섀도우 AI 에이전트: 17,800개 애드온, 670만 설치, 런타임 제어 격차

핵심 요점

• 670만 설치에 걸친 17,800개의 공개 AI 애드온이 미검증 외부 소스에서 지시를 받았으며, Anthropic과 OpenAI를 가장한 스킬도 포함 — AIR Security 연구, 2026년 9월 1일 공개. 일부 애드온은 임의 코드를 실행할 수 있었다.
• 48개국 395개 조직의 440개 PaperCut 인스턴스가 단일 위협 행위자가 편성한 수백 개의 AI 에이전트에 의해 침해 — GreyNoise, 2026년 9월 9일. 에이전트는 빈 워크스페이스에서 RCE까지 4시간 미만, 도메인 관리자까지 6시간에 도달.
• Google GTIG는 공격자가 단일 프롬프트 기술에서 계획, 실행, 반복하는 자동화된 에이전트 워크플로로 전환한 것을 기록 — 2026년 9월 8일. 한 행위자가 클라우드 리소스를 침해한 후 6시간 미만에 대량 자격 증명 수집 캠페인을 구축.
• Zscaler가 멀티턴 에이전트 상호작용의 프록시 기반 검사로 Agentic SOC를 출시하고 CrowdStrike 및 Microsoft Defender와 제휴 — 2026년 9월 9일. AI 에이전트는 이제 트래픽 검사가 필요한 일급 엔티티로 취급된다.
• 4명의 경쟁 AI CEO — Amodei(Anthropic), Altman(OpenAI), Musk(xAI), Hassabis(Google DeepMind) — 가 프론티어 개발 감속에 공개적으로 합의 — 2026년 9월 12-13일. Amodei는 에이전트 떼가 6-12개월 내에 인터넷 전체를 장악할 수 있다고 경고.

에이전트 보안 문제는 거버넌스 문서에서 런타임 비상 사태로 이동했다. 9월 1일, AIR Security가 Sequoia와 Greenoaks에서 5000만 달러를 조달하여 스텔스에서 등장했고, 섀도우 AI 대화를 재정의하는 발견을 가져왔다: 670만 설치를 나타내는 17,800개의 공개 AI 애드온이 신뢰할 수 없는 외부 지시 소스에 의존했으며, Anthropic과 OpenAI를 가장하여 임의 코드를 실행할 수 있는 스킬이 포함되어 있었다. 8일 후, GreyNoise는 최초의 대규모 AI 에이전트 편성 사이버 공격을 기록했다 — OpenAI의 Codex 하네스와 DeepSeek 모델로 구동되는 수백 개의 AI 에이전트가 48개국 395개 조직의 440개 PaperCut 인스턴스를 침해했다. 에이전트는 빈 워크스페이스에서 원격 코드 실행까지 4시간 미만, 첫 번째 도메인 관리자까지 추가 2시간이 걸렸다. 이 글은 런타임 제어 격차를 해소하기 위해 등장한 5개의 시행 계층을 매핑하고, 각 계층이 해결하는 것과 해결하지 못하는 것을 명시하며, 종이 위의 거버넌스 체크리스트가 런타임 제어와 동일하지 않은 이유를 설명한다.

섀도우 에이전트 문제

섀도우 AI는 더 이상 도구 문제가 아니라 에이전트 문제이다. 이 구분은 중요하다. 섀도우 SaaS 도구 — 미승인 CRM, 비공식 분석 대시보드 — 는 고정된 API 표면을 통해 데이터에 접근한다. 섀도우 AI 에이전트는 런타임에 설치하는 도구, 외부 소스에서 수신하는 지시, 세션 간 변화하는 컨텍스트에 기반한 결정을 통해 데이터에 접근한다. 공격 표면은 에이전트의 컨텍스트이지 도구의 API가 아니다.

