[ET단상] AI 에이전트 시대, 아이덴티티 거버넌스의 기준은 '최소 권한'이다

AI 요약

생성형 AI 에이전트는 외부 시스템을 호출하고 API 키·토큰·서비스 계정 등으로 실제 업무 권한을 행사하는 비인간 아이덴티티여서 보안 문제는 모델 성능이 아니라 아이덴티티와 권한 통제의 문제입니다. 전통적 IAM·PAM은 사람 중심으로 설계돼 비인간 아이덴티티 증가에 부적합하고, 특히 국내 기업들은 서비스 계정·API 키의 문서화와 오너십이 불명확해 관리 성숙도가 낮아 에이전트 도입 시 유출·오남용 위험이 커집니다. 따라서 모든 비인간 아이덴티티에 대해 소유권 명확화, 최소 권한·적시 접근 부여, 토큰 회전·즉시 회수와 함께 승인 도구 제한·파라미터 검증·출력 필터링·런타임 모니터링·킬 스위치 등의 기술적 통제를 적용해 아이덴티티 관리 체계로 편입해야 합니다.