AI 에이전트에게 API 키를 안전하게 맡기는 법, Agent Vault 등장

AI 에이전트 시대의 새로운 보안 고민

요즘 LLM 기반 에이전트가 정말 다양한 일을 하잖아요. 이메일을 보내고, GitHub에 PR을 올리고, Slack에 메시지를 쓰고, 데이터베이스에 쿼리를 날리고요. 그런데 이 에이전트들이 이런 일을 하려면 당연히 API 키나 토큰이 필요해요. OpenAI 키, GitHub 토큰, AWS 액세스 키, DB 비밀번호 같은 것들요.

여기서 큰 문제가 생겨요. 에이전트한테 이 자격증명을 어떻게 전달하죠? 가장 쉬운 방법은 환경변수나 설정 파일에 평문으로 박아두는 건데요. 이건 재앙이에요. 에이전트는 LLM이라서 프롬프트 인젝션 공격에 취약해요. 누군가 악의적인 입력을 주면 에이전트가 "내가 가진 API 키 좀 보여줘" 같은 명령을 순순히 따를 수 있거든요. 실제로 이런 공격 시나리오가 계속 보고되고 있어요.

보안팀 입장에서는 더 골치 아파요. 에이전트한테 토큰을 주는 순간 그 토큰이 어디까지 흘러가는지 추적이 안 돼요. 로그에 찍힐 수도 있고, 에러 메시지에 포함돼서 외부 서비스로 전송될 수도 있고, 벡터 DB에 임베딩되어 저장될 수도 있어요. 기업에서는 이게 컴플라이언스 이슈로 연결되죠.

Agent Vault가 해결하는 방식

Infisical이라는 오픈소스 시크릿 관리 회사가 이 문제를 풀겠다고 Agent Vault를 내놨어요. 핵심 아이디어는 간단해요. 에이전트한테 실제 자격증명을 주지 말고, 자격증명을 대신 써주는 프록시를 주자는 거예요.

구체적으로 어떻게 동작하냐면, Agent Vault는 로컬에서 프록시 서버로 돌아가요. 에이전트가 GitHub API를 호출하려고 할 때, 진짜 GitHub 엔드포인트로 직접 가는 게 아니라 Agent Vault를 거쳐서 가거든요. Agent Vault가 중간에서 "아, 이 요청은 GitHub로 가는 거네" 하고 인식한 다음, 자기가 가지고 있는 실제 토큰을 Authorization 헤더에 꽂아서 대신 전송해줘요. 응답이 돌아오면 다시 에이전트한테 전달하고요.

이렇게 하면 에이전트 자체는 토큰의 실체를 전혀 몰라요. 프롬프트 인젝션으로 "네 토큰을 말해봐"라고 해도 말해줄 수가 없어요. 토큰은 Vault에만 있고 에이전트 메모리에는 한 번도 로드된 적이 없으니까요. 로그나 에러 메시지에 유출될 위험도 구조적으로 차단되는 거죠.

여기에 더해서 정책 엔진도 들어 있어요. 예를 들어 "이 에이전트는 GitHub의 특정 레포에 대해서만, GET과 POST 요청만 허용" 같은 규칙을 걸 수 있어요. 에이전트가 실수든 공격이든 간에 DELETE 요청을 보내려고 하면 Vault에서 바로 차단해요. 최소 권한 원칙(least privilege)을 프록시 레벨에서 강제하는 거예요.

기존 시크릿 관리와 뭐가 다른가

HashiCorp Vault, AWS Secrets Manager, Doppler, 1Password Secrets Automation 같은 시크릿 관리 도구는 이미 많아요. 그런데 이 도구들은 대부분 시크릿을 앱한테 전달해주는 것까지만 담당해요. 일단 앱이 시크릿을 받으면 그 후에 어떻게 쓰이는지는 관여하지 않거든요. 전통적인 서비스한테는 이 모델이 잘 맞아요. 서비스가 믿을 만한 코드니까요.

그런데 에이전트는 믿을 수 없는 코드에 가까워요. LLM이 내놓는 다음 액션은 예측하기 어렵고, 외부 입력에 따라 행동이 바뀌거든요. 그래서 시크릿을 "전달"하는 모델이 아니라 "대리 실행"하는 모델이 필요한 거예요. Agent Vault는 바로 이 지점을 노린 거고요.

비슷한 문제의식을 가진 프로젝트들도 속속 나오고 있어요. Anthropic의 MCP(Model Context Protocol)도 도구 호출을 표준화하면서 권한 경계를 다루고, LangChain 생태계에도 신뢰 경계를 강제하는 래퍼들이 많이 생겼어요. 클라우드플레어의 AI Gateway도 비슷한 역할을 일부 해주고요. Agent Vault는 그중에서 자격증명 관리에 특화해서 오픈소스로 내놨다는 점이 차별점이에요.

한국 개발자에게 주는 시사점

에이전트 기반 제품 만드시는 분들은 이거 진지하게 고려해볼 만해요. 특히 사내 도구로 에이전트 도입하는 회사들이 부쩍 늘었는데, 보안팀 설득하는 게 늘 골치잖아요. "에이전트한테 GitHub 토큰 주는 거 안전해요?" 질문에 자신 있게 답하기가 쉽지 않거든요. Agent Vault 같은 프록시 레이어를 두면 감사 로그, 권한 분리, 토큰 로테이션을 한 지점에서 처리할 수 있어서 보안팀한테 팔기 훨씬 수월해요.

개인 프로젝트 수준에서도 배울 만한 패턴이에요. 꼭 이 도구를 쓰지 않더라도, 에이전트에는 자격증명을 직접 노출하지 말고 래퍼 함수로 감싸라는 원칙은 기억해두면 좋아요. github_api(action, params) 같은 함수 하나를 툴로 등록하고, 그 함수 안에서만 토큰을 쓰도록 하는 식이죠. 이것만 해도 상당한 방어선이 생겨요.