AIR Security의 연구는 에이전트가 보안 팀이 검토하지 않은 소스의 스킬, 플러그인, 애드온, MCP를 사용하여 런타임에서 작동하며, 이러한 애드온이 어제의 코드를 위해 구축된 스캐너를 통과한다는 것을 발견했다. 670만 설치에 걸친 17,800개의 공개 AI 애드온은 가설이 아니라 — 설치되어 실행 중이며, 세션 간에 동작을 변경할 수 있는 외부 엔드포인트에서 지시를 받고 있다. 이러한 애드온 중 일부는 Anthropic과 OpenAI를 가장하여 브랜드 신뢰를 이용해 설치 접근 권한을 얻었다.

GreyNoise의 PaperCut 캠페인이 위협을 구체화했다. GreyNoise의 보고서는 PaperCut 인쇄 관리 소프트웨어에 대한 실행 가능한 익스플로잇을 구축한 후, 수백 개 조직에 침입하는 작업을 OpenAI의 Codex 하네스와 DeepSeek 모델로 구동되는 AI 에이전트에 넘긴 것으로 의심되는 러시아어 사용 위협 행위자를 묘사한다. 공격자는 4시간 미만에 원격 코드 실행을 달성했고, 추가 2시간에 첫 번째 도메인 관리자를 획득했으며, 전체 캠페인이 시작되면 26초 만에 최소 11개 조직을 침해했다. 48개국 395개 조직의 440개 PaperCut 인스턴스가 침해되었다. 에이전트는 공격자의 28개국 제외 목록을 신뢰할 수 있게 준수하지 않았다 — 이 에이전트 이탈 발견은 Cloud Security Alliance에 의해 뒷받침되었다.

공격자는 에이전트 워크플로로 이동하고 있다

Google Threat Intelligence Group은 2026년 9월 8일 위협 추적기를 공개하며, 공격자가 기본 프롬프팅에서 에이전트화된 AI 워크플로 및 AI 구동 자동화로 전환했음을 기록했다. 2026년 2분기의 한 작전에서 GTIG는 위협 행위자가 클라우드 리소스를 침해한 후 6시간 미만에 에이전트 지원 대량 자격 증명 수집 캠페인을 계획, 구축, 실행하는 것을 관찰했다. 방어자가 대응할 수 있는 전통적 창구 — 인간 공격자 단계 간의 지연 — 는 거의 0으로 압축되었다.

GTIG는 또한 UNC6780이라는 금전적 동기의 위협 행위자가 AI 코딩 어시스턴트와 LLM 보안 스캐너를 속여 오픈소스 공급망 침해를 수행하는 여러 전술을 사용하는 것을 추적했다. 한 가지 방법: DUSTMAKER 멀웨어가 AI 코딩 어시스턴트의 숨겨진 프로젝트 워크스페이스 디렉토리(.claude/, .vscode/, .cursor/)에 파일을 드롭하고, 악의적 구성 파일을 사용하여 일상적 개발자 상호작용 중에 AI 어시스턴트에게 임의 명령을 실행하도록 지시한다. 에이전트는 개발자가 모르는 사이에 공격자의 명령을 실행한다.

GTIG의 권고: "크로스 툴 동작 — API 호출 시퀀스, 파일 액세스 패턴, 자율 재시도율 — 을 추적하는 원격 측정을 우선시하고, 공격자가 1영업일 미만으로 에이전트 파이프라인을 실행할 수 있다고 가정하는 테이블탑 훈련을 실시하라."

5개의 시행 계층

벤더의 대응이 도착했다. 에이전트 보안을 위한 5개의 시행 계층이 존재하며, 각 계층은 에이전트 실행 경로의 다른 지점을 다룬다:

계층 1 — 엔드포인트 발견 (CrowdStrike Falcon Guardian)

CrowdStrike는 Windows와 macOS 전체에서 알려진 섀도우 AI 에이전트를 발견하는 Falcon Guardian을 출시했다. Falcon 센서는 실행 중 및 휴면 중인 모든 에이전트의 라이브 인벤토리를 제공하고, 프롬프트에서 도구 호출까지 다운스트림 시스템 작업까지 추적하며, 명시적으로 승인되지 않은 에이전트를 차단한다. CrowdStrike는 또한 엔드포인트, 클라우드, SaaS 전체의 숨겨진 AI 도구, 활동, 에이전트를 발견하는 Shadow AI Visibility Service를 제공한다.

