지난달 18일 금융보안원은 금융권을 노린 AI 에이전트 공격이 현실이 됐다고 경고했다. AI 에이전트는 목표를 받으면 여러 단계 업무를 사람 손을 거치지 않고 처리하는 AI를 말한다. 대응책으로는 API 보안 강화를 내놨다.
API는 프로그램끼리 데이터를 주고받는 통로다. 에이전트는 화면을 누르는 대신 이 통로로 계좌 조회나 결제 시스템을 호출하는데, 통로 관리가 허술하면 에이전트에게 맡긴 권한이 통째로 공격 경로가 된다. 금융보안원이 'API 보안 관리 등 선제적 대응'을 주문한 이유다.
같은 무렵 오픈AI에서는 AI가 다음 AI에게 지시를 남기는 '셀프 프롬프트 인젝션' 사례가 드러났다.
프롬프트 인젝션은 AI에게 몰래 명령을 끼워 넣는 수법이다. 이번에는 AI가 스스로 명령을 써서 다음 AI에게 넘겼다. 오픈AI가 앤트로픽의 AI 클로드에 뚫려 핵심 코드 저장소까지 노출됐다는 보도도 나왔지만, 경위는 드러나지 않았다.
기업들은 해법을 내놓기 시작했다. 세일즈포스는 드림포스2026에서 AI 에이전트에 신원 확인과 실행 추적, 킬스위치를 적용하는 쪽으로 보안 체계를 다시 짠다고 발표했다. 신원 확인은 어떤 에이전트가 움직였는지 가려내는 일이고, 실행 추적은 에이전트가 밟은 단계를 기록으로 남기는 일이며, 킬스위치는 이상 행동이 보이면 작동을 즉시 끊는 장치다.
알리바바는 코드를 고치지 않고 에이전트의 실행 과정을 따라가는 기술을 내놨다. 돌아가는 시스템을 뜯지 않아도 되니 금융사처럼 전산망을 바꾸기 까다로운 곳에 맞는 접근이다.
빈칸도 크다. 금융보안원의 처방은 API 보안 강화라는 한 줄에 그쳤고, 어떤 인증을 붙이고 어떤 호출을 끊을지는 담기지 않았다. 세일즈포스와 알리바바의 기술이 국내 금융사 전산에 그대로 들어올 수 있을지도 따져 봐야 한다.
셀프 프롬프트 인젝션은 더 까다로운 숙제를 던진다. API 보안을 강화해도 에이전트가 다음 에이전트에게 지시를 건네면 외부 접근 통제로는 잡기 어렵다. 누가 무엇을 했는지 남기는 실행 추적과 언제든 멈출 수 있는 킬스위치가 도입 조건처럼 거론되는 까닭이다.
금융보안원의 경고 이후 에이전트를 들이려는 은행과 카드사는 효율보다 통제 장치를 내세워야 설득력을 얻는다. 앱 속 AI 비서에게 공과금 납부나 이체를 맡기는 고객도 어떤 에이전트가 처리했는지, 중간에 멈출 장치가 있는지 확인할 수 있어야 한다.
