기업이 간과해서는 안 될 MCP 보안 위험 8가지

업계 동향 | 2026년 1월 29일

모델 컨텍스트 프로토콜(MCP)은 AI 에이전트가 엔터프라이즈 시스템과 상호 작용하는 방식을 뒷받침하는 핵심 기반 계층으로 빠르게 자리 잡고 있습니다. 이는 매우 고무적인 일입니다! MCP를 통해 AI는 실제 데이터, 실제 도구, 실제 워크플로—CRM 시스템, 티켓 관리 플랫폼, 사내 앱, API—에 연결되어 더 스마트한 자동화와 더 빠른 의사 결정을 실현할 수 있습니다. 하지만 우리가 충분히 이야기하지 않는 부분이 있습니다. MCP는 완전히 새로운 공격 표면도 만들어 냅니다. 대부분의 조직은 이를 인지하지 못한 채 이미 노출하고 있습니다. 저는 AI 도입을 서두르는 보안, IT 및 제품 부문 리더들과 매주 대화를 나눕니다. 이들 중 다수는 이미 MCP를 직간접적으로 사용하고 있지만, 다음과 같은 기본적인 질문에 자신 있게 답할 수 있는 경우는 극히 드뭅니다.

현재 MCP는 어디에서 사용되고 있나요?
어떤 에이전트와 도구가 연결되어 있나요?
이러한 연결은 어떤 데이터와 시스템에 접근하고 있나요?

이러한 가시성 격차는 위험이라는 빙산의 일각에 불과하며, MCP호는 전속력으로 항해하고 있습니다. 이러한 위험이 실제 사고로 이어지기 전에 AI를 사용하는 모든 조직이 반드시 이해해야 할 8가지 주요 MCP 보안 위험을 살펴보겠습니다.

1. MCP 사용 현황에 대한 가시성 부족

가장 흔한 MCP 위험은 동시에 가장 단순한 문제이기도 합니다. 조직이 MCP가 어디에서 사용되고 있는지 모른다는 것입니다. 보안 팀은 다음 항목에 대한 전체 목록을 확보하지 못한 경우가 많습니다.

MCP를 사용하는 AI 에이전트
로컬에서 도입되거나 원격으로 배포되는 MCP 서버
AI 에이전트 또는 클라이언트가 이제 액세스할 수 있는 엔터프라이즈 시스템이나 이들이 활용하는 ID

가시성이 없으면 노출 위험을 평가하거나, 정책을 적용하거나, 사고에 대응할 방법이 없습니다. 결국 MCP는 데이터베이스, API, 내부 도구와 상호 작용하면서도 이들과 같은 수준의 통제를 받지 않게 됩니다. 보이지 않는 것은 보호할 수 없습니다.

2. 원격 MCP 서버에 대한 통제되지 않은 접근

MCP를 사용하면 에이전트가 CRM, ERP 또는 데이터 플랫폼과 같은 핵심 SaaS 엔터프라이즈 플랫폼에 연결된 원격 서버에 쉽게 접속할 수 있습니다. 하지만 이러한 연결을 중앙에서 관리하지 않으면 승인이나 감독 없이 연결이 생성될 수 있습니다. 에이전트와 이를 사용하는 사용자가 보안 팀도 모르는 사이에 민감한 시스템에 접근할 수 있습니다. 이러한 통제 부재는 공격 표면을 크게 확대하고 무단 또는 의도치 않은 접근의 위험을 높입니다.

3. 위험하거나 승인되지 않은 로컬 MCP 서버

MCP는 중앙 집중식 인프라에서만 운영되는 것이 아닙니다. 개발자와 고급 사용자는 실험하거나 작업 속도를 높이기 위해 자신의 컴퓨터에서 로컬 MCP 서버를 직접 구동할 수 있으며, 실제로 그렇게 하고 있습니다. 이러한 유연성은 MCP의 매력 중 하나이지만 심각한 위험을 초래하기도 합니다. 로컬 MCP 서버는 흔히 다음과 같은 문제를 안고 있습니다:

기업 보안 정책을 우회함
모니터링이나 로깅 없이 운영
승인된 환경 외부에 민감한 데이터를 노출

이러한 ‘서버’는 사실상 보안 팀의 눈에는 보이지 않지만 엔터프라이즈 시스템에는 얼마든지 접근할 수 있는 섀도 인프라가 됩니다. 로컬 MCP 사용을 막으려면 개발자가 어떤 코드도 실행하지 못하게 해야 합니다(결국 비즈니스도 중단됩니다!). 게다가 MCP는 개발자만 사용하는 것이 아닙니다. 이제 대부분의 AI 클라이언트에서 클릭 한 번으로 MCP 서버를 ‘통합’으로 추가할 수 있는 기능이 기본으로 제공되면서, MCP는 명령줄부터 최고 경영진에 이르기까지 조직 전반에서 사용되고 있습니다.

