Agentic Development Security — Ezra Tanzer, Snyk

한 줄 핵심

에이전트 개발 보안은 에이전트가 생성하는 코드만이 아니라 에이전트가 접근하는 도구와 실제로 수행하는 행동까지 함께 통제해야 하며, 이를 위해 Snyk는 생성물·사용 대상·행동을 아우르는 방어 체계를 제안한다.

시간별 요약

1. 0:01
   MCP는 에이전트와 외부 도구·서비스를 연결하는 전환점이었지만, 연결이 쉬워진 만큼 보안 공백도 빠르게 드러났다. 초기에는 AI가 생성한 코드를 검사하고 자동 수정하는 흐름에 집중했으나, 고객이 우려한 범위는 코드뿐 아니라 에이전트가 무엇에 접근하고 어떤 행동을 하는지까지 확대됐다.
2. 4:01
   에이전트 개발 보안의 핵심은 생성된 코드, 에이전트가 사용하는 자원, 에이전트가 수행하는 행동을 모두 지키는 것이다. 코드 보안은 MCP 서버와 규칙 기반 접근에서 출발했지만, 지연과 컨텍스트 낭비, 규칙 무시 문제를 줄이기 위해 Python-based hooks와 비동기 스캔, 세션 종료 시점의 검증 루프로 옮겨가고 있다.
3. 7:01
   에이전트 공급망은 패키지 생태계와 유사하지만 권한이 더 높고, 프롬프트 인젝션과 메모리 변조처럼 전통적 코드 검사로 잘 잡히지 않는 위험이 크다. 이에 따라 MCP server와 skill 파일을 자동 탐지·분석해 위험 신호를 찾고, 실제로 대규모 skill 감사에서 높은 비율의 치명적 이슈와 악성 페이로드가 발견됐다.
4. 9:01
   행동 통제는 에이전트가 유출성, 파괴성, 위험한 행동을 하지 못하도록 정책으로 가로막는 단계다. 이상적으로는 PII나 secret을 자동으로 마스킹해 인간 개입 없이 steer해야 하지만, 파괴적 shell command나 권한 밖 디렉터리 접근처럼 판단이 필요한 경우에는 ask가 필요하며, 배경 에이전트 시대에는 더 세밀한 정책과 자가 학습형 보완이 중요해진다.
5. 13:02
   실제 데모에서는 로컬 Electron 앱이 개발 머신에서 실행 중인 LLM, MCP server, skills, CLI를 시각화하고, 파일 접근·명령 실행·비용·감사 기록까지 추적했다. 또한 환경 변수나 secret 읽기를 시도한 Claude를 로컬 가드레일이 차단해, 개발자에게 필요한 것은 단순한 감시가 아니라 가시성, 감사 가능성, 추적 가능성이라는 점을 보여줬다.

실무 인사이트

• 에이전트 보안은 프롬프트나 코드 리뷰만으로 끝나지 않으므로, 도구 권한·행동 정책·감사 로그를 한 묶음으로 설계해야 한다.
• 지연과 컨텍스트 오염을 줄이려면 스캔과 검증을 에이전트 루프 밖에서 비동기로 돌리고, 에이전트에는 새로 생긴 문제만 되돌려주는 구조가 효과적이다.
• 개발자 수용성을 높이려면 차단 중심보다 로컬 가시성과 낮은 오탐을 우선해야 하며, 정책은 프로젝트·워크스페이스 단위로 세분화하는 편이 실용적이다.