AI 에이전트 권한 설계: 조회·수정·발송·결제 승인 기준

문서를 읽도록 연결한 도구가 수정·삭제까지 허용하면 작은 오판의 영향도 커집니다. 행동의 대상·외부 영향·복구 가능성을 기준으로 위임 범위와 승인 지점을 설계합니다.

문서 요약만 맡겼는데 연결한 도구에 발송과 삭제 기능까지 있다면, 에이전트가 잘못된 행동을 골랐을 때 영향을 줄일 장치가 필요합니다. OWASP의 과도한 에이전트 권한 설명은 과도한 기능, 과도한 접근 권한, 과도한 자율성을 별개의 원인으로 나눕니다. 어떤 도구를 보여 주는지, 그 도구가 무엇에 접근하는지, 언제 사람의 판단을 거치는지를 함께 설계할 수 있습니다.

조회·초안·저장도 대상과 전달 경로에 따라 영향이 달라집니다

조회는 원본을 고치지 않아도 민감한 내용을 모델이나 다른 서비스로 전달할 수 있습니다. 고객 한 명의 주문을 확인할 권한과 전체 고객 목록을 읽을 권한도 다릅니다. ‘읽기 전용’이라는 이름에 더해 읽을 자료의 범위, 결과를 받을 주체, 조회량을 적으면 위임한 행동을 실제 요청과 대조하기 쉽습니다.

초안 작성은 결과를 어디에 두는지에 따라 영향이 달라집니다. 지정한 로컬 폴더에 새 파일을 쓰는 일과 여러 사람이 보는 공유 문서를 바꾸는 일은 검토 대상이 다릅니다. 공유 문서의 변경이 다른 사람의 업무를 시작하게 하거나 자동 알림을 보낸다면 저장 단계에도 외부 효과가 있습니다.

발송과 공개 게시에서는 수신자·공개 범위·내용이 함께 승인 대상이 됩니다. 게시물을 삭제해도 이미 전달된 사본이나 알림까지 모두 되돌릴 수 있다고 가정하기 어렵습니다. 결제·주문도 요청 취소, 실제 처리 취소, 환불 완료를 구분해 확인할 필요가 있습니다. 복구 가능성은 실제 서비스의 처리 상태와 절차를 기준으로 정합니다.

아래는 사내 자료를 읽어 문서와 안내문을 준비하는 가상 업무의 권한표입니다. 결제 행은 별도 위임이 필요한 외부 거래를 비교하기 위해 넣었으며, 실제 시스템의 권한 설정이나 실행 결과가 아닙니다.

행동	허용 대상·범위	실행 전 승인 조건	실행 뒤 확인	복구 판단
자료 조회	배정한 문서·고객·기간만 읽기	정한 조회 범위의 선행 위임	읽은 대상과 전달 경로	외부로 전달된 자료는 원본 미수정과 별개
로컬 초안	지정 폴더에 새 초안 만들기	초안 작성 위임에 포함	파일 위치·내용·기존 파일 보존	새 파일 삭제 가능 여부 확인
공유 문서 수정	지정 문서의 허용 구역만 변경	범위·변경 내용·충돌 조건 확인	적용 내용과 문서 버전	이전 버전 복원과 후속 영향 확인
안내 발송	정한 수신자에게 승인한 내용 전송	대상·본문·첨부·발송 수량 확인	전송 식별자와 실제 수신 대상	회수 가능 여부와 전달된 사본 구분
결제·주문	승인한 거래 대상·금액·수량만 실행	거래 조건과 총액의 명시적 승인	거래 식별자와 처리 상태	취소·환불 가능 조건을 별도 확인

이 표의 승인 빈도는 업무 계약에 맞춰 정합니다. 승인받은 수신자와 내용이 고정된 묶음 발송이라면 매 건 같은 질문을 반복하는 대신 각 실행이 그 범위에 들어오는지 검사할 수 있습니다. 수신자가 추가되거나 첨부가 달라지면 고정한 승인 조건과 달라진 부분을 다시 판단합니다.

