MCP는 커넥터가 아니라 에이전트 시대의 거버넌스 표면입니다.

프레이밍 문제: "커넥터"는 실제로 내리는 결정을 과소판매합니다.

앤트로픽이 2024년 11월 AI 시스템을 데이터 소스 및 비즈니스 도구에 연결하기 위한 개방형 표준인 모델 컨텍스트 프로토콜(MCP)을 발표했을 때, 업계는 새로운 통합 사양이 나올 때마다 늘 그렇듯 MCP을 기본적인 연결 작업에 포함시켰습니다. 어댑터, 전송, 모든 모델과 모든 도구에 대해 일회성 연결 코드를 작성하는 것을 멈추는 깔끔한 방법. 이 모든 것이 true에 속하며, CIO, CTO 또는 CISO의 입장이라면 그다지 중요하게 생각하지 않을 것입니다.

기업에 중요한 관점의 전환은 다음과 같습니다. 상담원이 고객 데이터를 읽거나 시스템에 기록하는 도구에 접근할 수 있게 되는 순간, 명칭을 정했든 안 했든 새로운 통제 지점이 생성됩니다. MCP는 바로 이 통제 지점을 명확히 정의할 수 있는 영역입니다. 이는 단순히 상담원이 도구에 접근하는 방식뿐만 아니라, 누가 어떤 계정으로 전화를 거는지, 어떤 도구에 접근할 수 있는지, 각 통화는 어떻게 기록되는지, 그리고 통화 비용은 얼마로 책정되는지 등을 결정하는 영역입니다. 이러한 사항들은 연결성에 관한 문제가 아니라 거버넌스에 관한 문제입니다.

MCP을 연결 기능으로 취급하면 커버리지, 통합 수, 첫 통화 시간 등 잘못된 것에 최적화하게 됩니다. MCP을 거버넌스 인터페이스로 취급하면 상담원을 대규모로 배포하는 것이 안전한지 여부를 결정하는 실제 요소, 즉 정책이 한 번만 시행되고 모든 곳에서 준수되는 단일의 표준화되고 감사 가능한 인터페이스에 최적화하게 됩니다.

"수많은 맞춤형 통합"이 조용히 N번의 거버넌스를 재구성하는 이유

대부분의 기업은 에이전트 시대를 완전히 새롭게 시작하는 것이 아닙니다. 맞춤형 커넥터, 서비스 계정, 두 분기 전에 팀에서 구축했지만 아무도 제대로 기억하지 못하는 API 래퍼 등 여러 가지 포인트 통합 포트폴리오를 가지고 시작합니다. 이러한 각각의 통합은 당시에는 합리적인 로컬 결정이었지만, 전체적으로는 거버넌스 문제를 야기합니다. 왜냐하면 각각의 통합이 자체적인 방식으로 ID, 권한 부여, 로깅, 요금/비용 제어를 재구현하거나, 일부 기능을 완전히 건너뛰기 때문입니다.

예상대로 세 가지 실패 모드가 이어집니다. 첫째, 신원 표류입니다. 한 통합은 공유 서비스 계정으로 실행되고, 다른 통합은 최종 사용자를 가장하고, 세 번째는 팀을 바꾼 사람이 생성한 장기 키를 사용합니다. 그래서 "누가 그랬습니까?" N개의 다른 답변이 있고 완전한 답변은 없습니다. 둘째, 권한 부여 조각입니다. 도구가 수행할 수 있는 작업에 대한 규칙이 N개의 검토 주기가 있는 N개의 코드베이스에 존재하기 때문입니다. 한 곳에서 꽉 조인 컨트롤은 다른 곳에서는 소리 없이 느슨하게 유지됩니다. 셋째, 하나의 재무와 감사가 먼저 느껴집니다. 두 개의 통합 경로를 통해 답변한 동일한 질문에 두 개의 답변이 반환되므로 숫자가 표류합니다. 이해관계자가 숫자를 신뢰하지 않으면 에이전트 프로그램은 더 이상 중요하지 않습니다.

표준화된 대안은 마법도 아니고 공짜도 아니지만, 업무 방식을 바꿔놓습니다. N개의 통합을 N번 관리하는 대신, 하나의 인터페이스를 한 번 관리하고 그 인터페이스를 통해 도구를 의도적으로 노출합니다. 신원은 한 곳에서 설정됩니다. 권한 부여는 각 커넥터의 습관이 아니라 인터페이스의 속성입니다. 로깅이 통일되어 있으므로 감사 추적은 실제로 추적 기록이 됩니다. 그리고 계산 경로가 하나뿐이므로 수치 변동이 멈춥니다.