해결하는 것: 인벤토리 문제. 대부분의 조직은 얼마나 많은 에이전트가 실행 중인지, 어떤 도구가 설치되었는지, 어떤 데이터에 접근할 수 있는지 모른다.

해결하지 못하는 것: 컨텍스트 문제. 엔드포인트 발견은 에이전트가 실행 중이라는 것을 알려준다. 에이전트가 어떤 지시를 따르는지, 그 지시가 마지막 세션 이후 변경되었는지, 에이전트의 도구 호출이 할당된 작업에 의해 승인되었는지는 알려주지 않는다.

계층 2 — 네트워크 검사 (Zscaler Agentic SOC)

Zscaler는 2026년 9월 9일 Agentic SOC를 출시하여, Zero Trust Exchange를 멀티턴 상호작용의 프록시 기반 검사를 통한 AI 에이전트 모니터링에 적응시켰다. Agentic SOC는 트리아지, 근본 원인 조사, 판결, 자동 봉쇄를 위한 수십 개의 전문 AI 에이전트를 내장하고, Zscaler의 네트워크, 엔드포인트, 파트너 CrowdStrike와 Microsoft Defender의 원격 측정을 사용한다. Zscaler는 하루 7500억 제로 트랜잭션을 처리하여 사용자, 애플리케이션, 데이터 소스, 그리고 점점 더 많아지는 AI 에이전트 간의 트래픽에 대한 인라인 가시성을 제공한다.

해결하는 것: 트래픽 문제. 프록시 기반 검사는 에이전트가 네트워크에서 송수신하는 것을 감시하여 데이터 유출, 모델 중독, 의도치 않은 작업을 포착한다.

해결하지 못하는 것: 로컬 실행 문제. 로컬에서 도구를 실행하는 에이전트 — 스크립트 실행, 파일 읽기, 데이터베이스 쿼리 — 는 반드시 네트워크 프록시를 통과하지 않는다. 에이전트의 결정을 구동하는 컨텍스트는 네트워크 트래픽에 나타나지 않을 수 있다.

계층 3 — 컨텍스트 방화벽 (AIR Security)

AIR Security는 2026년 9월 1일 Sequoia Capital과 Greenoaks에서 5000만 달러를 조달하여 스텔스에서 등장했으며, 에이전트가 행동하기 전에 에이전트의 컨텍스트에 들어가는 지시, 도구, 데이터를 선별하는 인라인 방화벽을 구축했다. AIR는 또한 사전 검증된 인증 애드온 마켓플레이스를 제공하여, 관리되지 않는 위험을 도입하지 않고 안전하게 에이전트 역량을 확장하는 경로를 기업에 제공한다.

해결하는 것: 컨텍스트 인젝션 문제. AIR는 신뢰할 수 없는 입력이 에이전트의 컨텍스트에 도달하기 전에 필터링하여 악의적 지시, 침해된 도구, 중독된 데이터가 에이전트의 결정에 영향을 미치는 것을 차단한다.

해결하지 못하는 것: 거버넌스 정책 문제. 컨텍스트 방화벽은 런타임 제어이지 거버넌스 프레임워크가 아니다. 에이전트에게 허용되는 것을 정의하지 않는다 — 에이전트에게 보는 것이 허용되는 것을 필터링한다.

계층 4 — 플랫폼 오케스트레이션 (ServiceNow AI Control Tower)

ServiceNow의 AI Control Tower는 2026년 8월에 부상했으며, 30개 엔터프라이즈 통합을 통해 서드파티 에이전트 전체에 실시간 킬스위치 기능을 제공한다. 이것은 플랫폼 계층이다 — 어떤 에이전트가 배포되는지, 무엇에 접근할 수 있는지, 언제 종료되는지를 관리한다.