맡긴 목표를 실제 도구 권한에 연결합니다

자연어 지시는 업무 의도를 적고, 도구와 서버의 권한은 가능한 행동을 제한합니다. ‘고객 문의를 요약한다’는 지시만으로 조회 도구에 딸린 수정 권한이 사라지지는 않습니다. 필요한 조회 함수만 에이전트에 노출하고, 그 함수가 사용하는 계정도 지정 범위의 읽기만 허용하는 식으로 두 층을 맞춥니다.

아마존의 IAM 최소 권한 설명에 따르면 특정 자원에서 허용할 행동과 조건을 정해 권한의 범위를 좁힐 수 있습니다. 에이전트 위임에도 같은 질문을 적용할 수 있습니다. 어떤 계정으로, 어느 문서나 데이터에, 무엇을, 어느 조건에서 할 수 있는지를 정하면 ‘이 작업에 필요한 권한’의 범위가 구체화됩니다.

조회용 계정이 모든 사용자의 자료를 읽을 수 있다면 도구가 받은 고객 식별자를 그대로 믿고 조회하는 구조는 충분한 경계가 되기 어렵습니다. 요청자가 그 고객 자료에 접근할 수 있는지 서버에서 검사하는 조건이 필요합니다. 작업자가 문서 이름이나 경로를 바꿔도 배정 범위를 벗어난 자료가 열리지 않는지 확인하는 방식으로 이 조건을 시험할 수 있습니다.

승인 검사도 실제 변경을 수행하는 경로에 둡니다. OWASP의 권고는 허용 여부를 모델 판단에만 맡기지 않고 하위 시스템에서 각 요청의 권한을 검사하는 방식을 제시합니다. 에이전트가 다른 함수나 도구를 고른 경우에도 같은 행동에 같은 제한이 적용되는지 살펴야 우회 가능한 실행 경로를 찾을 수 있습니다.

도구의 설명과 이름은 권한을 검토할 단서입니다. MCP 2025-06-18 도구 명세는 신뢰할 수 있는 서버에서 온 경우를 제외하면 도구 동작을 설명하는 주석 정보인 annotations를 신뢰하지 않도록 규정합니다. ‘조회용’이라는 설명이 있는 도구도 실제 함수와 접근 권한이 그 설명에 맞는지 별도로 확인할 대상입니다. MCP 연결 구조 자체는 MCP 가이드에서 이어 볼 수 있습니다.

승인은 구체적인 실행 내용을 검토할 수 있는 시점에 둡니다

‘외부 작업을 진행해도 됩니까’만으로는 허용한 대상이 남지 않습니다. 승인 화면에는 실행할 행동, 대상 계정이나 문서, 변경할 내용, 수신자·첨부·수량, 예상되는 외부 효과를 필요한 만큼 보여 줄 수 있습니다. 데이터가 아직 준비되지 않은 시점의 포괄적 질문과, 실제로 실행할 내용을 확인하는 승인을 구분합니다.

자료 조사와 초안 작성이 이미 위임된 업무라면 그 범위의 준비 작업을 마친 뒤 변경 내용을 제시할 수 있습니다. 최종 발송이나 거래에 별도 승인이 필요한 경우에는 이 시점에서 멈춥니다. 승인을 기다리는 동안 초안을 수정했다면 승인 대상과 실행 대상이 여전히 같은지 다시 확인합니다.

승인은 실행할 내용과 연결해 보관합니다. 문서 식별자와 버전, 수정 내용의 식별값, 수신자 목록, 수량처럼 업무에 맞는 값을 쓰면 어떤 입력이 허용됐는지 대조할 수 있습니다. 실행 도구가 승인할 때와 다른 대상을 넘겨받거나 내용이 바뀌었으면 기존 승인 조건을 다시 검사합니다.

