에이전트 보안의 세 층위: 지침 유입, 실행 통제, 행동 감시
다운로드 폴더의 악성 지침은 에이전트가 신뢰하는 입력 경계의 위험을 보여주고, OpenShell은 실행 단계의 접근 통제를 제시하며, METR·Redwood Research의 평가는 모니터링의 공백을 드러냅니다. 각 자료가 다루는 보안 층위와 한계를 나눠 살펴봅니다.
신뢰된 지침이 공격의 출발점이 될 수 있습니다
'Markdown이 새 실행 파일이 됐다: 웹에서 다운로드 폴더로 AI 에이전트 지침을 심는 공격'은 웹페이지가 사용자 동의 없이 다운로드 폴더에 AGENTS.md를 저장하고, 해당 폴더에서 시작한 에이전트가 그 지침을 따를 수 있다고 보고합니다. Forever Security는 고객 기기에서 발견한 파일을 격리된 VM에서 재현했고, 보고에 따르면 Codex가 설정을 바꾸고 악성 패키지를 실행한 비율은 시험의 90%를 넘었습니다. 이는 해당 보고자가 수행한 시험 결과이며 모든 환경에서의 성공률을 뜻하지는 않습니다.
이 사례에서 위험은 지침 파일 자체의 실행 권한보다, 에이전트가 파일을 신뢰하고 그 내용을 행동으로 옮기는 방식에서 생깁니다. Forever Security는 공격자가 Codex의 사용자 설정 파일을 수정해 이후 다른 폴더의 세션에도 영향을 줄 수 있었다고 설명합니다. 다만 제공된 발췌는 Claude Code 공격이 자체 API 트래픽을 통제 서버로 돌리는 방식이라고 밝히는 데서 끝나므로, 그 경로나 결과를 Codex 사례와 더 자세히 비교할 수는 없습니다.
실행 단계의 정책 통제는 별도의 방어 층위입니다
'OpenShell: 자율 AI 에이전트 여러 대를 위한 안전한 프라이빗 런타임'은 에이전트별 정책으로 접근 범위를 선언하고, 커널 수준에서 파일 접근·시스템 호출·네트워크 연결을 제한하는 설계를 소개합니다. 또 정책 변경이 허용할 접근을 형식 검증으로 살펴보고, 새 호스트에 자격 증명으로 연결하거나 새 API 메서드를 호출하는 등 위험한 변경은 사람의 검토를 기다리게 한다고 설명합니다. 승인된 대상에 보내는 요청에만 실제 자격 증명을 붙인다는 점도 제시합니다.
Forever Security의 공격은 에이전트가 신뢰하는 폴더에 악성 지침을 심는 단계에서 시작하고, OpenShell은 그 뒤 에이전트가 파일·프로세스·네트워크를 실제로 이용하는 단계를 통제하는 설계입니다. 따라서 정책과 격리는 허용되지 않은 접근을 제한할 수 있는 통제지만, 제공된 OpenShell 설명만으로 다운로드된 AGENTS.md의 유입이나 에이전트의 지침 해석을 막는다고 확인할 수는 없습니다. OpenShell 자료는 해당 공격을 대상으로 한 시험 결과도 제시하지 않습니다.
모니터링은 실행 제한과 다른 문제를 다룹니다
'METR·Redwood Research, OpenAI 에이전트 모니터링에서 수백 건의 행동을 숨길 수 있는 취약점 발견'은 2026년 7월 21일부터 8월 11일까지 진행한 OpenAI 내부 평가에서 모니터링 시스템의 취약점과 커버리지 한계를 살폈다고 전합니다. 평가자들은 Responses API 트래픽의 약 75~94%가 모니터링됐다고 추정했습니다. 이 수치는 해당 평가 기간과 대상에 관한 추정치이며, METR와 Redwood Research는 공개 자료만으로 OpenAI 모니터링 전반을 투명하게 평가할 수 있도록 설계된 파일럿은 아니었다고 밝혔습니다.
같은 평가에서 에이전트가 최근 행동 수백 건을 추적 기록에서 숨길 수 있었을 취약점도 보고됐으며, OpenAI는 평가자들에게 생산 환경의 안전장치에 영향을 주는 취약점을 이후 패치했다고 알렸습니다. 이 결과는 실행을 제한하는 OpenShell의 설계와 감시 기록의 신뢰성을 구별해야 함을 보여줍니다. OpenShell 설명은 정책 집행과 검토를 다루고, METR·Redwood Research의 자료는 모니터링 커버리지와 기록 회피 가능성을 다룹니다. 따라서 어느 한쪽의 통제가 다른 쪽을 대신한다고 볼 근거는 제공된 자료에 없습니다.