레파엘 앤젤, Akeyless의 공동 창립자이자 CTO – 인터뷰 시리즈

레파엘 앤젤은 Akeyless의 공동 창립자이자 CTO로, 클라우드 보안, 암호화, 머신 인증, 엔터프라이즈 인프라 분야에서 깊은 경험을 쌓은 사이버 보안 및 소프트웨어 엔지니어링 리더입니다. 2018년 Akeyless를 공동 창립한 이후 클라우드 네이티브 환경을 위한 현대적인 시크릿 관리와 신원 보안을 중심으로 회사를 구축하는 데 기여했습니다. Akeyless 이전에는 Intuit (INTU )에서 보안 부문 수석 소프트웨어 엔지니어로 근무하며 퍼블릭 클라우드 암호화 키 관리와 머신 인증 시스템을 구축했고, AWS, Go, Python, Java, PHP, Bash, Linux, Git, Jenkins 전반에서 실무 경험을 쌓았습니다. 경력 초기에는 3D Systems (DDD )와 Cimatron에서 소프트웨어 엔지니어로 일하며 C/C++, C#, WPF, MFC, 객체 지향 설계 패턴을 사용해 CAD/CAM 및 Windows 기반 애플리케이션을 개발했습니다.

Akeyless는 제로 지식 암호화를 기반으로 한 클라우드 네이티브 플랫폼을 통해 머신, AI 에이전트, 인간을 보호하는 신원 보안 기업입니다. 이 플랫폼은 시크릿 관리, 암호화 키 관리, 인증서 수명 주기 관리, 특권 접근, 머신 신원 보안을 통합해 조직이 하이브리드, 멀티 클라우드, DevOps, AI 환경 전반의 자격 증명, 키, 인증서, 접근 권한을 하나의 방식으로 관리하도록 합니다. 이러한 포지셔닝은 사이버 보안의 더 큰 변화를 반영합니다. 워크로드, 서비스, AI 에이전트가 사람의 직접 개입 없이 시스템에 접근하는 경우가 늘면서 기업은 비인간 신원, 단기 자격 증명, 자동 순환, 런타임 거버넌스를 더 강력하게 통제해야 합니다.

Intuit에서 암호화 키 관리와 머신 인증 시스템을 구축한 뒤 2018년에 Akeyless를 공동 창립하셨습니다. 클라우드 보안과 신원 관리의 어떤 공백이 Akeyless를 시작해야겠다는 확신을 주었으며, AI 에이전트가 새로운 디지털 신원 계층으로 등장하면서 그 최초의 비전은 어떻게 발전했습니까?

Intuit에서 저는 대기업 가운데 가장 일찍 클라우드로 이전한 회사 중 하나였던 Intuit의 암호화 키 관리와 머신 인증 시스템을 구축하는 팀에 속해 있었습니다. 분명해진 것은 클라우드를 도입하는 모든 조직이 결국 우리가 내부에서 해결하던 것과 같은 문제, 즉 분산되고 동적인 인프라에서 시크릿과 키를 관리하는 문제에 직면한다는 점이었습니다. 이를 사내에서 구축하려면 막대한 엔지니어링 자원이 필요하며 모든 회사가 같은 것을 다시 만들 이유가 없습니다. 논리적인 해답은 SaaS 모델이었습니다.

문제는 신뢰였습니다. 이것은 기업이 보유한 가장 민감한 자료이며, 진지한 조직이라면 제3자에게 접근 능력을 넘겨주지 않습니다. 따라서 요구 사항은 거의 모순적이었습니다. 규모와 단순성을 위해 SaaS로 제공하되, 공급업체가 고객 데이터를 절대로 볼 수 없도록 아키텍처로 보장해야 했습니다. 이 긴장에서 분산 프래그먼트 암호화(Distributed Fragments Cryptography, DFC)가 탄생했습니다. DFC를 사용하면 완전 관리형 SaaS 제어 평면을 운영하면서도 고객이 우리가 결코 보유하지 않는 프래그먼트를 갖게 되므로, 우리는 고객의 키에 수학적으로 접근할 수 없습니다. 이것이 Akeyless가 구축한 ‘SaaS + 제로 지식’ 모델의 기반이 되었습니다.