해결하는 것: 제어 문제. 플랫폼 수준 시행은 단일 엔드포인트가 아닌 여러 시스템에 걸쳐 동시에 에이전트를 중단할 수 있다.

해결하지 못하는 것: 발견 문제. 플랫폼 컨트롤 타워는 알고 있는 에이전트만 관리할 수 있다. 등록된 적이 없는 섀도우 에이전트는 보이지 않는 상태로 남는다.

계층 5 — 아이덴티티 (Okta XAA)

Okta의 Extended Agent Authentication 프로토콜은 이전 주기에서 이어받은 것으로, 비인간 에이전트에 아이덴티티 범위의 접근을 제공한다 — 핸드오프당 비례적 신뢰, 애플리케이션 접근뿐만 아니라 데이터 민감도에 따라 범위 지정.

해결하는 것: 인증 문제. 에이전트는 공유 API 키가 아닌 범위 지정된 권한을 가진 암호화 아이덴티티를 얻는다.

해결하지 못하는 것: 행동 문제. 유효한 자격 증명을 가진 인증된 에이전트는 컨텍스트가 침해되면 여전히 악의적 지시를 실행할 수 있다.

시행 계층과 각 계층이 해결하지 못하는 것

5개의 시행 계층은 아이덴티티에서 엔드포인트까지 에이전트 실행 경로의 다른 지점에 매핑된다:

벤더 페이지에서는 얻을 수 없는 구축 패턴

위의 5개 계층은 벤더들이 파는 것이다. 실제로 무엇을 어떤 순서로 해야 하는지 — 이 글의 수치를 사이징 기준으로 삼는 — 배포 패턴은 벤더 페이지가 남겨두는 부분이다. 4단계가 있으며, 각 단계의 산출물이 다음 단계에 공급되기 때문에 고정된 순서로 실행된다:

1. 어떤 새로운 통제보다 먼저 인벤토리부터. 엔드포인트 발견을 배포하고 에이전트 인벤토리를 내보내라: 실행 중 및 휴면 중인 모든 에이전트, 설치된 모든 MCP 서버와 스킬, 모든 애드온의 지시 소스. AIR의 발견이 결과의 예상 형태를 준다 — 업계 전체로 670만 설치에 걸친 17,800개의 공개 애드온, 일부는 Anthropic과 OpenAI를 가장했다. 중견 배포에서 전형적인 감사는 그렇지 않으면 승인된 에이전트 프레임워크 안에서 소수의 미검증 MCP 애드온을 발견한다. 인벤토리는 또한 이후 모든 것의 분모다: 5개의 실행 중 에이전트 중 3개를 관할하는 킬스위치는 40%의 통제다.

2. 벤더가 아니라 지시 소스로 분류하라. 각 에이전트에 대해 지시가 어디에서 오는지 기록하라: 플랫폼에 번들로 포함된 것인지, 검증된 마켓플레이스에서 설치된 것인지, 런타임에 외부 엔드포인트에서 가져오는 것인지. GreyNoise 캠페인이 이것이 중요한 이유의 사이징 전시다 — 48개국 395개 조직의 440개 PaperCut 인스턴스, 그리고 에이전트의 행동은 운영자가 결코 검토하지 않은 지시에 의해 구동되었다. 분류의 산출물은 짧은 목록이다: 지시 표면이 완전히 거버넌스된 에이전트, 그리고 어떤 보안 팀도 통제하지 않는 곳에서 지시를 읽는 에이전트.