신원 및 임차인 상황: 도구가 아닌 출입구에서 결정하세요

거버넌스 인터페이스가 가장 먼저 답해야 할 질문은 통화에 대한 권한이 누구에게 있는지입니다. 멀티테넌트 SaaS 환경에서는 두 가지 분명한 사실이 작용하기 때문에 이 부분이 미묘합니다. 하나는 발신자의 신원(어떤 상담원이 어떤 사용자 또는 서비스를 위해 행동하는지)이고, 다른 하나는 통화가 이루어지는 테넌트 환경(어떤 고객의 데이터와 권한이 적용되는지)입니다. 이 두 가지를 혼동하면, 특정 목적을 위해 정당하게 인증된 상담원이 절대 상속받아서는 안 될 권한으로 행동하게 되는 전형적인 '대리인 혼란' 버그가 발생합니다.

핵심은 호출자의 세션 정보가 아닌 서버 측 테넌트 바인딩에서 테넌트 컨텍스트를 도출하는 것입니다. 저희 구현에서는 기능 접근을 제한하는 고객 계층을 테넌트 컨텍스트에서 확인하고, 호출자 세션에서 정보를 가져오지 않습니다. 이는 호출자가 더 풍부한 세션 정보를 제시하여 공격 범위를 넓히는 것을 방지하기 위함입니다. 신원은 누가 요청하는지 알려주고, 테넌트 컨텍스트는 어떤 데이터와 권한 환경에서 답변을 계산해야 하는지 알려줍니다. 이 두 가지 모두 도구가 실행되기 전에 결정됩니다.

상담원이 사용자가 아니라는 사실을 확인하는 곳이기도 합니다. 콘솔 속 인간에게는 눈빛과 망설임, 그리고 매니저가 있다. 에이전트에 루프가 있습니다. 부여한 ID와 컨텍스트는 프로비저닝한 어떤 사람보다 더 빠르고 문자 그대로 작동할 수 있다는 점을 반영해야 합니다.

도구별 권한 부여: 노출은 기본값이 아닌 결정 사항입니다.

초기 에이전트 배포에서 가장 일반적이고 가장 위험한 기본값은 전부 아니면 전무 노출입니다. 즉, 에이전트를 플랫폼에 연결하고 기본 자격 증명이 도달할 수 있는 모든 것에 도달하도록 허용합니다. 데모에서는 편리하지만 프로덕션에서는 방어할 수 없습니다. 거버넌스 화면에서는 각 도구의 가시성과 권한을 신중하고 검토 가능한 결정으로 처리합니다.

구체적으로, 권한 부여는 단일 온/오프 스위치가 아닌 다축적이어야 합니다. 우리는 범위와 계층이라는 3축 모델을 사용하며, 계층은 위에서 설명한 대로 테넌트 컨텍스트에서 가져옵니다. 이를 통해 특정 도구는 호출자의 범위에서 허용되고 테넌트의 계층에 포함될 때만 노출됩니다. 두 번째 축의 핵심은 기능이 누가 요청하는지에 따라 달라지는 것이 아니라 어떤 고객의 권한이 유효한지에 따라 달라진다는 것입니다. 이는 노출 영역을 투명하게 유지합니다. 즉, 카탈로그에 새 도구를 추가한다고 해서 모든 테넌트의 모든 상담원이 해당 도구에 자동으로 접근할 수 있게 되는 것은 아닙니다.

설계자에게 제공해야 할 개념 모델은 교환대가 아니라 카탈로그입니다. 카탈로그에 있는 모든 도구는 누가 어떤 임대 조건 하에서 전화를 걸 수 있는지에 대한 결정을 통해 자리를 확보했습니다. 현재 어떤 상담원도 필요로 하지 않는 도구는 카탈로그에 없습니다. "전부 아니면 전무"는 false 경제 방식이며, "도구별 신중한 접근"만이 실제 감사를 견뎌낼 수 있는 유일한 자세입니다.

실패 시 닫힘 쓰기: 읽기와 실행 사이의 비대칭성

읽기와 쓰기는 도덕적으로 동등하지 않으며, 거버넌스 인터페이스에서도 이를 동등하다고 가장해서는 안 됩니다. 읽기 오류가 발생하면 오래되거나 빈 데이터가 반환되지만, 복구가 가능하며 종종 눈에 띄지 않게 처리됩니다. 반면 쓰기 오류가 발생하면 시스템 기록이 변경되고, 실제 고객에게 메시지가 전송되거나, 자금이 이체될 수 있습니다. 잘못된 작업의 비용은 비대칭적이므로, 기본 접근 방식 또한 비대칭적이어야 합니다.