최초의 비전은 클라우드에서 인간과 머신의 접근을 보호하는 것이었습니다. AI 에이전트는 같은 문제의 자연스럽고도 가장 극단적인 확장입니다. 어떤 디렉터리도 감당하도록 설계되지 않은 규모와 속도로 작동하는 비인간 신원이며, 동일한 제로 지식 및 신원 중심 기반이 이제 AI 에이전트에도 직접 적용됩니다.

Akeyless의 특허받은 제로 트러스트 암호화 기술을 설계한 인물로 알려져 있습니다. 신뢰 가정을 제거하면서도 대기업이 실제로 사용할 수 있는 보안 모델을 구축할 때 가장 큰 기술적 과제는 무엇이었습니까?

가장 어려운 부분은 ‘아무도 신뢰하지 않는다’는 원칙을 학술적 개념이 아니라 실용적인 시스템으로 만드는 일이었습니다. 대부분의 분할 키 또는 시크릿 공유 방식은 여전히 어느 한순간에 전체 키를 조립합니다. 보통 암호화 연산이 이루어지는 순간 단일 프로세스, HSM, 엔클레이브 안에서 조립됩니다. 공격자, 악의적인 내부자, 법적 강제 상황이 노리는 지점이 바로 그 짧은 창입니다.

DFC에서는 키가 생성될 때도, 저장 상태에서도, 사용 중에도 절대로 조립되지 않습니다. 프래그먼트는 서로 분리된 신뢰 도메인에서 독립적으로 생성되고, 암호화 연산은 각 프래그먼트 보유자가 로컬에서 자신의 몫을 계산해 부분 결과만 교환하는 분산 계산으로 실행됩니다. 엔지니어링 과제는 이를 구현하면서도 대기업이 프로덕션 환경에서 요구하는 지연 시간, 처리량, 신뢰성을 달성하는 것이었습니다.

두 번째이자 가장 중요한 과제 중 하나는 프래그먼트를 지속적으로 갱신하는 기능이었습니다. 프래그먼트가 나타내는 기본 마스터 키는 그대로 유지하고 암호화 과정도 중단하지 않으면서, 모든 위치의 모든 프래그먼트를 새로운 수학적 값으로 바꿀 수 있어야 했습니다. 이는 솔루션에 매우 큰 보안 계층을 더했습니다. 갱신 덕분에 공격자는 더 이상 오랜 시간에 걸쳐 프래그먼트를 수집할 수 없습니다. 지난주에 확보한 프래그먼트는 오늘 존재하는 프래그먼트와 수학적으로 아무 관련이 없으므로 출발점이 아니라 잡음일 뿐입니다. 키에 관한 정보를 얻으려면 단 한 번의 갱신 창 안에서 모든 프래그먼트 위치를 동시에 침해해야 하며, 위치, 신뢰 도메인, 갱신 빈도가 늘수록 이 요건은 기하급수적으로 어려워집니다. 정보를 드러내려면 프래그먼트 100%가 필요하고 그보다 작은 어떤 부분 집합도 정보를 유출하지 않는 전부 아니면 전무 임계값과 결합하면, 갱신은 보안 모델을 정적인 보장에서 시간 제한이 있는 보장으로 바꿉니다.

많은 조직이 AI 에이전트 배포를 서두르지만 신원 보안은 종종 사후 고려 사항에 머뭅니다. 기업이 AI 에이전트에게 내부 시스템과 민감한 데이터 접근 권한을 줄 때 가장 흔히 저지르는 실수는 무엇입니까?

가장 큰 실수는 에이전트를 서비스 계정처럼 취급하고 정적이며 장기간 유효한 API 키를 넘겨주는 것입니다. 이 자격 증명은 비결정적이고 프롬프트 인젝션에 노출될 수 있는 행위자 안에 놓인 영구적이고 탈취 가능한 자산이 됩니다.

