AI 에이전트에게 회사 권한을 주기 전에 정해 두는 것

제조 기업의 도입 검토는 대개 한 지점에서 멈춥니다. 에이전트가 재고 시스템을 읽고 메일도 확인합니다. 그런데 주문을 넣어도 되는지는 아무도 답하지 못합니다.

주문을 넣었더라도 누구 권한으로 넣었는지가 남지 않습니다. 담당자 계정을 빌렸는지 프로그램 계정으로 실행되는지 기록에 없습니다.

TL;DR (핵심 요약)

도구를 연결하는 것과 회사 권한을 맡기는 것은 다른 결정입니다. 뒤엣것은 제품에 딸려 오지 않습니다.
연결 다음에 정할 것은 아홉입니다. 신원, 위임, 할 수 있는 일과 범위, 정책, 근거, 승인, 실행, 감사 기록, 결과.
연결 규약은 1.0을 넘겼는데, 실행 전에 행위를 막는 규격은 아직 0.1.0입니다.
제조에서는 서명이 선입니다. 자동으로 실행해도 승인과 서명은 사람 몫입니다.

도구를 부를 수 있다는 것과 권한을 가졌다는 것은 다른 말이다

연결은 기술 작업입니다. 계정을 발급하고 주소를 열면 끝납니다. 오늘 오후에도 됩니다.

권한은 회사가 내리는 결정입니다. 정해 두지 않으면 연결된 도구가 할 수 있는 일이 곧 에이전트의 권한입니다. AI 에이전트와 Agentic AI, 멀티 에이전트 오케스트레이션의 차이는 다른 글에 있습니다.

권한을 맡기기 전에 정해 두는 아홉 가지

앞 단계가 정해지지 않으면 다음 단계도 정할 수 없습니다.

신원 — 이 에이전트는 누구인가
위임 — 누구를 대신하는가
할 수 있는 일과 범위 — 어디까지인가
정책 — 무엇을 금지하는가
근거 — 무엇을 보고 판단하였는가
승인 — 누가 확정하는가
실행 — 무엇을 하였는가
감사 기록 — 앞의 것이 한 건으로 남는가
결과 — 무엇이 달라졌는가

아홉을 한 구조에 세우는 법은 비즈니스 월드모델 정의 편에 있습니다.

신원에서 결과까지 아홉 단계를 왼쪽에서 오른쪽으로 한 줄에 놓고, 각 단계 아래에 그 단계가 비었을 때 감사 기록에 남지 않는 값을 적은 뒤, 앞 일곱 단계를 위아래 괄호로 묶어 검은 감사 기록 칸으로 모은 흑백 도식 — 그림 1. AI 에이전트 권한을 넘기기 전에 정해 두는 아홉 단계와, 각 단계가 비었을 때 감사 기록에 남지 않는 값을 함께 그린 그림입니다.

신원이 없으면 누가 한 일인지 남지 않는다

가장 흔한 구성은 연결하기 쉬운 담당자 계정을 쓰는 것입니다. 그 사람이 한 일과 에이전트가 대신한 일이 한 줄에 섞여, 감사에서 이 건은 제가 하지 않았다고 말할 근거가 없습니다. 프로그램 계정을 따로 만들어도 사람 이름이 사라질 뿐입니다.

권한의 상한은 맡긴 사람의 권한이다

"권한을 좁히면 결국 사람이 다 하게 되는 것 아니냐"는 반문이 검토 회의에서 나옵니다. 반은 맞는 말이죠.

싱가포르의 정보통신미디어개발청이 2026년 5월에 낸 에이전틱 AI 거버넌스 프레임워크가 그 선을 긋습니다. 사람이 자기에게 없는 권한은 에이전트에게도 줄 수 없고, 그 위임을 기록해 두라는 것입니다. 법은 아닙니다. 정부가 모은 모범사례입니다.

어디까지 바로 하고 어디부터 사람에게 올릴지

같은 문서가 자율성을 넷으로 나눕니다.

단계	사람의 몫
제안만 에이전트	모든 행동을 승인
함께	중요한 단계마다 승인
실행은 에이전트	치명적 단계와 실패 때만 승인
관찰만	사후 감사

한 회사에 한 단계를 정하지 않습니다. 생산 일정 조회는 네 번째, 출하 승인은 첫 번째입니다. 업무별 단계는 오류 시 복구 가능성, 외부 발송 여부, 승인 한도 초과 여부, 규정상 서명 요구 여부 네 기준으로 정합니다. 프롬프트에 적어 둔 통제는 우회되거나 잊힐 수 있다고도 적었습니다. 기준 자체가 바뀔 때 누가 승인하는가는 다른 물음입니다.

연결하는 규약과 통제하는 규칙은 다른 층에 있다

연결 규약은 1.0을 넘겼습니다. MCP(Model Context Protocol, 모델이 바깥 도구를 부르는 규약)가 도구를 부르는 길을, A2A(Agent-to-Agent, 에이전트끼리 주고받는 규약)가 에이전트 사이의 형식을 맡습니다.

통제는 그 위의 다른 층입니다. MCP 사양이 스스로 적었습니다. 프로토콜 계층에서는 보안 원칙을 강제할 수 없으니 구현하는 쪽이 동의와 인가 절차를 만들라는 문장입니다. 같은 문서의 인가 규격은 선택 사항이고, 대상도 이 서버에 접속해도 되는가입니다.

A2A 사양은 더 분명합니다. 인가 경계는 각 에이전트의 인가 모델이 정하며 프로토콜이 규정하지 않는다고 적혀 있습니다.

보안이 허술하다는 뜻으로 읽으면 어긋납니다. MCP는 자기 앞으로 발급되지 않은 토큰을 받지 말라고 금지할 만큼 보안 문서가 촘촘하죠. 챙긴 쪽이 프로토콜 보안이고, 남겨 둔 쪽이 업무 권한 판단입니다.

