구조화된 이벤트를 통한 AI 에이전트 보안 모니터링
AI 에이전트 보안 모니터링은 도구가 보호된 데이터를 읽거나, 상태를 변경하거나, 코드를 실행하거나, 외부 시스템을 호출하기 전에 애플리케이션이 시행 가능한 결정을 내리는 곳에서 시작되어야 합니다. 유용한 텔레메트리은 프롬프트나 도구 페이로드의 복사본이 아닙니다. 요청된 작업 클래스, 이를 평가한 정책 버전, 허용, 거부 또는 승인으로 라우팅되었는지 여부, 최종 결과에 대한 제한된 기록입니다.
Telemetry는 이러한 구조화된 결정을 위한 분석 표면입니다. 권한 부여, 샌드박스 도구, 테넌트 격리, 비밀 관리 또는 보안 증거를 보존하는 시스템을 교체하지 않습니다. 애플리케이션 및 정책 계층에서 시행을 유지한 다음 시간이 지남에 따라 동작을 검토하는 데 필요한 승인된 차원만 보냅니다.
도구 및 위험 목록으로 시작
에이전트가 검색하거나 호출할 수 있는 각 도구의 목록을 작성합니다. 친숙한 표시 이름보다는 미칠 수 있는 효과를 기준으로 분류하세요.
| 액션 클래스 | 예 | 일반적인 검토 질문 |
|---|---|---|
read_only |
승인된 공개 색인 검색 | 결과가 제한된 데이터를 노출하거나 테넌트 경계를 넘을 수 있습니까? |
local_state_change |
격리된 작업공간에서 생성된 파일 쓰기 | 대상 범위가 지정되고 복구 가능합니까? |
external_state_change |
티켓, 데이터베이스 행 또는 클라우드 리소스 업데이트 | 배우에게 정확한 대상과 작전에 대한 권한이 있나요? |
code_execution |
명령이나 작업 실행 | 어떤 격리, 허용 목록, 시간 제한, 리소스 제한이 적용되나요? |
credential_use |
위임된 자격 증명으로 서비스 호출 | 자격 증명의 범위가 사용자, 리소스 및 요청된 작업으로 지정되어 있습니까? |
위험 분류는 제품 및 보안 결정입니다. 이 예를 정책으로 프로덕션에 복사하지 마십시오. 권한 부여, 사고 대응, 개인 정보 보호 및 영향을 받는 시스템을 소유한 사람들과 함께 제어된 값을 정의합니다.
대형 언어 모델 애플리케이션을 위한 OWASP 상위 10개는 신속한 주입, 안전하지 않은 출력 처리, 과도한 기관 및 민감한 정보 공개와 같은 위험을 뚜렷한 문제로 취급합니다. 승인 결정을 모니터링하면 이러한 경계를 조사하는 데 도움이 될 수 있지만 대시보드 자체가 완화 기능을 제공하지는 않습니다. OWASP 프롬프트 주입 지침에서는 애플리케이션이 명령 역할을 의도하지 않았음에도 신뢰할 수 없는 콘텐츠가 모델 동작에 영향을 미칠 수 있는 이유도 설명합니다.
정책결정을 실행 전 기록
각 최종 정책 결정에는 하나의 agent_tool_authorization_decided 이벤트를 사용합니다. 그 단위는 하나의 모델 응답이나 하나의 전체 에이전트 실행이 아닌 하나의 논리적 도구 호출 시도입니다. 제안된 필드는 다음과 같습니다.
- ID 및 상관 관계를 위한
event_id,timestamp_utc,run_id및tool_call_id; - 제한된 작업 차원인
workflow,tool_name및action_class - 제어된 정책 필드로
risk_level,decision,reason_code및policy_version; - 변경 분석을 위한
release,environment및 개인 정보 보호account_id.
에이전트 도구 인증 이벤트 스키마는 전체 시작 계약을 문서화합니다. decision를 allowed, denied 및 approval_required와 같은 값으로 제한하십시오. scope_denied 또는 human_approval_required와 같은 이유는 자유 형식 모델 설명보다 더 안전하고 비교 가능합니다.
원시 프롬프트, 완성, 도구 인수, 도구 결과, 검색된 문서, 인증 헤더, 쿠키, 토큰, 연결 문자열 또는 고객 콘텐츠를 포함하지 마십시오. 도구 이름은 직렬화된 함수 호출이 아닌 database_write와 같은 안정적인 식별자여야 합니다.
결정과 실행 결과를 별도로 유지
승인은 작업이 진행될 수 있는지 여부를 응답합니다. 실행이 성공했거나 사업 결과가 안전했다는 것을 증명하지는 않습니다. 동일한 run_id 및 tool_call_id를 사용하여 agent_tool_completed와 같은 별도의 터미널 이벤트를 내보냅니다.
| 이벤트 | 곡물 | 유용한 결과 |
|---|---|---|
agent_tool_authorization_decided |
하나의 최종 정책 결정 | 허용, 거부 또는 승인 필요 |
agent_approval_resolved |
사람의 검토가 완료됨 | 승인, 거부, 만료 또는 취소 |
agent_tool_completed |
한 번의 터미널 실행 시도 | 성공, 실패, 시간 초과 또는 취소됨 |
agent_run_completed |
하나의 터미널 에이전트 실행 | 작업 성공, 실패 또는 사람의 핸드오프 |
agent_policy_changed |
하나의 게시된 정책 변경 | 이전 버전, 새 버전, 소유자 및 출시 |
이러한 그레인을 별도로 유지하면 중요한 사례가 눈에 띄게 됩니다. 허용된 호출이 실패할 수 있고, 승인이 실행 없이 만료될 수 있으며, 기술적으로 성공적인 도구 호출이 여전히 거부된 에이전트 결과로 이어질 수 있습니다.
