AI 에이전트에게 개인 계정 접근 권한을 주는 게 너무 당연해진 거 아닐까?

폼 예시가 핵심 차이점이야. 페이지를 '읽을' 권한이 있다고 해서 정보를 '제출할' 권한까지 있는 건 아니거든. 별도 계정을 쓰면 피해는 줄겠지만, 에이전트가 예상치 못한 사이트에 실제 이메일이나 번호를 보내는 것까지 막진 못해.

테스트할 땐 일회용 메일함과 가짜 연락처 정보를 쓰고, 에이전트가 접근할 사이트를 지정하고, 결제 툴은 연결하지 마. 실제 운영할 땐 목적지 URL과 전송할 정확한 필드를 보여주게 하고, 제출 단계에서 승인을 요구해. 가장 좁은 범위의 취소 가능한 계정 권한을 쓰고 작업 로그를 검토해. 만약 툴이 개인정보를 전송하기 전에 멈출 수 없다면, 난 내 개인 계정을 그 워크플로우에 연결 안 할 거야.

'먼저 물어봐'라는 프롬프트도 유용하지만, 강제성은 툴 경계선에서 작동해야 해. OWASP의 에이전트 보안 가이드가 최소 권한과 정확한 작업 승인에 대해 설명하고 있어: https://cheatsheetseries.owasp.org/cheatsheets/AI\_Agent\_Security\_Cheat\_Sheet.html(https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)

이거 좋은 점이 하나 있지: 상사한테 메일 보내서 네가 진짜 어떻게 생각하는지 말해버리는 거야. 나중에 에이전트가 멋대로 한 거라고 하면 되니까.

가입 사례가 내가 가장 먼저 분리할 부분이야. 네가 선택한 사이트에 실제 이메일로 폼을 채우는 거랑, 에이전트가 스스로 사이트를 골라서 정보를 넣는 건 다르니까. 격리는 에이전트가 건드릴 수 있는 범위를 제한하지만(별도 계정이나 샌드박스 세션), 에이전트가 접근 가능한 범위 내에서 행동할지 말지는 권한 부여가 결정해. 이 둘은 별도의 계층으로 설정할 가치가 있어. 개인 계정의 경우, 에이전트가 감독 없이 접근할 수 있는 것들은 읽기 전용이나 범위가 제한된 자격 증명으로 시작하고, 워크플로우가 검증되기 전까진 결제 경로는 아예 접근 못 하게 막아두는 게 좋아.

가장 안전한 방법은 에이전트에게 기본적으로 모든 권한을 다 주는 게 아니라, 특정 작업에 필요한 권한만 주는 거라고 생각해.

에이전트용 신원은 무조건 따로 만들어. 전용 이메일 별칭(SimpleLogin이나 Hide My Email 같은 거)을 쓰고, 한도 낮은 가상 카드 쓰고, 내 진짜 번호는 절대 안 줘.

읽기 권한은 자유롭게 주되, 전송하거나 가입하거나 결제하는 건 무조건 나한테 먼저 물어보게 해. 에이전트가 해킹당해도 내 메인 메일함이 털리는 것보단 별칭 하나 버리는 게 낫잖아.

난 그냥 초안 작성만 시킴. 전송하거나 결제하거나 가입하는 건 내가 직접 승인 버튼 누를 때까지 기다리게 함.

문제는 에이전트가 제대로 작동할지 여부가 아니라, 그 뒤에 있는 계정이 털렸을 때 어떻게 되느냐지. 나도 매일 실제 자격 증명으로 에이전트 18개 돌리는데, 각 에이전트마다 기능 수행에 필요한 최소한의 권한만 줌. 가능하면 계정 따로 파고, API 토큰 범위 제한하고, 결제 권한은 아예 안 줌. 솔직히 위험을 완전히 없앨 순 없음. 그냥 사고 터졌을 때 은행 계좌가 털리는 대신 버너 이메일 하나 날아가는 정도로 피해 범위를 줄이는 거지.

가장 큰 문제는 에이전트가 일부 권한만 있으면 되는데도 광범위한 접근 권한을 주는 거라고 생각함. 특히 이메일이나 결제 같은 건 계정 분리하고 권한 제한하는 게 훨씬 안전해 보임. 편리한 것도 좋지만, 기본값으로 모든 권한을 다 주는 것보다는 차라리 권한 부족으로 에이전트가 실패하는 게 나음.