아래쪽에 MCP와 A2A 두 칸이 든 실선 테두리의 연결하는 층, 위쪽에 정한다·막는다·입증한다 세 칸이 든 점선 테두리의 통제하는 층을 놓고, 두 층 사이를 굵은 가로선으로 끊어 아래에서 올라온 화살표가 그 선에서 멈추게 그린 흑백 도식 — 그림 2. MCP와 A2A가 맡는 연결하는 층과, 그 위에서 무엇을 하여도 되는지 정하는 통제하는 층을 위아래로 나누어 그린 그림입니다.

연결 표준은 1.0을 넘겼고 통제 규격은 0.1이다

A2A는 2026년 3월에 1.0이 나왔고, MCP는 현행이 2026년 7월 28일판입니다. 행동을 실행 전에 검사해 허용하거나 막는 규격은 2026년 9월에야 소프트웨어 보안 기준을 내는 단체 OWASP로 들어왔습니다. 판 번호는 0.1.0이고 1.0 날짜는 미정입니다.

표준이 설 때까지 기다리자는 결론도 어긋납니다. 차이를 메우는 일이 지금 회사 몫입니다.

감사 기록은 나중에 만들 수 없다

감사에서 묻는 것은 대개 한 줄입니다. 이 행위는 누가, 무엇을 보고, 누구 승인으로 하였는가. 네 값은 실행하는 그때에만 함께 있습니다. 끝나면 화면이 바뀐 뒤라 승인은 메신저에 흩어져 있습니다.

읽기만 되는데 결재에 붙었다

퓨처워크랩이 초기에 세운 가정은 쓰기만 막으면 사고가 나지 않는다는 것이었습니다. 막힌 곳은 다른 데였습니다.

읽기만 되는 에이전트가 만든 요약이 그대로 결재 문서에 붙었습니다. 결재한 사람은 그 값이 어느 시스템의 언제 값인지 모른 채 서명하였습니다. 권한을 나눌 때 보던 축은 읽기와 쓰기였는데, 그 뒤로는 결과가 누구 결재에 첨부되는지도 봅니다.

제조에서 단단한 선은 서명이다

미국 식품의약국의 전자기록·전자서명 규정은 전자서명을 개인이 실행하거나 채택하거나 승인한 기호의 모음으로 정의합니다. 한 개인에게 고유하고 다른 누구에게도 재사용되거나 재배정될 수 없습니다.

그렇다고 자동 실행이 막히지는 않습니다. 미국 의약품 제조 기준의 자동화 장비 조항은 장비를 쓸 수 있다고 명시하면서, 두 사람이 하던 확인을 장비로 대신할 때 한 사람이 장비가 제대로 수행하였는지 확인하라는 조건을 답니다. 한 사람으로 줄일 수는 있어도 0명으로는 가지 못합니다. 규제 오해는 따로 정리한 글에 있습니다.

AX Flow는 어디서 막는가

AX Flow에서 이 일을 맡는 것은 AX Guard입니다. 접근 단계는 등급별 범위를 정하고, 조건을 넘는 행위는 실행 전에 승인 게이트로 올립니다. 사후 단계는 승인한 사람과 그 근거를 덮어쓸 수 없는 기록으로 남깁니다.

대상은 문서만이 아닙니다. 주문과 재고, 생산 일정, 설비 상태처럼 다른 시스템의 값도, 절차서와 메일과 음성도 같은 게이트를 지납니다.

정리하며

연결 전에 아래 세 가지를 확인해 보시기를 권합니다.

지금 연결된 도구를 한 줄씩 적습니다.
각 줄 옆에 누구 권한으로 실행되는지와 외부 발송 여부를 적습니다.
프로그램 계정으로 실행되는 항목 수를 파악합니다. 그 줄은 감사에서 행위자를 특정하지 못합니다.

도입 상담 요청하기 · 지금 연결된 도구에 행위자 이름을 적어 넣는 일부터 시작합니다.

자주 묻는 질문 (FAQ)

AI 에이전트에게 권한을 주는 기준은 무엇인가요?

오류 시 복구 가능성, 외부 발송 여부, 승인 한도 초과 여부, 규정상 서명 요구 여부 네 가지입니다. 상한은 맡긴 사람의 권한을 넘지 못합니다.

MCP를 붙이면 권한 통제까지 되나요?

되지 않습니다. MCP 사양은 프로토콜 계층에서 보안 원칙을 강제할 수 없다고 적었습니다. 인가 규격도 선택 사항이고 대상은 서버 접근입니다.

담당자 계정을 빌려 쓰면 무엇이 문제인가요?

기록에 담당자 이름만 남습니다. 그 사람이 한 일과 에이전트가 대신한 일이 섞여 감사에서 행위자를 짚지 못합니다.

에이전트가 승인이나 서명을 대신할 수 있나요?

전자서명은 개인에게 고유하고 다른 누구에게도 재사용되거나 재배정될 수 없습니다. 실행을 자동화해도 승인과 서명은 사람이 합니다.

참고한 것

MCP 사양 2026-07-28 · https://modelcontextprotocol.io/specification/2026-07-28
A2A 사양 · https://a2a-protocol.org/latest/specification/
OWASP Agent Control Standard v0.1.0 · https://github.com/GenAI-Security-Project/agent-control-standard
IMDA 에이전틱 AI 프레임워크 v1.5 · https://www.imda.gov.sg/-/media/imda/files/about/emerging-tech-and-research/artificial-intelligence/mgf-for-agentic-ai.pdf
미국 연방규정 21 CFR Part 11 · https://www.ecfr.gov/current/title-21/part-11