모델 컨텍스트 프로토콜(Model Context Protocol)은 강력한 새로운 워크플로를 가능하게 합니다. 이를 통해 모델은 도구에 접근하고, 시스템을 조회하며, 사용자를 대신해 작업을 수행할 수 있습니다. 이러한 기능은 실질적인 생산성 향상으로 이어집니다. 하지만 동시에 새롭고 현실적인 공격 표면도 만들어냅니다. 모델, 에이전트 또는 AI 클라이언트가 사용자의 ID를 상속하는 경우, MCP 도구나 패키지의 작은 변경만으로도 대규모의 보이지 않는 위험이 발생할 수 있습니다.
한 문장으로 요약한 위험
사용자의 자격 증명으로 실행되는 MCP 서버는 해당 사용자가 이용할 수 있는 동일한 시스템과 API에 접근할 수 있습니다. 침해된 도구는 인증을 우회할 필요가 없습니다. 이미 적법한 사용자로서 작동하기 때문입니다.
이러한 익스플로잇은 실제로 어떻게 발생하는가
모든 MCP 도구는 이름, 사람이 이해할 수 있는 설명, 매개변수 목록이라는 간단한 정보를 모델에 제공합니다. 모델은 이러한 설명을 바탕으로 어떤 도구를 호출할지, 그리고 해당 도구의 매개변수에 어떤 값을 입력할지 결정합니다. 즉, 도구 메타데이터가 모델의 동작에 영향을 줄 수 있습니다. 이는 프로토콜 자체에 내재된 프롬프트 인젝션입니다.
예를 들어, 정상적인 ‘날씨 조회’ 도구가 실행 전에 CRM 조회 결과를 요구하도록 수정된 경우를 생각해 보겠습니다. 모델은 해당 지시를 따라 CRM 데이터를 가져온 뒤 날씨 도구의 실행 컨텍스트에 전달했습니다. 수집된 데이터를 공개 엔드포인트로 전송하는 코드 한 줄만 추가하면 CRM 레코드를 외부로 유출할 수 있었습니다. 사용자는 여전히 정상적인 날씨 정보를 받았지만, 민감한 거래 데이터는 조직 외부로 은밀히 전송되었습니다.
이 익스플로잇에는 탈옥도, 복잡한 해킹도 필요하지 않았습니다. 도구를 조금 수정하고 자연어로 간단한 지침을 추가하는 것만으로 충분했습니다. 또한 많은 MCP 패키지가 npx 같은 간편 명령어나 “latest” 태그를 통해 설치 또는 업데이트되기 때문에, 클라이언트가 실행될 때 손상된 코드가 자동으로 유입될 수 있습니다.
기존 보안 통제로는 이를 놓치기 쉬운 이유
대부분의 보안 도구는 API를 보호하고, 신원을 확인하며, 네트워크 경계를 모니터링하도록 설계되어 있습니다. MCP 공격은 이와는 다른 차원, 즉 모델이 도구를 선택하고 연계하는 방식을 악용합니다. 로컬 MCP 서버는 임의의 코드를 실행할 수 있으며, 모델은 API만 모니터링해서는 파악할 수 없는 방식으로 여러 도구를 연계할 수 있습니다.
간단히 말해, 이러한 공격은 정상적인 사용자 행동처럼 보입니다. 정상적인 자격 증명을 사용해 정상적인 호출을 수행하기 때문입니다. 따라서 기존 도구로는 공격을 탐지하고 공격 주체를 파악하기가 어렵습니다.
이러한 위험이 확대되는 이유
MCP는 개발자 전용 워크플로를 벗어나 확산되고 있습니다. SaaS 공급업체와 제품 팀은 클릭 한 번으로 추가할 수 있는 방식으로 에이전트형 자동화 기능을 ‘도구’, ‘에이전트’ 또는 ‘자동화’라는 이름으로 제공하고 있습니다. 비기술 사용자도 보안에 미치는 영향을 이해하지 못한 채 이러한 기능을 활성화할 수 있습니다. 이는 공급망이나 도구 수준의 침해가 엔지니어링 팀을 넘어 조직 전반의 제품 사용자에게까지 영향을 미칠 수 있음을 의미합니다.
