브라우저 에이전트: 보안 위험은 무엇인가요?

요약: AI 기반 브라우저 에이전트의 보안 위험은 기존 소프트웨어 위험과 구조적으로 다릅니다. 에이전트는 인증된 세션을 상속하고 여러 애플리케이션에서 동시에 작동하며, 기존의 어떤 제어 계층도 해석할 수 없는 자연어 지침에서 동작을 생성합니다. 이를 관리하는 것은 사이버 복원력 구축의 일부가 되었으며, 사고 발생 후가 아니라 배포 전에 신원과 데이터 모두에 대한 가시성이 필요합니다.

브라우저 에이전트는 대부분의 보안 팀이 대응할 수 있었던 속도보다 더 빠르게 파일럿 프로그램 단계를 넘어 프로덕션 워크플로로 전환되었습니다.

각 배포는 Copilot 통합이든, Claude 확장 기능이든, 또는 재무 부서에서 실행되는 ChatGPT 워크플로든—기존 보안 제어로는 확인, 로그 기록, 관리가 불가능한 서로 다른 유형의 노출을 만들어냅니다.

인증 계층은 에이전트를 신뢰된 사용자로 취급하고, 데이터 계층은 에이전트가 무엇에 접근하는지에 대한 가시성이 없으며, 제어 계층은 자연어를 기반으로 자율적으로 동작하는 애플리케이션이 아니라 결정론적(더 예측 가능한) 애플리케이션을 위해 구축되었습니다.

이 가이드는 해당 노출을 평가하는 방법, 위험 등급별로 에이전트를 분류하는 방법, 그리고 작업을 중단하지 않으면서도 위험을 관리하는 제어를 적용하는 방법을 다룹니다.

브라우저 에이전트란 무엇인가요?

브라우저 에이전트는 사용자를 대신해 웹 브라우저 안에서 자율적으로 작업을 수행하는 AI 시스템입니다. 브라우저 에이전트는 웹 애플리케이션을 탐색하고, 양식을 작성하고, 버튼을 클릭하고, 파일을 다운로드하며, 단계별 인간의 지시 없이도 인증된 세션 전반에서 여러 단계로 이루어진 워크플로를 실행합니다.

에이전트는 자연어로 된 지시를 받아 대규모 언어 모델로 이를 해석한 다음, 브라우저가 접근할 수 있는 어떤 애플리케이션에서든 작업을 완료하는 데 필요한 일련의 동작을 생성합니다.

오늘날 브라우저 에이전트는 어떻게 작동하는가

세 가지 주요 구현은 노출 범위의 실제 규모를 보여줍니다.

1. Anthropic의 Claude 는 웹을 탐색하고, 탭 전반에서 작업을 수행하며, 로컬 시스템과 상호작용할 수 있습니다. Anthropic의 자체 research documentation 에서는 다음과 같이 명시합니다. "브라우저 사용은 프롬프트 인젝션 위험을 두 가지 방식으로 증폭시킵니다. 첫째, 공격 표면이 광범위합니다. 즉, 모든 웹페이지, 내장 문서, 광고, 그리고 동적으로 로드되는 스크립트는 악의적인 지시를 위한 잠재적 공격 경로(벡터)를 의미합니다."

2. OpenAI의 ChatGPT 에이전트 에는 네 가지 구성 요소가 포함됩니다. Operator(자율적 웹 브라우징), Deep Research(다단계 인터넷 리서치), Code Interpreter(Python 실행), 그리고 Google Drive, GitHub, OneDrive와의 통합입니다. OpenAI의 official documentation 는 다음과 같이 분명히 밝힙니다: "이는 새로운 위험을 초래합니다. 특히 ChatGPT agent가 사용자의 데이터와 직접 작업할 수 있기 때문입니다."

3. Microsoft Copilot Actions 는 Power Automate 흐름과 인증된 커넥터를 사용하여 Power Platform 인프라에서 실행됩니다. 실제로 구성 설정과 특정 작업 유형에 대해 승인(approv al)이 어떻게 구현되는지에 따라, 자동화된 작업이 사용자의 자격 증명(credentials) 하에서 수행될 수 있습니다.

