고, 개인정보보호규정과 사이버복원력법도 계속 적용된다고 설명했다.

넓어진 권한, 공격면도 함께 넓어진다

KISA의 모의침투와 EU의 Android 개방은 겉으로는 공격 훈련과 경쟁정책이라는 별개의 사안이다. 그러나 두 사례의 공통점은 AI 모델에 ‘행동할 수 있는 도구’를 연결한다는 데 있다. 홈페이지 점검 도구를 받은 에이전트는 취약점을 찾고 요청을 반복할 수 있다. 스마트폰 기능에 연결된 에이전트는 화면을 읽고 앱을 열어 메시지를 보내거나 설정을 바꿀 수 있다.

이때 위험은 AI 답변 한 줄이 틀리는 수준을 넘어선다. 외부 웹페이지나 이메일에 숨은 명령을 정상 지시로 오인하는 프롬프트 인젝션, 과도하게 부여된 앱 권한, 탈취된 인증정보가 결합하면 에이전트가 이용자의 의도와 다른 행동을 연속적으로 수행할 가능성이 생긴다. 개인 휴대전화에서 업무 메일과 일정, 클라우드 문서, 결제수단을 함께 사용하는 환경이라면 한 번의 잘못된 권한 부여가 기업 데이터까지 이어질 수 있다.

Google은 8월 5일 공개한 입장에서 제3자 AI 에이전트에 깊은 시스템 접근을 허용하면 Android의 기존 보안 구조가 약해질 수 있다고 주장했다. 특히 제3자 인증기관을 거쳐 제한 기능에 접근하는 방식에서 Google과 기기 제조사가 승인 정지와 철회 권한을 유지해야 한다고 강조했다. 반면 EU 집행위원회는 플랫폼 사업자가 자사 AI에만 핵심 기능을 제공하면 경쟁 서비스의 혁신이 막힌다고 본다. 동시에 플랫폼 사업자가 시스템 무결성을 지키기 위해 필요하고 비례적인 보호조치를 적용할 수 있다고 명시했다.

양측의 주장은 개방과 보안 가운데 하나만 선택해야 한다는 뜻으로 읽기 어렵다. 쟁점은 제3자 AI를 일괄 차단할 것인지가 아니라, 각 기능의 위험도에 맞춰 접근 권한과 책임을 얼마나 세분화할 수 있는지에 가깝다.

권한 설계가 에이전트 경쟁력 가른다

AI 에이전트를 업무에 도입하는 기업에서는 모델의 답변 정확도만으로 안전성을 판단하기 어려워졌다. 조회와 실행 권한을 분리하고, 필요한 도구만 제한된 시간 동안 허용하며, 송금·외부 전송·계정 변경처럼 되돌리기 어려운 행동은 사람의 추가 승인을 받도록 하는 구조가 중요해진다. 이용자가 ‘이 앱을 허용한다’고 한 번 동의하는 방식보다 에이전트가 어떤 데이터로 무슨 행동을 하려는지 실행 시점에 확인할 수 있어야 한다.

미국 국립표준기술연구소(NIST)는 2026년 AI 에이전트의 신원과 권한을 다룬 개념 문서에서 최소 권한, 사람을 대신해 행동할 때의 위임 관계, 변경하기 어려운 감사기록, 프롬프트 인젝션 대응을 주요 검토 항목으로 제시했다. 이는 의무 표준이 아니라 향후 보안 기준을 마련하기 위한 논의 문서지만, 에이전트의 신원을 사람 계정과 구분하고 누가 어떤 권한을 맡겼는지 기록해야 한다는 방향을 보여준다.

유럽전기통신표준협회(ETSI)의 AI 사이버보안 기준도 다른 시스템이나 데이터에 접근하는 AI에는 기능 수행에 필요한 권한만 부여하고 위험평가를 거치도록 요구한다. 모델이나 도구, 설정이 바뀔 때 위협 모델을 다시 검토해야 한다는 원칙도 담았다. 에이전트 도입 뒤 한 번의 보안점검으로 끝내기보다 권한·도구·메모리·외부 연결이 변경될 때마다 재시험해야 한다는 의미다.

모의훈련이 실제 운영으로 이어져야

국내 기업이 주의 깊게 볼 지점도 여기에 있다. AI 에이전트가 사용하는 계정을 사람의 관리자 계정과 분리하고, 읽기·쓰기·외부 전송 권한을 나눠야 사고 범위를 줄일 수 있다. 실행 기록에는 에이전트 이름만이 아니라 요청한 사람, 사용한 도구, 접근한 데이터, 승인 여부와 결과가 함께 남아야 한다. 이상 행동이 발견됐을 때 권한과 인증키를 즉시 회수하고 진행 중인 작업을 중단할 수 있는 절차도 필요하다.

KISA 훈련은 현재 기업 홈페이지 모의침투에 AI 에이전트를 시범 적용하는 단계다. 앞으로는 에이전트가 얼마나 많은 취약점을 찾았는지만큼 오탐과 과도한 요청, 허용 범위 이탈, 사람이 개입해야 했던 시점을 함께 공개할 필요가 있다. 그래야 AI 모의해킹의 성능뿐 아니라 통제 가능성도 평가할 수 있다.

스마트폰에서도 같은 기준이 요구된다. 제3자 AI 서비스가 시스템 기능에 접근할 때 권한의 기본값, 행동별 동의, 인증기관의 책임, 승인 철회 기준이 이용자에게 이해 가능한 형태로 제시돼야 한다. 특히 업무용 기기와 개인용 기기를 함께 관리하는 기업은 운영체제 업데이트로 새 AI 권한이 추가되는지, 기존 모바일기기관리 정책이 이를 통제할 수 있는지 살펴야 한다.

AI 에이전트의 가치는 결국 더 많은 일을 대신하는 능력에서 나온다. 그러나 행동 범위가 넓어질수록 권한을 작게 나누고, 중요한 순간에 사람을 다시 불러오며, 모든 과정을 추적할 수 있어야 한다. KISA의 모의침투와 EU의 Android 개방은 에이전트 시대의 경쟁이 기능 확장만이 아니라 권한 통제의 정교함을 두고 벌어질 것임을 예고한다.