2026년 10월 22일, 미국 사이버보안·인프라보안청(CISA)은 캐나다 사이버보안센터 및 동맹 기관과 함께 공동 가이던스 「Managing AI Token Consumption for Operational Resilience(AI 토큰 소비 관리를 통한 운영 회복력)」을 발표했다. 같은 주 JP모건체이스, 씨티그룹, 뱅크오브아메리카, 찰스슈왑은 모두 인가되지 않은 제3자 AI 에이전트는 고객 계좌에 로그인하거나 자금을 이동할 수 없다고 밝혔다. 두 움직임은 같은 컴플라이언스 현실을 가리킨다. AI의 '사용량 기반 과금'과 '대리 실행'이 기업이 반드시 관리해야 할 리스크가 되고 있다는 것이다.
가이던스의 내용: 신종 공격과 3단계 우선순위 모델
가이던스는 캐나다 사이버보안센터 웹사이트에 게시됐으며(문서 번호 ITSM.00.125), 제3자 '초지능' 서비스를 도입한 조직, 특히 핵심 인프라 운영자와 사이버 방어자를 대상으로 한다. 지적된 리스크 중 가장 주목할 것은 두 가지 신종 공격이다. 디나이얼 오브 토큰(denial-of-tokens)과 디나이얼 오브 월렛(denial-of-wallet) 공격이다.
'디나이얼 오브 월렛'이 노리는 것은 시스템이 아니라 청구서다. 공격자는 AI의 사용량 기반 과금 모델을 악용해 지나치게 복잡한 입력이나 AI 자기 루프(출력을 다시 입력으로 되돌리는 것) 등의 수법으로 피해 조직의 토큰 할당량이나 예산을 악의적으로 소진한다. 할당량이 바닥나면 정상 업무도 함께 멈춘다.
거버넌스 프레임워크는 '3단계' 모델이다. 1단계 '미션 크리티컬'(사이버 방어, 인시던트 대응, 위협 인텔리전스)이 최우선이다. 2단계 '운영'(컴플라이언스 활동, 정책 분석)은 지속적으로 모니터링하고 비용을 관리한다. 3단계 '생산성'(이메일 작성, 회의 요약)은 수요 피크 시 제한할 수 있다. 함께 제시된 조치로는 프롬프트 간소화, 캐시 재사용, 작업에 맞는 모델 선정(작은 작업에는 작은 모델이나 로컬 모델), 부서 횡단 AI 거버넌스팀 구성, 토큰 텔레메트리의 보안관제센터 통합, 그리고 AI 에이전트의 자율 운영을 허용하기 전 리스크 평가가 있다.
같은 주, 은행이 먼저 움직였다: AI 에이전트의 자금 이동 차단
10월 14일 JP모건 제이미 다이먼 CEO는 실적 발표 콘퍼런스콜에서 '통제 불능 에이전트'를 막기 위해 외부 AI 에이전트를 고객 계좌에 들이지 않겠다고 밝혔다. 이어 파이낸셜타임스는 씨티그룹이 제3자 AI 에이전트나 어시스턴트의 고객 계좌 로그인 및 디지털 뱅킹 플랫폼에서의 직접 거래를 금지하고 있다고 보도했다. 뱅크오브아메리카 브라이언 모이니핸 CEO는 CNBC 인터뷰에서 계좌에서 자금이 나갈 때는 '휴먼 인 더 루프' 승인이 필수라며, 'AI가 승인한 결제의 책임은 누가 지는가'를 은행 차원에서 정리 중이라고 말했다.
찰스슈왑 릭 워스터 CEO는 인가되지 않은 에이전트를 매주 수십 건씩 차단하고 있다고 밝혔다. 10월 22일 로이터는 악시오스 보도를 인용해 여러 은행이 고객 계좌 안에 숨어든 인가되지 않은 제3자 AI 에이전트를 찾아내 제거하고 있으며, 그중 일부는 사용자가 요청하지 않은 작업을 시도했다고 전했다. 4개사 방침의 공통점은 잔액 조회 같은 읽기 전용 기능은 유지하되, 자금 이동은 허용하지 않는다는 것이다.
두 가지를 연결해 보면: 영향받는 대상과 해야 할 일
두 움직임은 같은 논리의 양끝이다. 가이던스는 'AI 지출'을 관리하고, 은행은 'AI 자금 이동'을 관리한다. 영향이 큰 주체는 주로 세 가지다. 핵심 업무를 제3자 대형언어모델 API 위에서 운영하는 팀, AI 에이전트가 고객 자금이나 민감 데이터에 닿는 금융·이커머스 현장, 핵심 인프라 운영자다.
실행 가능한 대응은 가이던스 체크리스트를 따르면 된다. AI 사용량을 단계별로 나누고 핵심 기능의 할당량을 별도로 보장한다. 에이전트의 권한 경계를 그어 읽기 전용과 자금 이동의 승인 경로를 분리하고, 자금 이동에는 사람의 확인을 남긴다. 토큰 소비를 보안 모니터링에 포함하고 비정상적인 급증은 '데이터 유출 의심'과 동등하게 다룬다. 벤더 계약에는 할당량, 스로틀링, 서비스 저하 시 보장 조항을 명시한다. 은행의 '읽기는 유지, 자금 이동은 차단'은 좋은 참조 사례다. 에이전트를 쓰지 말라는 얘기가 아니라, 에이전트에게 자기 비밀번호로 서명하게 하지 말라는 얘기다.
적용 범위: 이것은 미국의 규칙이며 전 세계 공통이 아니다
적용 범위는 분명히 해둘 필요가 있다. CISA 가이던스는 미국 연방 기관이 캐나다, 호주, 영국, 뉴질랜드 등 동맹국 사이버 기관과 함께 발표한 것으로, 대상은 이들 국가의 조직, 특히 핵심 인프라지 전 세계 공통의 강제 기준이 아니다. 4개 은행의 차단 조치도 각사의 기업 방침으로 자사 고객 계좌에만 적용된다.
중국 기업이 직접 참고할 수 있는 것은 방법론이다. 사용량 기반 과금 하의 비용 거버넌스, 에이전트 권한의 최소 권한 원칙, 자금 이동 작업의 사람 승인이다. 얼마 전 금융안정위원회가 확정한 금융 AI 실무 지침, 즉 고위험 에이전트가 행동하기 전 사람의 승인을 필수로 한다 (/zh/article/2643-fsb-jin-rong-ai-1-2-xiang-zuo-fa-ding-gao-gao-feng-xian-zhi-neng-ti-dong-shou-qi)는 것도 같은 흐름에 있다. 다만 'AI가 승인한 결제의 책임은 누가 지는가'는 미국 은행 스스로도 정리하지 못했고, 중국에도 그대로 쓸 수 있는 답은 없다. 관련 계약과 내부 규정은 미리 정비해 둬야 한다. 미국의 규제 움직임을 전 세계 공통 규칙인 양 적용하는 것은 컴플라이언스에서 가장 흔한 오독이다.