기존 보안 제어가 브라우저 에이전트의 활동을 볼 수 없는 이유

보안 스택은 구조화된 데이터에서 동작하는 결정론적 애플리케이션을 전제로 구축되었습니다. 반면 브라우저 에이전트는 확률적 출력(probabilistic outputs)을 동반한 자연어로 동작하며, 기존 모든 제어(control)가 작동하는 지점보다 위에 있는 의미론적 계층(semantic layer)에 위치합니다.

기존 도구는 에이전트가 결정을 내리는 계층 아래에서 작동합니다.

CASB, DLP, 네트워크 모니터링, EDR은 모두 출력 계층에서 동작합니다. 이들은 의사결정이 이루어진 이후의 트래픽, 패턴, 프로세스 활동을 확인합니다. 대부분의 기존 도구는 에이전트가 어떤 추론을 하는지, 또는 브라우저 탭 내부에서 어떤 명령을 실행하는지 관찰하는 데 한계가 있습니다.

고객의 재무 데이터를 요약한 뒤 이를 외부로 전송하라는 지시를 받은 에이전트는, 일련의 작업을 통해 그 임무를 수행하며, 그 과정은 위 네 가지 도구 모두 입장에서 완전히 정상으로 기록됩니다.

브라우저 에이전트는 모든 인증된 세션을 동시에 읽을 수 있습니다

브라우저는 동일 출처 정책(Same-Origin Policy, SOP)을 적용하여, 한 도메인의 스크립트가 다른 도메인의 데이터를 읽지 못하게 합니다. 사용자 수준 프로세스 또는 확장 기능으로 실행되는 브라우저 에이전트는, SOP가 일반적으로 스크립트 수준에서 격리하는 여러 인증 세션을 효과적으로 가로지릅니다.

이들은 사용자 수준 프로세스로 실행되며, 브라우저에서 활성화된 모든 인증 세션에 한 번에 접근할 수 있습니다. 그 결과 인사(HR) 시스템, 재무 애플리케이션, CRM이 더 이상 서로 격리되지 않게 됩니다.

웹페이지, 이메일 또는 캘린더 초대에 삽입된 악성 지시는 에이전트가 모두에 걸쳐 데이터를 가져와 한 번의 자동화된 시퀀스에서 결합하도록 유도할 수 있습니다.

에이전트 트래픽은 유효한 자격 증명과 함께 들어오므로, ID 제어가 이를 그대로 통과시킵니다

브라우저 에이전트는 기존 SSO 세션을 통해 인증하고, ID 공급자로부터 유효한 토큰을 상속받습니다. 에이전트가 내리는 모든 요청은 권한이 부여된 채널을 통해 정당한 자격 증명과 함께 조직의 서비스에 도달합니다.

OAuth와 SAML은 인증된 주체를 세션이 유지되는 동안 신뢰할 수 있는 것으로 취급하지만, 해당 주체가 프롬프트가 바뀔 때마다 행동이 달라지는 자율형 에이전트인 경우에는 이 모델이 실패합니다.

브라우저 에이전트 보안 위험 5가지 유형

아래의 위험은 가정이 아닙니다. 각 범주에는 실제 환경에서 발생한 문서화된 사고 사례가 있거나, 현재 진행 중인 악용을 입증하는 공개 연구 프로토타입이 존재합니다.

1. 악성 웹 콘텐츠로 인한 프롬프트 인젝션

OWASP LLM Top 10 는 프롬프트 인젝션을 LLM 애플리케이션에 대한 최상위 위협으로 분류합니다. 즉, 에이전트가 처리하는 콘텐츠에 숨겨진 악의적인 지시가 그 행동을 완전히 가로챌 수 있습니다.

기업용 브라우저 에이전트는 종종 위험을 극대화하는 세 가지 조건을 동시에 갖추기 때문에 특히 노출이 큽니다. 즉, 민감 데이터에 대한 접근, 신뢰할 수 없는 콘텐츠에 대한 노출, 그리고 외부와 통신할 수 있는 능력입니다.