3. 가장 나쁜 노출부터 런타임 격차를 닫아라. 컨텍스트 방화벽은 외부 지시 소스를 가진 에이전트 앞에 설치하고; 네트워크 검사는 규제 데이터를 만지는 에이전트를 커버하며; 플랫폼 킬스위치는 봉쇄가 에이전트별 수동 종료가 아니라 모든 에이전트에 걸친 한 번의 행동이 되도록 배선한다 — PaperCut 캠페인은 빈 워크스페이스에서 도메인 관리자까지 6시간에 도달했고, 이는 어떤 에이전트별 수동 대응보다도 빠르다. 아이덴티티 범위 지정(에이전트별 수명이 짧고 범위가 좁은 자격 증명)은 그 모든 것 아래에서 작동하여, 침해된 토큰이 수개월이 아니라 수분만을 사게 만든다.

4. 일정에 따라 인벤토리를 다시 실행하라. 표면은 정적이지 않기 때문이다. 17,800개의 애드온은 한 주에 설치되지 않았다; 축적되었다. 에이전트는 런타임에 도구를 설치하며, 3개월 전의 깨끗한 인벤토리는 그 이후 출하된 것에 대해 아무것도 말하지 않는다. 동일한 내보내기 형식으로 분기마다 재스캔하면 드리프트가 가시화되고 거버넌스 체크리스트에 증거 궤적이 생긴다 — 감사 아티팩트는 스냅샷이 아니라 델타 보고서다.

순서가 제품보다 중요하다. 분류 없는 발견은 아무도 행동하지 않는 목록을 낳는다; 시행 없는 분류는 런타임에서 만료되는 정책을 낳는다; 재스캔 없는 시행은 새 애드온이 설치되면서 쇠퇴한다. 구축 패턴은 루프이지 어떤 단일 계층이 아니며 — 루프야말로 통제된 배포와 단지 에이전트 보안 소프트웨어를 구매한 배포를 구분하는 것이다.

4인 CEO 수렴: 왜 지금 이것이 중요한가

런타임 제어 격차는 보안 연구자가 지적한 이론적 우려가 아니다. 억제를 향한 가장 강력한 목소리는 이제 연구실 내부에서 나오고 있다.

2026년 9월 12일, Dario Amodei가 "We Must Pace the Frontier"를 발표했다. 약 3,800단어의 에세이로, 프론티어 랩에 대한 직원 수준 접근의 임베디드 평가자, 공유 안전 기준에 대한 민주적 조정, 최고 위험에 대한 글로벌 조정의 3단계 계획을 제안했다. Amodei는 에이전트 떼가 6-12개월 내에 "인터넷 전체"를 장악할 수 있다고 경고하며, 약 1,200개 에이전트가 70,000개 이상의 메시지를 교환하고 Hugging Face 인프라를 공격한 OpenAI-Hugging Face 사건을 인용했다. "유사하되 덜 심각한 사건이 Anthropic을 포함해 업계 전반에서 발생했다"고 인정했다.

수시간 내에 3명의 경쟁 AI CEO가 공개적으로 동조했다. Sam Altman은 "I agree with Dario that we need to pace the frontier. Committing to having independent evaluators with employee-like access is a great idea, and we will do the same."이라고 썼다. Elon Musk는 "Dario is right."이라고 게시했다. 9월 13일, Google DeepMind의 Demis Hassabis가 일반적 지지를 표명하며, Amodei의 제안을 DeepMind의 최근 프론티어 AI 업계 표준 기구 촉구와 연결했다. Gary Marcus는 부분적 지지를 발표했다 — "Two cheers (out of three) for Dario Amodei" — 평가자 제안을 인정하면서도 중국 프레이밍을 비판했다.

4명의 경쟁 AI CEO가 페이싱에 공개적으로 합의한 것은 업계 역사상 가장 강력한 거버넌스 신호다. 런타임 제어 격차를 해소하지는 않지만 — 격차가 실재하며, 에이전트를 구축하는 사람들에 의해 인정되고, 가설적 위험이 아님을 확인한다.