4. MCP 서버를 통한 파괴적 작업

수동적인 통합과 달리 MCP는 읽기 전용 통합이 아니므로, MCP 호출은 의도하지 않은 작업을 포함한 여러 작업을 실행할 수 있습니다. MCP 요청은 파괴적인 작업을 비롯한 실제 작업을 실행할 수 있습니다. 적절한 보호 장치가 없으면 MCP를 통해 데이터를 삭제하거나, 구성을 변경하거나, 악성 워크로드를 배포하거나, API를 악용하거나, 의도하지 않은 방식으로 워크플로를 실행할 수 있습니다. 이는 가정에 불과한 위험이 아닙니다. MCP는 본질적으로 상호작용하도록 설계되었기 때문에 실수(또는 악용)가 즉각적인 운영상의 결과로 이어질 수 있습니다.

5. 지속적인 최종 사용자 인증

많은 AI 클라이언트는 최종 사용자의 ID를 사용하여 MCP 요청을 인증합니다. 이는 에이전트가 사실상 사용자의 접근 권한을 그대로 물려받는다는 의미입니다. 문제는 이러한 권한이 비결정적 시스템의 접근이 아니라 사람이 사용하도록 설계되었다는 점입니다. 개인의 감독이 이루어지지 않을 뿐만 아니라, 부여된 자격 증명이 원래 세션이 종료된 후에도 유지될 수 있습니다. 엄격하게 통제하지 않으면 사용자가 로그아웃한 뒤에도 MCP 활동이 높은 권한으로 계속 수행되어 자격 증명 악용, 권한 남용 및 무단 접근의 위험이 커질 수 있습니다.

6. MCP 공급망 공격

MCP는 독립적으로 존재하지 않습니다. MCP는 도구, 종속성, 서버, 서드파티 구성 요소로 이루어진 복잡한 생태계에 의존합니다. 이 공급망의 어느 한 부분이라도 침해되면 공격자는 AI 에이전트를 조작하거나, 요청을 가로채거나, 데이터를 유출할 수 있습니다. 이러한 공격은 조직이 안전하다고 여기는 신뢰 관계를 악용하며, MCP에 특화된 가시성이 없으면 탐지하기가 매우 어렵습니다.

7. 타사 AI 서비스로의 데이터 유출

모든 MCP 엔드포인트가 동일한 수준의 보안을 제공하는 것은 아닙니다. 검증되지 않은 도구나 외부 MCP 서버는 기업의 프롬프트, 컨텍스트 또는 민감한 데이터를 제3자 AI 서비스나 악의적인 행위자에게 은밀히 유출할 수 있습니다. 이러한 트래픽은 정상적인 MCP 활동처럼 보이는 경우가 많아 기존 보안 통제를 우회할 수 있습니다. 그 결과 민감한 데이터가 조직도 모르는 사이 외부로 유출될 수 있습니다.

8. 개인 라이선스에 귀속되는 기업 지식재산권

최근 빠르게 증가하고 있는 위험 중 하나는 개인 AI 계정으로 구성된 MCP 에이전트입니다. 직원이 개인용 ChatGPT, Claude 또는 기타 개인 라이선스를 사용해 MCP를 통해 기업 데이터에 접근하면 해당 데이터가 규정을 준수하지 않는 환경으로 유입될 수 있습니다. 이로 인해 악의적인 의도가 없더라도 기업의 지식재산권(IP), 규제 대상 데이터 및 규정 준수 태세가 심각한 위험에 처할 수 있습니다.

효과적인 MCP 거버넌스의 모습

이러한 위험을 이해하는 것은 문제 해결의 절반에 불과합니다. MCP를 실질적으로 안전하게 관리하려면 조직은 기존의 방화벽 및 IAM 정책뿐만 아니라 MCP의 작동 방식에 특화된 통제 수단을 마련해야 합니다.

성공적인 MCP 도입 및 활성화를 위해서는 다음이 필요합니다:

모든 AI 클라이언트 또는 에이전트에서 로컬 및 원격 서버 모두에 대해 MCP 액세스 정책을 적용하고 승인되지 않은 서버와 도구를 실시간으로 차단
피해가 발생하기 전에 위험하거나 파괴적인 MCP 요청을 탐지하고 차단합니다
악의적인 내부 클라이언트와 MCP 공급망 공격으로부터 보호
모든 MCP 활동에 대한 지속적인 가시성 유지

이러한 통제 체계가 마련되면 보안 팀은 혁신의 속도를 늦추지 않으면서도 안심하고 AI 도입을 지원할 수 있습니다. 이전에 SurepathAI로 불렸던 F5 Workforce AI Security는 바로 이러한 격차를 해소하기 위해 개발되었습니다. 조직이 첫날부터 가시성과 통제력을 확보해 MCP를 안전하게 도입할 수 있도록 지원함으로써, 팀이 빠르게 움직이면서도 보안을 유지할 수 있게 합니다.

MCP 도입을 계획 중이거나 이미 환경에서 사용하고 계신다면, 지금 바로 상담해 보세요! 데모 예약하기.