연구자들은 악성 캘린더 초대장, 문서 또는 내장된 웹 콘텐츠가 의도치 않은 에이전트 동작을 유발할 수 있으며, 로컬 또는 클라우드 데이터를 제로클릭으로 유출하는 경우도 포함된다고 밝혔습니다.

여덟 가지 프롬프트 인젝션 방어 접근 방식에 대한 학술적 평가는 모두 우회될 수 있음을 확인했으며, published research 에서는 강화된 방어를 상대로도 높은 공격 성공률이 보고되었습니다..

2. 외부 AI 엔드포인트로의 민감 데이터 유출

많은 조직에서 직원들은 승인된 엔터프라이즈 도구와 함께 무료 티어 또는 개인 계정 AI 도구를 사용하며, 그 사용 중 일부는 민감하거나 규제 대상인 데이터가 포함될 수 있습니다.

브라우저를 통해 대량의 GenAI 접근이 이뤄지는 만큼, 데이터는 보안 스택이 일반 웹 트래픽으로 취급하는 채널을 통해 외부 AI 엔드포인트에 도달할 수 있습니다.

전통적인 shadow AI controls 는 승인된 애플리케이션 목록에 초점을 두며, 이 패턴에는 구조적으로 눈이 가려져 있습니다.

3. 자율적인 작업 수행으로 인한 업무 중단 및 데이터 손실

브라우저 에이전트는 파괴적인 권한(예: 삭제 또는 되돌릴 수 없는 변경 작업)을 상속받을 수 있으며, 작업이 잘못 이해되거나 범위가 부적절하거나 적대적인 콘텐츠의 영향을 받을 때 이를 기계 속도로 실행할 수 있습니다.

또한 다중 에이전트 구성에서는 도구 간 및 세션 간 상속 패턴이 발생해, 사용자에게 명확한 가시성이 없는 상태에서 하류(후속) 도구에서 권한이 없는 작업이 가능해질 수 있습니다.

이러한 사고에는 공통된 근본 원인이 있습니다. 바로 에이전트가 특정 의도된 작업에만 권한을 제한하지 않은 채, 사용자와 동등한 권한을 부여받는다는 점입니다.

4. 자격 증명 탈취, 세션 하이재킹, 그리고 횡적 이동

코넬 대학교 연구 는 프롬프트 인젝션이 기존 악성코드 캠페인과 유사한 5단계 공격으로 진화했음을 보여줍니다. 즉, 초기 접근, 권한 상승, 에이전트 메모리에서의 지속성, 연결된 서비스 전반으로의 횡적 이동, 그리고 실행입니다.

이러한 멀티홉 공격은 에이전트가 여러 서비스에 걸쳐 동시에 인증된 세션을 유지한다는 사실을 악용합니다. 공격자가 지시를 성공적으로 주입하면, 사용자의 전체 액세스 범위를 아우르는 자격 증명 체인을 확보할 수 있습니다.

5. 통제되지 않은 AI 도입으로 인한 조용한 컴플라이언스 이탈

기존 프레임워크는 자율 시스템을 위해 설계되지 않았습니다. HIPAA의 감사 통제 요구사항(45 CFR §164.312(b))에 따라, 통합 로깅 없이 여러 시스템에 걸쳐 동작하는 브라우저 에이전트는 즉각적인 위반을 초래합니다.

GDPR Article 22에 따르면, 사람의 감독 없이 데이터 접근에 대해 자율적으로 의사결정을 내리는 에이전트는 자동화된 의사결정 보호를 위반할 수 있습니다. 더 넓게는, 섀도 AI는 표준 로깅, 보관(리텐션), 접근 거버넌스 제어를 우회하는 경우가 많아 침해 사고 및 감사에 대한 영향이 커질 수 있습니다.

환경에서 브라우저 에이전트의 보안 위험을 평가하는 방법

제어를 적용하기 전에, 조직은 세 가지 차원에서 기준선을 마련해야 합니다. 즉, 에이전트가 배포되는 위치, 에이전트가 접근할 수 있는 데이터, 그리고 권한 상속(인헤리턴스)의 모습이 어떤지입니다.

