AI 에이전트의 데이터 접근 제어

결정론적 시스템을 사용해서 접근을 제한해야 함. 에이전트가 모든 것에 전체 접근 권한을 가져서는 안 되고, 딱 필요한 것에만 접근할 수 있어야 함. 에이전트를 어디에 쓸지 결정하고, 필요한 최소 권한을 정해서 강제하셈. 시스템 전체에 접근 권한을 주지 말고, 특정 데이터와 작업에만 접근하도록 범위를 제한하셈.

자동으로 되는 거 없어? 이걸 대신 해주는 툴이 따로 있나, 아니면 개발자가 일일이 다 설정해야 하는 거야?

미리 밝히자면, 나는 에이전트 커넥터 인프라를 판매하는 CoreSpeed에서 일함. 아래 주제는 말 그대로 우리 제품 영역이니 감안해서 들으셈.

불편한 진실부터 말하자면, Outlook과 WhatsApp이 같은 세션에서 활성화된 도구로 사용되는 순간, 교차 유출을 완벽하게 막을 수 있는 설정은 없음. 에이전트가 읽는 모든 것이 컨텍스트에 들어가고, 컨텍스트에 있는 모든 것은 쓰기 기능이 있는 도구를 통해 밖으로 나갈 수 있기 때문임. 프롬프트 인젝션은 이걸 단순한 사고 영역이 아니라 공격 표면으로 만듦. 실제로…

흥미롭네. 이 분야에 종사하는 것 같으니 기회다 싶어서 몇 가지만 더 물어볼게:

커넥터 범위를 지정하고 세션을 분리하는 게 도움이 되긴 하지만, 더 강력한 통제는 최종 전송 단계에서 이루어져야 함. 가져온 데이터에 출처(Outlook, WhatsApp, CRM 등)를 라벨링하고, 요약이나 툴 출력물에도 그 출처 정보를 계속 따라다니게 해야 함. WhatsApp으로 보낼 때는 정책이 명시적으로 허용하거나 사람이 직접 수신자와 페이로드를 승인하지 않는 한, Outlook에서 파생된 콘텐츠는 차단해야 함. 안 그러면 코디네이터가 '분리된' 두 에이전트를 조용히 연결해 버릴 수 있음. 진단 질문은 이거임: 당신의 프레임이...

이건 개인 데이터, 신뢰할 수 없는 콘텐츠, 그리고 외부 전송 채널이라는 치명적인 3요소가 하나의 에이전트에 의해 모두 접근 가능한 가장 깔끔한 예시임. 이 스레드에서 아무도 이 문제를 제대로 짚지 않았는데, 한번 깨닫고 나면 프롬프트 수준의 해결책을 찾는 걸 멈추게 될 테니 꼭 짚고 넘어가야 함. 서브 에이전트만으로는 해결 안 됨. 코디네이터가 Outlook 에이전트에서 읽어서 WhatsApp 에이전트로 전달할 수 있다면, 경로는 여전히 존재함. 그냥 홉(hop)이 좀 더 늘어날 뿐임. 실제로 효과가 있는 건 데이터와 함께 이동하는 라벨과 체크...