기업 교육에서 에이전트 도입을 다루면 질문의 절반은 환각으로 간다. 모델이 틀린 말을 하면 어떻게 잡느냐, 검수는 누가 하느냐. 타당한 질문이지만, 지난 두 주 동안 실제로 손해가 발생한 지점은 거기가 아니었다.
7월 7일 CISA는 CVE-2026-55255를 알려진 악용 취약점 목록에 올렸다. 대상은 모델이 아니라 에이전트 워크플로를 GUI로 조립하는 도구인 Langflow였다. 1.9.2 이전 버전의 /api/v1/responses 엔드포인트에서, 인증된 사용자가 남의 flow ID를 넣기만 하면 그 flow를 실행할 수 있었다. 전형적인 접근제어 결함이고, 모델의 판단력과는 아무 관계가 없다.
Sysdig가 관측한 공격자의 목적은 더 노골적이다. 이들은 flow를 실행해 그 안에 박혀 있던 값을 긁어갔다. LLM 제공사 키, 클라우드 자격증명, 데이터베이스 접속 정보였다. 실행 권한이 아니라 배선 안에 고여 있던 열쇠가 전리품이었다.
에이전트의 자산은 추론이 아니라 접근 권한이다
에이전트를 쓸 만하게 만드는 조건은 하나다. 사내 시스템에 실제로 붙어 있어야 한다. 붙는다는 건 그 시스템의 자격증명을 어딘가에 저장한다는 뜻이고, 조립 도구는 그 저장소를 한곳에 모은다. 모델을 바꿔도 이 구조는 그대로다.
규모도 이미 드러났다. GitGuardian은 2025년 공개 GitHub 커밋에서 약 2,900만 건의 하드코딩된 비밀을 찾았고, AI 코딩 보조로 작성된 커밋의 유출률이 기준선의 약 두 배였다고 보고했다. 공개 저장소에 노출된 MCP 설정 파일에서 발견된 고유 비밀은 2만 4천 건을 넘었다. 편의를 위해 키를 설정에 적는 습관이 에이전트 도입 속도에 비례해 늘어난 것이다.
실행이 코드 안으로 들어가면 호출 로그로는 안 보인다
같은 달 OpenAI는 GPT-5.6을 GA로 내면서 Responses API에 프로그래매틱 도구 호출을 추가했다. 모델이 도구를 한 번에 하나씩 부르는 대신, 도구들을 반복문과 조건문으로 엮는 JavaScript를 작성하고 네트워크가 차단된 격리 V8 런타임에서 돌린다. OpenAI가 제시한 수치로는 특정 워크플로에서 총 토큰 63.5%, 모델 턴 50.1%가 줄었다.
효율은 실제 이득이다. 동시에 감사 지점이 바뀐다. 왕복 횟수가 절반으로 줄면 사람이 중간에 끼어들 자리도 절반으로 준다. 남는 기록은 "어떤 도구를 몇 번 불렀나"가 아니라 "모델이 어떤 프로그램을 짰나"다. 검토 체계가 호출 단위 로그를 전제로 설계돼 있다면, 이 전환에서 그대로 눈이 먼다.
점검표의 첫 줄은 프롬프트가 아니다
방향은 반대편에서도 확인된다. NVIDIA는 7월 17일 Nemotron 3 Embed를 공개하며 8B 체크포인트가 RTEB 1위에 올랐다고 밝혔고, 용도로 에이전트 검색과 에이전트 메모리를 명시했다. 가중치와 학습 레시피를 열어 자체 인프라에서 돌리게 한 선택이다. 검색·기억 계층이 사내로 들어온다는 건, 그 계층이 접근하는 데이터와 자격증명도 함께 사내 관리 대상이 된다는 뜻이다.
그래서 에이전트 도입 검토의 첫 질문은 다음 네 가지다.
- 이 에이전트가 현재 쥐고 있는 자격증명의 전체 목록
- 그 키들의 권한 범위와 회수 절차
- 조립 도구·MCP 서버의 인증 및 테넌트 분리 여부
- 모델이 생성한 실행 코드가 남기는 기록의 보존 위치
CVE-2026-55255의 CVSS는 9.9였지만, 이 사건이 주는 교훈은 점수가 아니라 위치다. AX 프로젝트에서 사고는 모델 품질이 아니라 도구와 권한을 잇는 배선에서 난다. 조녁컴퍼니가 교육과 컨설팅에서 프롬프트보다 연결 구조와 권한 설계를 먼저 다루는 이유다.