1단계: 브라우저 AI 및 확장(Extension) 사용 현황 파악

DLP tools를 구성하여 AI 트래픽 패턴을 식별하고, 주요 AI 서비스에 대한 연결에 대해 프록시 로그를 수집하며, OAuth 권한 부여 로그를 검토합니다. Microsoft Defender Vulnerability Management는 추가 비용 없이 Edge, Chrome, Firefox 전반에서 브라우저 확장(Extension) 인벤토리를 기본 기능으로 제공합니다.

LayerX Security의 2025 Browser Security Annual Report에 따르면, 기업용 브라우저 확장 프로그램의 상당 부분이 높은 수준 또는 치명적인 권한을 갖고 있으며, GenAI 확장 프로그램은 일반 확장 프로그램보다 더 넓은 권한 범위를 요청합니다.

2단계: 데이터 노출 범위를 파악하고 에이전트가 접근할 수 있는 항목을 확인합니다

발견된 모든 에이전트에 대해, 해당 에이전트가 도달할 수 있는 인증된 세션이 무엇인지 문서화합니다. Netwrix 1Secure Platform의 Data Security Posture Management (DSPM) 기능은 접근 권한이 있는 신원과 상호 연결하는 동시에 민감한 데이터를 지속적으로 찾아 분류합니다. First National Bank Minnesota 가 보안을 강화하기 위해 Active Directory 를 재구축해야 했을 때, 먼저 민감한 고객 데이터를 발견하고 분류한 덕분에 당초 6개월로 예상됐던 프로젝트를 단 3주 만에 완료할 수 있었습니다.

에이전트가 실제로 무엇에 접근할 수 있는지 확실하지 않으신가요? Netwrix 1Secure는 민감한 데이터를 매핑하고 액세스 권한이 있는 ID와 연관시킵니다. 데모 요청 에이전트가 격차를 발견하기 전에.

3단계: 아이덴티티와 권한 상속 구조를 분석합니다

대부분의 기업에서는 사용자, 서비스 계정, OAuth로 연결된 앱 전반에 걸쳐 권한이 과도하게 퍼져(권한 스프롤) 있는 상태가 이미 존재합니다. 브라우저 에이전트는 이러한 권한 스프롤을 그대로 상속받아, 기계 속도로 이를 실행할 수 있습니다. 어떤 에이전트 배포가 시작되기 전에, 필요한 권한 상태와 실제 권한 상태 사이의 격차를 문서화하십시오.

4단계: 공급업체의 보안 태세와 기본 제공 제어를 평가합니다

각 에이전트 벤더가 문서화한 보안 아키텍처를 검토하세요. 에이전트가 접근할 수 있는 데이터의 범위, 데이터가 처리되는 위치, 프롬프트와 응답이 저장되는 방식, 그리고 사용할 수 있는 엔터프라이즈 제어가 무엇인지 확인합니다.

5단계: 승인, 제한, 차단 사용 정책을 정의합니다

허용 사용 정책(Acceptable use policy)에는 어떤 AI 도구가 승인되는지, 각 도구별로 허용되는 데이터 분류, 사용자 책임, 금지 활동, 그리고 시행 메커니즘을 명확히 포함해야 합니다. 새로운 에이전트 기능이 출시될수록 정책 요구사항은 빠르게 변화합니다. 일부 조직은 단 한 분기 안에 AI 허용 사용 정책을 여러 차례 업데이트했으며, 각 개정은 에이전트 업데이트로 인해 새롭게 도입된 예외(엣지 케이스)를 반영합니다.

생산성을 멈추지 않고 브라우저 에이전트의 보안 위험을 줄이는 방법

대부분의 조직에서 모든 브라우저 AI를 차단하는 것은 현실적인 보안 태세가 아닙니다. 아래의 통제 항목은 구현 비용 대비 미치는 영향의 순서로 정렬되어 있습니다.

위험 분류와 최소 권한(least privilege) 원칙에 따른 조치는 선행 조건입니다. 나머지 통제 항목은 이러한 접근 위생(access hygiene)을 토대로 구축됩니다.