또한 타사 MCP 서비스를 ‘신뢰할 수 있는’ 구성 요소로 소개하는 레지스트리와 선별된 카탈로그도 등장하고 있습니다. 이러한 목록은 공개 저장소에서 스크래핑하거나 가져온 항목으로 채워질 수 있으며, 인증 배지가 있다고 해서 안전이 보장되는 것은 아닙니다.
실질적인 영향
MCP 익스플로잇에 성공하면 다양한 피해가 발생할 수 있습니다. 고객 기록을 은밀하게 유출하거나, 임시 자격 증명 또는 토큰을 가져와 후속 호출에 사용할 수 있습니다. 파괴적인 작업을 실행하거나 여러 개의 작은 작업을 결합해 더 크고 막대한 비용을 초래하는 일련의 작업으로 이어지게 할 수도 있습니다. 특히 사용자가 일상적이고 위험도가 낮은 작업을 수행하고 있다고 생각하는 동안에도 이러한 동작이 발생할 수 있습니다.
다음 단계
대부분의 조직에서 MCP를 전면 차단하는 것은 현실적인 선택지가 아닙니다. MCP는 실질적인 가치를 제공하며, 접근을 차단하면 사용자가 섀도 AI와 승인되지 않은 우회 수단을 찾게 될 뿐입니다. 현실적인 해결책은 어떤 MCP 리소스가 사용되고 있는지 파악하고, 해당 도구를 분류한 다음, 모델 경계에서 정책 및 런타임 제어를 적용하는 것입니다.
데모를 신청하세요이전에 SurepathAI로 불렸던 F5 Workforce AI Security의 데모를 신청하여 검색, 분류, 정책 적용을 통합하고, 위험한 작업은 차단하면서도 직원들의 생산성을 유지하세요.
작성자 소개
관련 블로그 게시물
추론 경로가 곧 트래픽 경로다: AI 보안이 자리해야 할 곳
이제 AI 트래픽에는 의도와 데이터, 작업이 담깁니다. AI 보안을 적용하는 데 추론 경로가 가장 중요한 지점이 된 이유를 알아보세요.
최전선 AI를 네트워크 경계에서 차단하기: 인라인 제어가 Mythos급 모델에 맞서는 핵심 우위인 이유
포스트-Mythos 시대에 사이버 방어가 어떻게 변화했으며, 조직이 통제 지점을 바꿔야 하는 이유를 알아봅니다.
애플리케이션 딜리버리 컨트롤러가 다시 전략적 의제로 떠오르고 있습니다
AI로 인해 애플리케이션 제공의 중요성이 더욱 커지고 있습니다. F5의 Nirav Shah가 새로운 Gartner® ADC 연구와 이것이 엔터프라이즈 인프라 의사 결정에 미치는 영향에 대해 설명합니다.
증거로 입증하는 AI 보안: Gartner SRM에서 선보일 내용
Gartner SRM에서의 세션을 앞두고, F5의 제품 마케팅 담당 수석 부사장이 F5가 세 가지 실질적인 단계를 통해 조직의 AI 보안을 어떻게 지원하는지 설명합니다.
파이프라인 속도 저하 없이 AI 데이터 파이프라인을 안전하게 보호하세요
AI 데이터 파이프라인 보안은 선택 사항이 아닙니다. 그 점은 분명합니다. 하지만 이를 제대로 보호하는 방법은 훨씬 불분명하며, 훨씬 더 어려운 과제입니다.
AI 스토리지에 새로운 로드 밸런싱 접근 방식이 필요한 이유
AI 워크로드에는 새로운 관점으로 설계된 스토리지가 필요합니다. AI 특유의 데이터 액세스 패턴은 레거시 인프라에 내재된 심각한 병목 현상과 비효율성을 여실히 드러냅니다.