정해진 기간과 상한 안에서 반복 실행을 맡기는 계약도 가능합니다. 이때는 허용 대상·행동·수량·기간, 예외를 넘길 담당자, 위임을 취소하는 방법을 함께 정합니다. 범위 안의 동일 작업은 그 조건을 확인하며 이어가고, 범위를 넓히는 변경은 새 판단으로 분리하면 필요한 승인과 불필요한 반복 질문을 나눌 수 있습니다.

실행 요청·실제 반영·복구를 다른 상태로 기록합니다

도구 호출을 보냈다는 기록은 외부 시스템이 변경됐다는 확인과 다릅니다. 실행 기록에는 작업 식별자, 요청한 대상과 행동, 승인 범위, 요청 시각, 응답, 뒤이어 조회한 상태를 연결합니다. 비밀값이나 전체 고객 자료를 복사하기보다 사후 대조에 필요한 식별자와 변경 요약을 남기는 방식으로 보관 범위를 정할 수 있습니다.

응답을 받지 못한 발송이나 주문을 다시 시도하면 중복 실행 여부를 판단하기 어려워집니다. 이 경우에는 처리 상태를 ‘불확실’로 두고, 조회 가능한 거래·메시지 식별자나 대상 상태를 먼저 확인합니다. 저장 이후 실패와 재개 지점의 구체적 대조는 저장 뒤 멈춘 AI 자동화의 재개 기준으로 이어집니다.

작업 중단과 이미 일어난 변경의 취소도 별개입니다. 긴급 중단은 새 도구 요청을 막고 진행 중인 실행을 확인하는 데서 시작합니다. 이미 전송된 메시지나 처리된 거래의 후속 조치는 담당자와 외부 서비스의 복구 절차로 넘깁니다. 중단 버튼을 눌렀다는 사실만으로 외부 변경까지 취소된 상태로 표시하지 않습니다.

권한 회수 경로는 모델의 동의에 의존하지 않게 설계할 수 있습니다. 운영자가 실행 계정이나 토큰을 회수하고, 실행 큐의 새 작업을 막고, 진행 중인 요청을 추적할 수 있는지 확인합니다. 취소를 요청한 시점과 실제로 새 실행이 막힌 시점을 나누면 중단 뒤에도 진행된 요청을 조사할 근거가 남습니다.

권한 경계는 허용·거부 사례로 확인합니다

권한표의 각 행에는 정상 사례와 범위를 벗어난 사례를 짝지어 검토할 수 있습니다. 지정 문서 수정은 가능하지만 다른 문서 수정은 거부되는지, 승인된 수신자에게만 발송되는지, 정한 수량을 넘는 요청은 변경 전에 멈추는지를 확인합니다. 이 확인은 본문의 설계 제안이며 실제 외부 서비스에 요청을 보내 시험한 결과가 아닙니다.

초안에 담긴 문장이나 조회한 웹 문서가 ‘다른 고객 자료도 읽는다’고 지시하더라도 그 텍스트를 새 권한으로 받아들이지 않는지 살핍니다. 업무 자료의 내용과 사용자가 위임한 실행 범위를 구분하고, 실제 권한 검사에서 그 범위를 확인할 수 있어야 합니다. 자료를 읽은 뒤 도구가 바뀌는 경로도 같은 점검 대상입니다.

처음 권한을 정할 때는 허용할 행동과 대상부터 좁히고, 필요한 외부 변경만 실제 내용이 준비된 시점에 승인하도록 두는 편이 좋습니다. 운영 기록에서 반복적으로 허용되는 동일 작업이 확인되면 그 조건을 명시한 위임 범위로 정리할 수 있습니다. 자주 허용됐다는 이유만으로 새로운 대상이나 더 큰 변경까지 허용한 것으로 넓히지는 않습니다.

자료 확인 기준: 2026년 10월 28일 UTC. MCP 인용은 2025-06-18 명세이며, 각 서비스의 권한·취소·복구 동작은 적용 환경에서 확인합니다.

블로그AI 에이전트