리소스 서버에서 인증 적용
모델 컨텍스트 프로토콜 배포의 경우 구현 경계에서 프로토콜의 인증 및 보안 지침을 따르세요. MCP 인증 사양은 인증 책임을 설명하고, MCP 보안 모범 사례 가이드는 배포된 시스템에 대한 위협과 완화를 다룹니다. MCP 도구 사양은 도구 주석을 신뢰할 수 있는 보안 경계가 아닌 힌트로 취급합니다.
실제로:
- 보호되는 리소스를 소유하는 코드에서 정책 결정을 내립니다.
- 거기에서 행위자, 테넌트, 대상 리소스, 작업 및 위임된 범위를 검증합니다.
- 정책에서 결과로 표시한 작업 클래스에 대해서는 사람의 승인이 필요합니다.
- 평가가 최종 완료된 후에만 제한된 결정을 내립니다.
- 적용 계층에서 허용하는 경우에만 도구를 실행하십시오.
- 실행 후 별도의 최종 결과를 내보냅니다.
작업이 승인되었음을 자체 보고하기 위해 모델에 의존하지 마십시오. 마찬가지로 도구 설명이나 주석을 작업이 읽기 전용이거나 안전하다는 증거로 취급하지 마십시오.
SQL을 사용하여 거부, 승인 및 정책 변경 사항을 검토하세요.
AI 에이전트 도구 인증 SQL 레시피는 도구 및 위험 등급별로 결정을 그룹화합니다. 거부율 외에 절대 개수를 유지하므로 작은 샘플로 인해 잘못된 긴급성이 발생하지 않습니다.
유용한 대시보드에는 다음이 포함됩니다.
- 도구, 작업 흐름, 위험 수준 및 릴리스별 총체적인 결정
- 허용, 거부 및 승인이 필요한 개수
- 눈에 보이는 결정 분모가 있는 거부율;
- 승인 대기열 기간 및 해결 결과
- 나중에 실패한 작업이 허용되었습니다.
- 정책 버전 변경 전후의 의사결정 혼합.
이러한 신호를 주의해서 해석하십시오. 예상되는 거부는 정책이 작동하고 있음을 보여줄 수 있습니다. 거부율 감소는 안전한 에이전트 릴리스, 약한 정책 또는 트래픽 변화를 반영할 수 있습니다. 승인 대기열이 늘어나는 것은 공격이라기보다는 소유권 문제일 수 있습니다.
조사 타임라인 구축
결정, 승인, 도구 결과 및 실행 결과를 run_id 및 tool_call_id와 연관시키십시오. 검토된 사건 창의 경우 다음을 재구성합니다.
- 작업을 요청한 워크플로 및 릴리스
- 이를 평가한 정책 버전
- 한정된 결정 및 이유 코드;
- 인간이 그것을 승인했는지 아니면 거부했는지;
- 실행 시작 여부 및 종료 방법
- 에이전트 실행이 완료되었는지, 실패했는지 또는 전달되었는지 여부.
무결성, 액세스, 보존 및 삭제 요구 사항에 맞게 설계된 시스템에 자세한 증거를 보관하십시오. 일반 분석은 패턴을 식별하고 재현 가능한 타임라인을 제공할 수 있지만 검증된 제어 없이 규정 준수 아카이브로 제시되어서는 안 됩니다.
알림하기 전에 실패 경로 검증
허용, 거부, 승인 필요, 승인 만료, 실행 실패 및 정책 버전 변경 경로에 대한 합성 사례를 연습합니다. 다음 사항을 확인하세요.
- 모든 결과적인 도구 호출은 정확히 하나의 최종 결정을 받습니다.
- 거부된 호출은 실행되지 않습니다.
- 승인이 필요한 통화는 검토를 우회할 수 없습니다.
- 상관 식별자는 의도한 그레인만 결합합니다.
- 금지된 콘텐츠는 이벤트 페이로드에 도달하지 않습니다.
- 텔레메트리이 누락되어도 시행이 약화되지는 않습니다.
- 알림은 검토된 임계값, 충분한 볼륨 및 명시적인 소유자를 사용합니다.
구현 프롬프트를 보려면 AI 에이전트 보안 사용 사례로 시작하거나 AI 에이전트 보안 감사 템플릿을 복사하세요. 비용, 대기 시간, 재시도 및 도구 안정성을 위해서는 AI 에이전트 모니터링을 사용하세요. 에이전트 경계 외부의 인증 및 관리 작업에 대해서는 더 광범위한 보안 감사 분석 가이드를 사용하세요.