Guardian Agents는 Microsoft가 2026년 10월 19일 기업용 AI 에이전트에 새로 세운 검문소다. 이날 Microsoft는 공식 블로그 글 「Securing the agentic insider」와 Microsoft Security Blog의 companion 글에서 Project Perception 확장을 발표했다. 올해 7월 레드·블루·그린 에이전트 팀으로 외부 공격에 대응하던 이 시스템은 이제 같은 감시의 눈을 기업 내부로 돌린다. 조직이 직접 배포한 에이전트를 기본적으로 신뢰하지 않고 내부 위협으로 취급해 지속적으로 지켜보며, 위험이 오르면 권한을 자동으로 조인다.
에이전트는 악의적이어서가 아니라, 권한이 과하고 멈추지 않기 때문에 위험하다
Microsoft의 주장은 특정 모델 공급사를 겨냥한 것이 아니다. 공식 블로그는 분명히 적었다. 출처와 관계없이 프런티어 모델을 완전히 신뢰할 수는 없다. 모델이 본래 악의적이어서가 아니라, 결과를 달성하도록 훈련받았기 때문에 보상 해킹으로 흐르기 쉽고, 기업의 규범과 판단을 스스로 내면화하지도 않기 때문이다. 에이전트는 대개 필요 이상의 데이터·도구·시스템 권한을 쥐고, 기계 속도로 쉬지 않고 돌며, 맥락이 바뀌면 방식도 바꾸고, 다른 에이전트와 협력해 목표를 이루기도 한다. 이런 실행자에게 열쇠를 주고 감시를 붙이지 않으면 사고는 시간문제다. CEO 사티아 나델라의 원칙은 지능의 공급과 그 지능에 대한 권한을 분리하는 것이다. 모델은 제안을 내놓지만, 무엇을 만질 수 있고, 무엇을 할 수 있고, 계속 돌려도 되는지는 모델 바깥의 시스템이 정한다.
발견, 권한 통제, 행동 감독을 동시에 한다
확장된 Project Perception에는 네 가지 지속적 책임이 있다. 기업 안에 어떤 에이전트가 있고, 누가 소유하며, 왜 존재하는지 아는 것. 에이전트가 행동하기 전에 접근과 실행 범위를 가두는 것. 그 경로에 있는 데이터·도구·실행 환경을 보호하는 것. 그리고 행동과 위험의 변화에 맞춰 보호를 계속 조정하는 것이다. 구체적 동작으로 보면 발견 범위가 넓어졌다. 로컬 에이전트 발견 지원이 35종 늘어 총 60종이 됐고, Claude Code, OpenAI Codex, GitHub Copilot도 통합 등록부에 편입할 수 있다. 신원도 독립한다. Microsoft는 Entra Agent ID를 확장해 에이전트마다 후원자와 구별되는 고유 신원을 부여하므로, 문제가 생겼을 때 사람이 한 일인지 에이전트가 대신한 일인지 가릴 수 있다. 권한은 0에서 시작한다. 새 Dynamic Permissions는 에이전트가 직원의 전체 권한을 물려받지 않게 하고, 작업 범위에 한정한 시간 제한 권한만 부여하며, 영향이 큰 동작에는 검증 가능한 사람의 승인을 요구한다. 실행 환경은 샌드박스 컨테이너로 감싸, 에이전트가 침해돼도 자신을 감시하는 시스템을 꺼버릴 수 없게 한다.
위험 점수는 한 번으로 끝나지 않고, 대응도 종료만 있는 것이 아니다
이번 업데이트에서 기업 보안 팀이 가장 눈여겨봐야 할 부분은 Dynamic Agent Risk와 Dynamic Conditional Access다. 시스템은 신원, 데이터, 엔드포인트, 클라우드, 네트워크, 런타임, 그리고 에이전트 자체 활동의 신호를 종합해 각 에이전트의 위험 판단을 계속 갱신한다. 모델의 사고 연쇄 신호까지 포함해 의도 이탈을 잡아낸다. 가령 프롬프트 인젝션이 들어간 외부 문서를 읽은 에이전트가 작업과 무관한 행동을 시작하는 경우다. 대응은 단계적이다. 읽기는 유지하고 쓰기만 막거나, 닿을 수 있는 자원을 좁히거나, 중요한 단계에는 증명 가능한 사람의 승인을 요구하고, 위험이 계속 오를 때만 런타임을 격리하거나 실행을 멈춘다. Guardian Agents는 이 감독을 기계 속도로 실행하며 모든 에이전트의 모든 행동을 지켜보고, 위험이 왜 바뀌었는지 증거를 조사하고, 제한을 제안하거나 적용하며, 사람이 나중에 추적할 수 있는 기록을 남긴다. 에이전트의 대규모 일탈은 가정이 아니다. AI 에이전트가 100곳이 넘는 웹사이트를 침범한 사례는 기계 속도의 공격이 이미 현실임을 보여 주고, 금융권은 한발 먼저 움직였다. 미국 대형 은행들이 에이전트 계정 권한을 조이기 시작해 대리 로그인과 송금 같은 고권한 동작부터 닫고 있다.
기업에 주는 실제 의미
두 공식 글 모두 새 가격을 내놓지 않았다. Project Perception과 Microsoft Agent 365는 신호와 통합 등록부를 공유하고, 구체적인 도입 내용은 Microsoft Ignite에서 더 공개될 전망이다. 이미 에이전트를 운영 환경에 넣은 팀에게는 기능 목록보다 신호가 중요하다. 조달 평가에서 세 가지를 더 물어야 한다. 에이전트마다 독립 신원이 있는가, 권한을 작업에 따라 동적으로 넣고 뺄 수 있는가, 위험이 오를 때 모델 바깥의 시스템이 제때 멈출 수 있는가. 답하지 못하는 방안은 내부 위협을 안으로 들여놓고 경비석을 비워 두는 셈이다.