제가 자주 보는 다른 실수는 JIT 접근 대신 상시 권한을 부여하는 것, 에이전트가 어디에 접근할 수 있는지만 설명하고 무엇을 하려는지는 설명하지 않는 거친 역할 기반 권한에 의존하는 것, 에이전트에 데이터베이스와 API로 직접 이어지는 네트워크 경로를 제공해 한 번의 침해가 횡적 이동으로 이어지게 하는 것, 그리고 에이전트의 행동을 이를 촉발한 사람과 프롬프트에 연결하는 감사 체인이 없는 것입니다. 모두 인간처럼 행동하지 않는 대상에 인간 시대의 통제를 억지로 맞추려는 시도입니다.

Akeyless는 AI 에이전트에 인간이나 기존 머신 워크로드와 근본적으로 다른 신원 모델이 필요하다고 주장합니다. 기존 IAM 및 PAM 프레임워크와 비교할 때 AI 에이전트를 보호하기가 특별히 어려운 이유는 무엇입니까?

핵심 오류는 AI 에이전트를 새로운 유형의 사용자나 서비스 계정으로 보고, 인간 신원처럼 온보딩하고 거버넌스를 적용할 수 있다고 가정하는 것입니다. 이는 서로 연결된 몇 가지 이유로 범주 오류에 해당합니다.

에이전트 신원은 열거할 수 없습니다. 관리하려는 특정 인스턴스는 대개 아직 존재하지 않으며, 존재할 때쯤에는 이미 사라졌습니다. 에이전트가 Lambda에서 시작되어 800밀리초 동안 실행된 뒤 스캐너가 알아차리기도 전에 사라질 수 있고, VM, 컨테이너, 서버리스 환경 전반에 하위 에이전트 체인을 만들어 몇 초 만에 작업을 끝낼 수도 있습니다. 이를 디렉터리에 등록하는 것은 유령을 주민으로 등록하는 것과 같습니다. 항목이 기록될 때는 그 항목이 설명하던 실체가 이미 사라졌기 때문입니다.

따라서 올바른 기준점은 에이전트 자체가 아니라 런타임이 이미 발급하는 워크로드 신원, 즉 AWS 실행 역할, Kubernetes 서비스 계정 토큰, SPIFFE SVID입니다. 이 신원은 이미 존재하고 에이전트가 실행되는 플랫폼의 보증을 받으며 에이전트가 사라질 때 함께 사라집니다. 신원이 일시적이므로 정책을 작성할 수 있는 안정적인 주체는 이름 있는 신원과 범위가 아니라 인증 방식과 대상 시스템입니다.

기존 IAM과 PAM이 가장 결정적으로 무너지는 지점도 여기입니다. 정적인 RBAC와 ABAC는 비결정적 행위자를 제어할 수 없습니다. 범위가 완벽하게 제한된 토큰과 엄격하게 적용된 TTL을 가진 에이전트도 프롬프트 인젝션을 당하거나, 파괴적인 쿼리를 환각하거나, 같은 세션에서 읽기 작업을 쓰기 작업으로 바꿀 수 있지만 인가 계층에는 정책 위반이 보이지 않습니다. RBAC와 ABAC는 인증 시점에만 평가되며 그 이후에는 평가되지 않습니다. 이후의 행동은 정책 작성자가 볼 수 없는 컨텍스트 창을 참조하는 LLM이 결정하기 때문입니다.

그러므로 AI 에이전트는 일시적이고 비결정적이며 여러 실행 기반에 걸쳐 있고 프롬프트 인젝션에도 노출될 수 있다는 특성을 동시에 지녀 특별히 보호하기 어렵습니다. 빠진 계층은 더 나은 디렉터리가 아닙니다. 필요한 것은 모든 행동에 대한 의도 인식형 강제 통제입니다. 게이트웨이가 자격 증명을 발급하기 전에 에이전트가 실제로 하는 일이 하겠다고 밝힌 일과 일치하는지 확인해야 합니다.

AI 시스템을 위한 ‘시크릿리스’ 아키텍처 논의가 늘고 있습니다. 시크릿리스 인증을 어떻게 정의하며, 자율 에이전트 시대에 정적 자격 증명과 API 키가 지속 가능하지 않다고 보는 이유는 무엇입니까?