우리가 고수하는 규칙은 쓰기 도구가 실패 시 닫히는 것입니다. 권한 부여가 모호한 경우, 테넌트 컨텍스트를 완전히 확인할 수 없는 경우, 가드를 평가할 수 없는 경우 쓰기가 발생하지 않습니다. 이는 평가되지 않은 검사가 "허용"으로 확인되어 행복한 경로가 원활하게 유지되는 편의성 중심의 기본값과 반대되는 것입니다. 페일오픈은 에이전트가 아무도 승인하지 않은 조건에서 글을 쓰고 있다는 것을 몇 주 후에 발견하는 방법입니다. 상태를 변경하거나 고객에게 영향을 미치는 모든 경우 안전한 기본값은 거부이며, 이를 입증하기 위한 입증 책임은 통화에 있습니다.

문화적 측면이 있습니다. 엔지니어는 시스템이 제대로 작동하는 것을 최적화하는 반면, 보안은 최악의 상황에서 시스템이 고장 나지 않도록 최적화합니다. 거버넌스 영역은 최악의 상황, 즉 승인되지 않은 쓰기 작업이 조용히 실행되는 것을 용납할 수 없도록 규정하는 곳입니다. 이는 때때로 정상적인 쓰기 작업을 거부하는 결과를 초래할 수 있습니다.

예산 원장 및 킬 스위치: 비용 관리를 최우선 과제로 삼습니다.

에이전트는 기존 통합 방식에서는 거의 발생하지 않았던 자율적 지출이라는 위험 요소를 도입합니다. 도구를 호출하는 루프는 버그나 악의적인 시도로 인해 의도치 않게 도구를 호출하여 API 예산을 낭비하거나, 하위 요금을 발생시키거나, 고객에게 과도한 비용을 초래할 수 있습니다. 따라서 비용 관리는 사후에 추가되는 청구 알림이 아니라, 거버넌스 영역에 속해야 합니다.

우리가 사용하는 메커니즘은 지출 전에 평가되는 예산 장부이며, 실행별, 일별, 그리고 30일 단위로 누적되는 한도를 설정하고, 실행 전에 킬 스위치를 확인합니다. 순서에 유의하십시오. 예산과 킬 스위치는 지출 전에 평가되며, 지출 후에 조정되지 않습니다. 예산 초과 알림은 사후 분석이고, 예산 장부에서 예산 초과 요청을 거부하는 것은 통제입니다. 세 가지 시간 범위가 중요한 이유는 오류 유형이 각기 다른 양상을 보이기 때문입니다. 무한 루프는 실행별 한도를 초과하고, 잘못 구성된 일정은 일별 한도를 초과하며, 점진적인 증가는 30일 단위로만 나타납니다.

킬 스위치는 설계 단계에서 별도의 항목으로 다뤄야 할 중요한 요소입니다. 킬 스위치는 상황을 아직 파악하지 못했을 때, 그리고 해당 활동을 즉시 중단해야 할 때 사용하는 제어 장치입니다. 실행 전에 평가되어야 하는 킬 스위치는 회로 차단기이지, 단순히 상황을 수습하는 도구가 아닙니다. 모든 에이전트 프로그램은 "어떻게 하면 이 작업을 중단할 수 있을까?"라는 질문에 즉시 답할 수 있어야 합니다. 만약 답이 세 팀에 연락하고 수동으로 권한을 취소하는 것이라면, 그것은 킬 스위치가 아니라 그저 희망일 뿐입니다.

감사 및 수정: 범위 설정, 시간 제한 및 관찰 가능성 확보

관찰할 수 없는 거버넌스는 거버넌스가 아니라 의도일 뿐입니다. 표면의 마지막 층은 그 위의 모든 것을 사후에 입증할 수 있도록 만들어줍니다. 에이전트 키는 실제로 필요한 도구에 맞게 범위가 제한되고, 자격 증명의 영향력이 정해진 일정에 따라 완전히 사라지도록 시간 제한이 있어야 합니다. 영구적으로 모든 작업을 수행할 수 있는 키는 사고 검토 과정에서 가장 흔하게 발견되는 문제점입니다.

마찬가지로 감사 추적 자체도 기록하는 데이터를 존중해야 합니다. 로그는 어떤 도구, 어떤 ID 및 테넌트 컨텍스트, 어떤 결과로 발생했는지 등 발생한 상황을 기록하지만, 제어 기능이 보호해야 하는 매우 민감한 데이터의 2차 복사본이 되지 않도록 통화별 마스킹을 적용합니다. 고객 기록을 평문으로 조용히 축적하는 감사 로그는 제어가 아니라 친숙한 이름을 가진 새로운 책임입니다.