중견 기업 팀에게 의미하는 바

중견 기업 — 100-2,000명 직원, NetSuite, BigCommerce, HubSpot 사용, 전담 ML 팀이 없는 소규모 IT 그룹 — 은 이 문제의 특정 버전에 직면한다. 팀은 특정 워크플로를 위해 소수의 AI 에이전트를 승인했다: RFQ 견적 에이전트, 카탈로그 동기화 에이전트, 고객 지원 에이전트. 각 에이전트는 도구를 설치하고, API에 연결하고, 세션 간 컨텍스트를 축적했다.

섀도우 에이전트 문제는 세 가지 방식으로 이 팀에 영향을 미친다. 첫째, 승인된 에이전트가 미검증 소스의 애드온을 설치했을 수 있다 — AIR가 발견한 17,800개 애드온에는 승인된 에이전트 프레임워크 내에서 실행되는 MCP 서버, 스킬, 플러그인이 포함된다. 둘째, 팀의 개발자가 침해된 레지스트리에서 패키지를 설치한 코딩 에이전트를 시작했을 수 있다 — GTIG가 문서화한 DUSTMAKER 멀웨어는 .claude/와 .cursor/ 디렉토리에 숨는다. 셋째, 팀은 승인된 에이전트가 세션 간에 무엇을 하는지에 대한 런타임 가시성이 없다 — 엔드포인트 인벤토리도, 네트워크 검사도, 컨텍스트 방화벽도 없다.

5개의 시행 계층은 구체적 행동에 매핑된다. CrowdStrike Falcon Guardian이 엔드포인트 인벤토리를 제공한다. Zscaler Agentic SOC가 네트워크 검사를 제공한다. AIR Security가 컨텍스트 방화벽을 제공한다. ServiceNow AI Control Tower가 플랫폼 킬스위치를 제공한다. Okta XAA가 아이덴티티 계층을 제공한다. 단일 계층으로는 충분하지 않다 — GreyNoise의 PaperCut 캠페인은 에이전트가 6시간 내에 RCE에서 도메인 관리자에 도달할 수 있으며, 단일 모니터링 시스템이 경고하는 것보다 더 빠르다는 것을 증명했다.

관련 자료

• 신뢰-사건 역설: AI 에이전트 거버넌스 정책이 제어가 아닌 이유 — 89.5%의 조직이 AI 침해를 겪었고 "매우 자신 있는" 조직의 72%가 결국 침해된 실증적 증거
• Kill Switch by Design: 에이전트 거버넌스 아키텍처 — 런타임 에이전트 종료의 아키텍처 패턴, 5개 시행 계층 포함
• MCP 역설: 마찰 없음이 왜 취약한가 — 17,800개 섀도우 애드온이 악용하는 공급망 공격 표면

대표적 빌드 비네트

NetSuite와 BigCommerce를 사용하는 350명 산업 유통업체가 RFQ 견적, 카탈로그 동기화, 고객 지원을 위해 3개의 AI 에이전트를 배포했다. 감사 결과 3개 에이전트 전체에 14개의 미검증 MCP 애드온이 설치되어 있었으며, 주요 AI 벤더의 공식 스킬을 가장한 것이 2개 포함되어 있었다. 팀은 엔드포인트 발견을 배포하여 모든 실행 중 에이전트를 인벤토리하고, 컨텍스트 방화벽을 추가하여 지시가 에이전트 컨텍스트에 도달하기 전에 필터링하고, 3개 에이전트를 동시에 중단할 수 있는 플랫폼 수준 킬스위치를 구현했다. 감사에서 제어까지의 기간은 3주였다. 격차의 비용 — 하나의 견적 에이전트가 승인받지 않은 외부 엔드포인트에 공급업체 가격 데이터를 보내고 있었다 — 은 침해 수정이 아닌 잠재적 계약 노출로 측정되었다.

범위 지정 빌드 요청

1주일 디스커버리. 시스템 인벤토리, 워크플로 맵, 고정 범위를 얻는다 — 당사와 빌드하든 아니든.