Microsoft, AI 내부자 위험에 대응하기 위해 Project Perception에 Guardian Agents 추가

Microsoft는 2026년 10월 19일, 기업용 AI 에이전트를 잠재적 내부자 위협으로 간주하는 새로운 보안 기능을 Project Perception과 Microsoft 365 E7에 발표했다. 여기에는 에이전트의 행동을 지속적으로 감독하는 Guardian Agents와 위험 수준의 변화에 따라 각 에이전트의 허용된 작업을 조정하는 정책 제어 기능이 포함된다.

Microsoft에서 신원 및 네트워크 액세스를 담당하는 기업 부문 부사장인 Nadim Abdo는 AI 에이전트가 일상 업무에서 점점 더 많은 부분을 맡고 있으며, 유용하게 활용되려면 회사 데이터, 애플리케이션, 도구 및 다른 에이전트에 액세스해야 하는 경우가 많다고 썼다. 그는 에이전트를 유용하게 만드는 바로 그 액세스 권한이 내부자 위험도 초래한다고 설명했다. 에이전트는 조종당하거나 실수하거나 침해될 수 있으며, 기계 속도로 쉬지 않고 작동할 수 있기 때문이다.

Abdo는 Microsoft가 기업 외부에서 발생하는 AI 기반 공격을 방어하기 위해 2026년 7월에 도입한 Project Perception을 확장해, 이제 기업 내부에서 실행되는 에이전트도 보호한다고 밝혔다. Project Perception과 Microsoft Agent 365는 신호와 맥락을 공유하고 통합 레지스트리를 사용하므로 IT 및 보안 팀이 에이전트와 그 위험을 동일한 관점에서 파악할 수 있다. Microsoft는 이 시스템이 지속적으로 수행해야 할 네 가지 역할을 제시했다. 즉, 어떤 에이전트가 존재하는지 파악하고, 에이전트가 행동하기 전에 액세스하거나 수행할 수 있는 작업을 제한하며, 에이전트가 접하는 데이터·도구·시스템을 보호하고, 행동·맥락·위험의 변화에 따라 보호 조치를 조정하는 것이다.

Microsoft의 공식 블로그인 The Official Microsoft Blog에 함께 게시한 글에서, Microsoft에서 신원, 위협 보호, 규정 준수 및 데이터 보안을 담당하는 Hayete Gallot은 기업들이 에이전트를 내부에 배포하고 암묵적으로 신뢰해 왔지만, 그러한 에이전트에는 필요한 수준을 넘어서는 권한이 부여되는 경우가 많고 데이터·도구·시스템에 액세스할 수 있다고 썼다. 그녀는 이들을 “에이전트형 내부자”라고 부르며, 이들을 통제하려면 Guardian Agents가 하루 24시간, 각 에이전트의 행동이 일어나기 전에 이를 감독하고 조정해야 한다고 말했다. Gallot은 Project Perception의 기반이 되는 동일한 사이버 보안 스택을 기업 내부로 향하게 해 기업 안에서 작동하는 에이전트를 관리하고 통제할 수도 있다고 썼다. 이를 통해 예측 가능한 방식으로 작동하지 않는 모델 지능에 규칙 기반 제어를 적용할 수 있다.

검색, 신원 확인 및 통제

Microsoft는 에이전트 검색 기능을 확장해 로컬 에이전트 유형 35가지를 추가하고, 지원하는 로컬 에이전트 수를 총 60개로 늘린다. 여기에는 Claude Code, OpenAI Codex, GitHub Copilot이 포함된다. 조직은 에이전트가 어떤 방식으로 검색되었는지와 관계없이 이를 통합 레지스트리에 등록해 소유자, 활동 및 위험을 파악할 수 있다.

Microsoft는 Microsoft Entra Agent ID도 확장해 로컬 에이전트와 보안 센서가 검색한 이전에 알려지지 않은 에이전트 등 추가 에이전트 유형을 지원하는 신원 유형을 도입한다. 이에 따라 에이전트가 원래 Microsoft Security와 통합되지 않았더라도 정책 대상으로 지정할 수 있다. Abdo는 에이전트의 정식 신원이 귀속, 권한 부여, 수명 주기, 소유권, 권한, 정책 및 위험을 명확히 구분해 주므로 기업은 사람이 직접 수행한 작업과 그 사람을 대신해 에이전트가 수행한 작업을 구별할 수 있다고 썼다.

Microsoft는 통제를 위해 Microsoft Execution Container(MXC)와 같은 샌드박스를 사용하면 에이전트가 작업에 필요한 리소스에만 정책으로 제어되는 방식으로 액세스할 수 있고, 에이전트가 통제 기능에 손댈 수 없는 집행 경계를 만들 수 있다고 밝혔다. 따라서 에이전트나 실행 하네스가 침해되더라도 자신을 감시하는 통제 기능을 비활성화할 수 없다. Abdo는 에이전트가 찾아낼 수 있는 도구, API, Model Context Protocol 서버, 리소스 또는 다른 에이전트를 제한 없이 호출해서도 안 된다고 썼다. 로컬·네트워크·데이터 제어 기능이 이러한 경로를 중개하고 호출을 관찰하며 기업 정책을 집행해야 한다.