위험 등급에 따라 에이전트를 분류합니다: 승인됨(approved), 제한됨(restricted), 또는 차단됨(blocked)

각 브라우저 에이전트 사용 사례를 네 가지 차원에서 평가합니다: 데이터 민감도, 운영에 대한 영향, 규제 노출(regulatory exposure), 그리고 의사결정 자율성(decision autonomy). 브라우저별 추가 요소도 고려하세요: 자격 증명(credential) 접근 범위, 세션 경계(session boundaries), 외부 서비스 통합(external service integrations), 그리고 에이전트의 작업을 모니터링하고 되돌릴 수 있는지 여부.

• 낮은 위험(승인): 공용 데이터만 사용, 기업 자격 증명 없음, 일반적인 모니터링만으로 충분.
• 중간 위험(제한): 비민감 기업 데이터에 대해 역할 기반 액세스 제어가 필요하며, 읽기 전용 상태를 우선 적용하고, 향상된 모니터링 및 DLP 범위를 제공하며, 분기별 재인증을 수행합니다.
• 고위험(차단 또는 보완 통제로 관리): 규제 대상 데이터, 인증 자격 증명, 운영(프로덕션) 시스템, 또는 자율적인 의사결정 능력이 해당됩니다. 어떤 배포를 하기 전에 완전한 보안 평가가 필요하며, 지속적인 모니터링과 전담 거버넌스 검토를 수행해야 합니다.

에이전트가 기존 노출을 증폭하기 전에 최소 권한을 강제하세요

현재 사용자가 과도한 권한을 보유하고 있다면, 브라우저 에이전트가 그 모든 권한을 상속받아 기계 속도로 실행합니다. 에이전트를 도입하기 전에 과도하게 프로비저닝된 액세스를 먼저 시정하는 것이, 가장 높은 수익을 기대할 수 있는 준비 조치입니다.

Netwrix Privilege Secure 는 상시 권한을 0으로 하는 just-in-time(필요 시점) 액세스를 강제합니다. 즉, 관리되는 계정에서 동작하는 에이전트는 악용되기를 기다리는 지속적인 고권한 액세스를 보유하지 않습니다. 모든 특권 작업은 감사 로그에서 특정 ID와 연결되므로, 컴플라이언스 프레임워크가 요구하는 포렌식 가시성을 제공합니다.

예를 들어 침투 테스터가 과도하게 할당된 관리자 계정을 반복적으로 악용했을 때, Eastern Carver County Schools 는 상시 권한을 제거하는 just-in-time 액세스 모델을 도입했습니다. IT 리소스가 제한된 교육구의 경우, 이 수준의 통제를 수개월이 아닌 며칠 만에 구현할 수 있다는 점이 9,300명의 학생 데이터를 보호하는 데 결정적으로 중요했습니다.

관리되는 브라우저 프로필과 확장 프로그램 허용 목록을 사용하세요

Microsoft Edge for Business 는 업무용과 개인용 브라우징에 대해 별도의 보안 컨텍스트를 생성하며, 세 가지 보안 수준을 사용자 위험 프로필에 매핑합니다. Chrome Enterprise는 정책 충돌 감지 를 제공하여, BYOD 기기에서 중요 정책이 비준수로 표시되면 기업 애플리케이션에 대한 접근을 자동으로 차단합니다.

기본 거부(default-deny) 방식을 사용하는 확장 프로그램 허용 목록은, 추가 비용이 가장 낮은 수준에서 제공되는 가장 효과적인 통제입니다. Microsoft Edge 에서는 ExtensionSettings 정책으로 기본적으로 모든 확장 프로그램을 차단할 수 있으며, 위험 평가 절차를 통과한 각 도구에 대해 명시적으로 승인된 예외만 허용합니다.

데이터 분류와 AI 인지 DLP를 적용해 민감 데이터 노출을 차단하세요

기존 DLP는 GenAI의 상호작용 패턴을 따라잡기 어렵습니다. Data classification 즉, 어떤 데이터가 중요한지 제어(콘트롤)에 알려주는 것이 선행 조건입니다.