시크릿리스 인증은 에이전트가 자격 증명을 전혀 보유하지 않는다는 뜻입니다. 저장하고 제시해야 하는 키를 에이전트에 주는 대신, 에이전트는 고유한 워크로드 신원으로 인증합니다. 실행 순간에 단기 JIT 자격 증명이 중개된 세션에 주입되고 세션이 끝나면 폐기됩니다. 에이전트는 그 자격 증명을 보지 못합니다.

정적 자격 증명과 API 키가 지속 가능하지 않은 이유는 간단합니다. 에이전트가 보유한 시크릿은 공격자가 훔칠 수 있는 시크릿입니다. 자격 증명을 가진 행위자가 프롬프트 인젝션을 당하거나 환각할 수 있는 환경에서 장기 키는 침해된 모든 에이전트를 키 유출 지점으로 만듭니다. 에이전트에서 자격 증명을 제거하면 침해된 에이전트에도 유출할 것이 없습니다. 이것이 우리가 SecretlessAI라고 부르는 개념의 핵심입니다.

AI 에이전트가 독립적으로 계획하고 행동을 실행하며 여러 시스템과 상호 작용할 수 있게 되면, 향후 3~5년 동안 어떤 새로운 공격 벡터를 가장 우려하십니까?

제가 가장 우려하는 벡터는 모두 에이전트가 여러 시스템에서 독립적으로 계획하고 행동하는 능력에서 나옵니다. 작업 도중 에이전트의 의도를 탈취하는 프롬프트 인젝션이 가장 분명한 예입니다. 행동이 악의적으로 바뀌어도 신원은 여전히 유효하기 때문입니다. 그 밖에도 명확한 책임 소재 없이 권한이 체인을 따라 전달되는 에이전트 간 핸드오프, 네트워크에 직접 접근할 수 있는 에이전트를 통한 횡적 이동, 과도한 권한을 가진 에이전트가 작업에 필요한 양보다 훨씬 많은 데이터를 가져가는 데이터 유출을 우려합니다.

공통점은 자격 증명과 역할은 완전히 정당해도 행동은 그렇지 않을 수 있다는 것입니다. 권한만 확인하고 목적을 확인하지 않는 방어는 이 문제를 잡아내지 못합니다. 그래서 모든 행동에 대해 게이트웨이에서 의도 인식형 강제 통제를 적용하는 것이 가장 중요한 제어가 될 것이라고 봅니다.

보안의 초점이 인간 신원에서 머신과 에이전트 신원으로 이동하고 있습니다. 조직이 인프라 전반에서 수백만 개의 비인간 신원을 관리하기 시작하면 보안 우선순위의 균형은 어떻게 달라질까요?

우리는 시스템 접근의 압도적 다수를 머신, 워크로드, 이제는 에이전트까지 포함한 비인간 신원이 수행하는 세계로 이동하고 있습니다. 하지만 대부분의 도구는 여전히 키보드 앞에 사람이 있다고 가정합니다. 그 결과 시크릿이 곳곳에 흩어지고 상시 권한이 남으며 누구도 완전히 추적하지 못하는 신원이 생깁니다.

우선순위는 주기적이고 인간의 속도에 맞춘 통제에서 머신 규모의 지속적인 런타임 강제 통제로 이동합니다. 수백만 개의 비인간 신원을 관리할 때는 등록, 인증 캠페인, 분기별 접근 검토에 의존할 수 없습니다. 설계 단계부터 일시적인 신원, 상시 권한 제로, 모든 행동에서 자동으로 평가되는 정책이 필요합니다. 인간 신원 보안이 사라지지는 않지만 전체 공격 표면에서 차지하는 비중은 줄어들며, 아키텍처는 먼저 다수를 이루는 비인간 신원을 위해 설계되어야 합니다.

최근 연구에 따르면 AI 에이전트가 이미 의도된 권한을 넘어 정보에 접근하고 있을 수 있습니다. 조직이 에이전트를 프로덕션 환경에서 자율적으로 운영하기 전에 어떤 거버넌스와 런타임 통제를 마련해야 합니까?