새로운 Dynamic Permissions 기능은 에이전트에 아무런 권한도 부여하지 않은 상태로 시작해, 특정 작업에 한정되고 유효 기간이 정해진 권한만 부여한다. 조직 전체에 적용되는 정책은 최외곽 경계를 설정하며, 여기에는 에이전트가 사용자에게 없는 권한을 얻지 못하게 하는 조치도 포함된다. 영향이 큰 작업에는 검증된 사람의 승인을 요구할 수 있다.

동적 위험 평가와 Guardian Agents

Dynamic Agent Risk는 에이전트 자체의 활동 신호와 신원, 데이터, 엔드포인트, 클라우드, 네트워크 및 런타임 신호를 결합한다. 이 과정에서 에이전트의 설정, 접근 가능한 리소스, 실패로 초래될 수 있는 피해, 그리고 에이전트의 행동이 사용자나 조직의 의도에서 벗어나는 정도를 함께 평가한다. Microsoft는 그 결과를 에이전트의 현재 위험을 지속적으로 갱신해 파악하는 기능이라고 설명했다. 이를 통해 에이전트가 가진 권한이 여전히 위험 수준에 부합하는지도 확인할 수 있다.

Dynamic Conditional Access는 에이전트를 위한 Microsoft Entra Conditional Access를 확장해, 위험이 달라질 경우 여러 집행 지점에서 조율된 조치를 취할 수 있게 한다. 대응은 위험 수준에 따라 단계적으로 이뤄진다. 정책에 따라 에이전트의 읽기 권한은 유지하면서 쓰기를 차단하고, 에이전트가 접근할 수 있는 데이터와 리소스를 제한하며, 네트워크 경로를 제한하고, 기간이 정해진 액세스 권한의 유효 기간을 단축하거나 이를 취소하고, 권한을 축소하거나, 중대한 단계가 진행되기 전에 검증 가능한 사람의 승인을 요구할 수 있다. 위험이 가장 높은 수준에 이르면 시스템이 에이전트의 런타임을 격리하거나 실행을 완전히 중단할 수 있다. Abdo는 비용 승인 에이전트가 외부 문서에서 프롬프트 인젝션을 접하는 사례를 들었다. 새로운 증거로 Dynamic Agent Risk가 높아지면 정책은 읽기 권한은 유지하되 승인하거나 쓰는 기능은 제거하고, 영향이 큰 단계를 진행하려면 암호학적으로 검증 가능한 사람의 승인을 받도록 대응한다.

Microsoft는 Project Perception에 Playbooks와 Guardian Agents 팀도 도입하고 있습니다. 사람은 정책, 승인 범위, 위임 규칙을 정하고, Playbooks는 원하는 보안 결과를 정의하고 보호 조치를 조율하며, Guardian Agents는 기계 속도로 작업을 수행합니다. 고객 보안을 담당하는 Microsoft의 기업 부문 부사장이자 부최고정보보안책임자인 Terrell Cox는 Microsoft가 이미 Customer Zero로서 수십만 개의 에이전트가 활동하는 환경에서 운영되고 있으며, 그 과정에서 얻은 교훈이 현재 제공되고 있는 기능에 직접 반영된다고 말했습니다.

Microsoft는 Dynamic Agent Risk에 사고의 연쇄 및 기타 모델 수준 신호를 도입해 의도 이탈을 식별하고, 신뢰할 수 없는 정보가 에이전트의 추론에 영향을 미치는 경우를 포착하며, 계획된 작업이 부여된 과업에서 벗어나는 경우를 감지하는 한편, 정책 적용은 모델과 독립적으로 이루어지도록 한다고 밝혔습니다. 이사회 의장 겸 최고경영자 Satya Nadella는 Microsoft 보안 블로그의 발표에서 인용된 발언을 통해 다음과 같이 썼습니다. “가장 신뢰할 수 있는 에이전트 시스템은 우리가 가장 신뢰하는 모델을 사용하는 시스템이 아닙니다. 우리가 모델을 가장 덜 신뢰해도 되도록 설계된 시스템일 것입니다.”

Microsoft 365 E7 및 Agent 365의 배경

Microsoft 보안 블로그는 10월 19일 발표를 Microsoft 365 E7 및 Project Perception의 새로운 기능으로 소개했습니다. Microsoft는 2026년 3월 보안 블로그 게시물에서 이 묶음 상품을 자세히 설명했습니다. Microsoft 365 E7: The Frontier Suite는 2026년 5월 1일 일반 공급을 시작했으며, 소매가는 사용자당 월 99달러입니다. 여기에는 Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite, 그리고 고급 Defender, Entra, Intune 및 Purview 기능을 갖춘 Microsoft 365 E5가 포함됩니다. 조직 전반의 에이전트를 관찰하고 관리하며 보호하기 위한 제어 플레인인 Microsoft Agent 365도 같은 날 일반 공급을 시작했으며, 가격은 사용자당 월 15달러입니다.