범위 지정 키, 시간 제한, 통화별 정보 삭제, 균일한 감사 등의 이러한 속성을 통해 CISO는 사고 발생 후 실제로 제기되는 질문, 즉 이 자격 증명으로 무엇을 할 수 있는지, 얼마나 오랫동안 할 수 있는지, 실제로 무엇을 했는지, 그리고 추가 정보 유출 없이 이를 입증할 수 있는지에 대한 답을 찾을 수 있습니다.

이를 지속적인 위험과 연결시키고, 남은 것에 대해 솔직하게 이야기하는 것

이 모든 과정은 일회성 설정이 아닙니다. NIST AI 위험 관리 프레임워크(AI RMF 1.0)는 AI 위험 관리가 완료 후 보관해 두는 체크리스트가 아니라 지속적인 프로세스임을 명시하고 있습니다. 거버넌스 인터페이스는 지속적인 프로세스를 위한 단일 작업 공간을 제공하기 때문에 매우 유용합니다. 새로운 위험이 발생하면 여러 통합 시스템에 걸쳐 변경 사항을 추적하는 대신 하나의 인터페이스에서 권한, 예산, 노출 또는 감사를 조정할 수 있습니다. 표준화 덕분에 지속적인 거버넌스가 이상적인 목표가 아닌 실행 가능한 목표가 됩니다. 또한 신중한 노출 결정이 두 번 효과를 발휘하는 이유이기도 합니다. 한 번은 결정을 내릴 때, 그리고 또 한 번은 재검토해야 할 때마다 효과를 볼 수 있습니다.

잔존 위험에 대해 솔직하게 이야기하십시오. 이사회도 마찬가지일 것입니다. 거버넌스 체계는 공격 표면을 좁히고 활동을 감사 가능하게 만들지만, 에이전트를 무오류로 만드는 것은 아닙니다. 신속한 인젝션 공격은 여전히 ​​합법적으로 권한을 부여받은 에이전트를 합법적으로 보이는 오용으로 유도할 수 있습니다. 의도적으로 노출된 도구라도 권한 범위 내에서 오용될 수 있습니다. 예산은 비용을 제한하지만 판단력을 제한하지는 않습니다. 딜로이트의 "기업 AI 현황" 연구는 AI에 대한 야망과 이를 관리할 운영 성숙도 사이의 격차를 반복적으로 보여주었으며, 바로 그 격차에 잔존 위험이 존재합니다. 올바른 대응은 격차가 해소되었다고 주장하는 것이 아니라, 격차를 줄이고, 관찰 가능하게 만들고, 지속적으로 관리하는 것입니다.

저희는 이러한 신념을 바탕으로 플랫폼을 구축했습니다. SocialHub.AI는 HTTP 스트리밍 전송을 사용하여 MCP을 통해 시맨틱 레이어 도구를 노출하며, Claude, GitHub Copilot, Microsoft 365 Copilot와 같은 에이전트에서 접근할 수 있습니다. 여기에 설명된 제어 기능은 커넥터 전체에 분산되어 있는 것이 아니라 인터페이스에 적용됩니다. 이러한 제어 기능에는 테넌트 컨텍스트의 계층을 사용하는 3축 권한 부여, 실패 시 종료되는 쓰기, 실행 전 킬 스위치가 있는 실행별/일별/30일 예산 원장, 그리고 통화별 마스킹 및 감사 기능이 있는 범위 지정 및 시간 제한 에이전트 키가 포함됩니다. 이는 McDonald's China 회원 GMV 기여도를 약 5%에서 85%로 늘리는 데 도움을 준 로열티 프로그램의 기반이 되는 것과 동일한 거버넌스 원칙입니다. 이러한 규모의 성과는 데이터에 대한 인터페이스가 구축 단계부터 신뢰할 수 있을 때만 유지될 수 있습니다.

상담원이 기록 시스템에 어떻게 접근할지 결정할 때, 팀에 던져야 할 질문은 "어떤 커넥터를 사용할 것인가?"가 아니라 "ID, 권한 부여, 로깅 및 비용은 어디에서 결정되며, 한 곳에서 결정될 것인가 아니면 여러 곳에서 결정될 것인가?"입니다. 거버넌스 우선 MCP 인터페이스가 실제로 어떻게 작동하는지 확인하고 싶다면 데모를 예약하거나 /platform/ai-frontier에서 당사의 접근 방식에 대해 자세히 알아보세요.