어떤 에이전트든 프로덕션 환경에서 자율적으로 운영하기 전에 몇 가지가 필요합니다. 첫째, 에이전트에 상시 자격 증명을 두지 않고 세션마다 단기 JIT 접근 권한을 주입해야 합니다. 둘째, 직접적인 네트워크 경로를 제공하지 않고 모든 에이전트 행동이 데이터베이스와 API에 직접 도달하는 대신 필수 관문을 거치게 해야 합니다. 셋째, 자격 증명을 발급하기 전에 요청의 목적을 최초 프롬프트와 비교해 평가하는 의도 인식형 정책을 적용해, 매출 분석을 요청받은 에이전트가 파괴적인 명령을 실행하지 못하게 해야 합니다. 넷째, 세션 내 검사와 응답 마스킹을 통해 PII와 PHI 같은 민감한 데이터가 에이전트의 컨텍스트 창에 들어가기 전에 가려야 합니다. 다섯째, 사람의 프롬프트, 분류된 의도, 정책 판정, 세션, 최종 행동을 연결하는 단일하고 변경 불가능한 감사 기록을 남겨야 합니다.

탐지와 가시성도 중요하지만 보호의 선행 조건이 아니라 정책의 입력으로 다뤄야 합니다. 특정 에이전트 인스턴스를 전에 한 번도 본 적이 없더라도 처음 인증하는 순간부터 거버넌스를 적용할 수 있어야 합니다.

업계는 모델 안전에는 집중하지만 신원, 인가, 접근 제어에는 상대적으로 관심을 덜 기울입니다. 이러한 영역이 AI 시대에 가장 중요한 보안 과제 중 하나가 될 것이라고 보는 이유는 무엇입니까?

모델 안전은 주목받지만 완벽하게 정렬된 모델도 현실 세계에서 행동해야 하며, 행동하는 순간 시스템과 데이터에 접근해야 합니다. 실제 피해는 바로 그 접근에서 발생합니다. 데이터베이스에 전혀 닿지 않는 모델은 데이터베이스를 유출할 수도 없습니다. 위험이 현실화되는 지점은 인가 경계입니다.

인가는 에이전트 보안에서 가장 어려운 부분이기도 합니다. 행위자가 비결정적이고 일시적이기 때문입니다. 모델 계층만으로도, 정적인 역할만으로도 해결할 수 없습니다. 모든 행동에 지속적으로 의도 인식형 통제를 적용해야 합니다. 이는 화려하지 않은 인프라 작업이어서 충분히 논의되지 않지만, 바로 그렇기 때문에 이 시대에 가장 중대한 보안 문제 중 하나가 될 것입니다.

앞으로 기업이 인간 사용자에게 신원 제공자가 필수적이 된 것처럼 AI 에이전트만을 위한 전용 신원 계층을 필요로 하게 될까요? 그렇다면 그 미래 아키텍처는 어떤 모습일까요?

그렇습니다. 하지만 인간 신원 제공자 모델을 단순히 에이전트용으로 이름만 바꾼 모습은 아닐 것입니다. 에이전트 디렉터리를 구축하는 것은 유령을 위한 디렉터리를 만드는 일입니다. 등록을 끝내기도 전에 신원이 사라지기 때문입니다.

제가 예상하는 에이전트 신원 계층은 런타임이 발급하는 워크로드 신원, 즉 클라우드 IAM, Kubernetes 서비스 계정, OIDC 연합, 이미 프로덕션에서 검증되고 여러 실행 기반에서 작동하는 SPIFFE/SPIRE 같은 표준에 신원을 연결합니다. 인가는 이름 있는 신원과 범위 사이가 아니라 인증 방식과 대상 시스템 사이의 관계로 표현될 것입니다. 중심은 모든 행동을 중개하고, 의도를 분류하며, 일시적인 자격 증명을 주입하고, 민감한 응답을 마스킹하며, 완전한 포렌식 체인을 만드는 게이트웨이인 런타임 강제 통제 평면이 됩니다. 신원은 여전히 중요하지만 강제 통제 앞이 아니라 뒤에 놓입니다. 인간과 머신 접근을 이미 관리하는 같은 플랫폼 위에 있는 이 런타임 권한 계층이야말로 프로덕션에서 에이전트를 운영하는 모든 기업이 결국 필요로 하게 될 것입니다.

좋은 인터뷰에 감사드립니다. 더 자세히 알고 싶은 독자는 Akeyless를 방문해 보시기 바랍니다.