민감도 수준별로 차별화된 보호를 구성하세요. 제한 데이터는 사용자 역할과 무관하게 어떤 외부 AI 도구에도 붙여넣을 수 없지만, 공개 데이터는 제한 없이 흐릅니다.

Netwrix 1Secure Platform은 민감한 데이터 검색 및 분류를 Identity Threat Detection 및 Netwrix Endpoint Protector's DLP 기능과 통합하여 하이브리드 환경 전반에서 민감도 레이블을 지속적으로 유지합니다. 이를 통해 에이전트 워크플로우를 거치며 데이터가 이동하는 동안에도 보호가 적용됩니다.

Microsoft Edge Protected Clipboard 는 클립보드 수준에서 정책 기반 보호 계층을 추가하여, 민감한 애플리케이션에서의 복사/붙여넣기 데이터 유출을 방지합니다.

브라우저 및 아이덴티티 활동에서 AI 기반 이상 징후를 탐지합니다

브라우저 에이전트는 사람 사용자와 다른 양상을 보입니다. 예: 빠른 API 호출, 대량 데이터 액세스, 근무 시간 외 활동, 짧은 시간 창 안에서의 애플리케이션 간 데이터 집계.

Defender for Cloud Apps는 로그인 이벤트 동안 브라우저 활동 패턴을 분석하여 위협을 식별합니다. 에이전트가 정상 사용자의 것과 동일한 프로토콜, 자격 증명, 채널을 공유하기 때문에, 신원 기반 이상 징후 탐지는 오늘날 이용 가능한 가장 기술적으로 실현 가능한 메커니즘입니다.

에이전트 활동을 구분하는 행동(속도, 범위, 타이밍)은identity threat detection 이 통제된 신원 기준선과 비교하여 표면화(노출)하는 신호입니다.

Netwrix가 브라우저 에이전트 보안 위험을 어떻게 관리하도록 돕는지

브라우저 에이전트는 신원과 데이터의 교차 지점에 있습니다. 이들은 조직의 신원을 사용해 인증하고, 조직의 데이터를 액세스하며, 기존의 모든 제어가 정당한 것으로 간주하는 채널을 통해 동작합니다. 한쪽 차원만 확보하고 다른 한쪽을 놓치면, 에이전트가 기계 속도로 악용할 수 있는 공백이 남습니다.

Microsoft 중심의 하이브리드 환경을 운영하는 중견 기업이라면, 근본적인 질문은 어떤 에이전트를 차단할지에 있지 않습니다. 바로 사용자의 Identity가 무엇에 접근할 수 있는지에 대해 정확한 가시성을 확보했는지, 그리고 그 접근 권한이 여전히 적절한지의 문제입니다. 이러한 기준선이 없다면 브라우저 에이전트를 관리하는 일은 추측에 의존할 수밖에 없습니다.

Netwrix 1Secure 는 그 기준을 직접적으로 해결합니다. Data Security Posture Management (DSPM)는 민감한 데이터를 지속적으로 찾아 분류하는 동시에, 해당 데이터에 접근할 수 있는 identities와 이를 상호 연관시킵니다. 하지만 가시성만으로는 에이전트가 물려받는 공격 표면(attack surface)이 줄어들지는 않습니다.

Netwrix Privilege Secure 는 상시 권한(standing access)을 0개의 상시 권한(standing privileges)과 필요 시점(just-in-time) 권한 상승으로 제거합니다. 관리 계정(managed accounts)에서 동작하는 에이전트는 세션 간에 지속적으로 권한이 상승된 상태를 유지하지 않습니다.

Identity Threat Detection & Response 는 에이전트가 주도하는 활동을 일반 사용자 패턴과 구분해 주는 행동 기반 이상 징후를 드러냅니다. 즉, 기존의 어떤 브라우저나 네트워크 제어로도 제공할 수 없는 탐지 계층(detection layer)을 제공합니다.

데모 요청 에이전트가 이를 증폭하기 전에 Netwrix가 환경 전반에서 identities 노출과 민감 데이터 접근을 어떻게 매핑하는지 확인해 보세요.