한 MCP 보안 감사, 경고 열 건 중 여덟이 오탐이었다 — 그런데도 에이전트는 계속 늘어난다

7월 13일 하루, arXiv에는 서로 다른 저자군이 쓴 세 편의 논문이 거의 동시에 올라왔다. 하나는 “지금 배포된 MCP 서버들을 대규모로 조사해 보니 보안 스캐너들의 판정이 서로 어긋나고 실제 위험을 과소탐지한다”는 논문이었고(arXiv 2607.11086, cs.CR), 다른 하나는 “LLM 에이전트가 표준운영절차(SOP)를 안전하게 따르게 하려면 자연어 지시가 아니라 컴파일된 프로그램으로 실행시켜야 한다”는 논문이었으며(arXiv 2607.11346, cs.AI), 마지막은 “여러 LLM 에이전트를 한 공간에 두면 서로를 효과적으로 탐색하지 못하고 근시안적·양극화된 상호작용에 빠진다”는 논문이었다(arXiv 2607.11250, cs.MA). 세 편 모두 arXiv의 cs.CR·cs.AI·cs.MA 카테고리에서 같은 날 나온, 서로 무관해 보이지만 사실은 하나의 문제를 각기 다른 각도에서 겨눈 논문들이었다.

같은 주, 업계 쪽에서는 다른 각도의 숫자가 나왔다. Gartner는 5월 26일자 보도자료에서 “AI 에이전트 전반에 획일적인 거버넌스를 적용하는 조직은 실패로 이어질 것”이라며, 2027년까지 기업의 40%가 프로덕션 사고 이후에야 드러난 거버넌스 공백 때문에 자율 AI 에이전트를 격하하거나 폐기하게 될 것이라고 전망했다(Gartner Newsroom, 2026-05-26). 같은 리서치 흐름을 보도한 다른 분석은 에이전트가 거버넌스 체계 구축 속도보다 7~8배 빠르게 프로덕션에 투입되고 있고, 고급 AI 보안 전략을 갖췄다고 답한 조직은 전체의 6%에 불과하다고 전한다(Synack, “Gartner SRM 2026: Cutting Through AI Noise in Cybersecurity”).

세 편의 학술 논문과 하나의 업계 전망을 나란히 놓으면 하나의 그림이 보인다. 에이전트를 짓는 속도가 에이전트를 지키는 속도를 앞질렀다. 그리고 그 격차를 메우려는 시도들이, 아직 결론에 이르지 못한 채로, 동시다발적으로 진행 중이다.

신뢰할 수 없는 파수꾼

금이 간 돋보기 렌즈가 여러 도형 블록을 검사하지만 일부 골드 블록이 검사 범위를 벗어나 있는 플랫 일러스트 스캐너 자체에 금이 가 있다면, 무엇을 통과시켰는지 알 수 없다.

Model Context Protocol(MCP)은 2년이 채 안 되는 사이 LLM 에이전트가 외부 도구·데이터에 접근하는 사실상의 표준 인터페이스로 자리 잡았다. 문제는 MCP 서버가 파일 시스템 접근, API 호출, 데이터베이스 쓰기 같은 보안 민감 작업을 대신 수행하기 시작하면서, “이 서버가 안전한가”를 판단하는 도구 자체의 신뢰성이 시스템 리스크가 됐다는 점이다.

7월 13일 올라온 대규모 런타임 연구(arXiv 2607.11086)는 실제 배포된 MCP 서버들을 표본으로 기존 보안 스캐너들을 검증했고, 스캐너 간 판정이 서로 어긋나며 실제 위험을 체계적으로 과소탐지한다는 결과를 냈다. 이 논문 하나만이었다면 학계의 경고 정도로 읽혔을 것이다. 그런데 별개의 실무 사례에서도 비슷한 방향의 숫자가 나왔다. 2026년 Cisco의 패턴 매칭 스캐너로 33개 로컬 MCP 서버를 점검한 한 보안 감사에서는, 스캐너가 탐지한 27건의 “위협” 중 실제로 유효한 보안 우려는 6건뿐이었다 — 이 감사 사례의 오탐률은 약 78%다(AppSecSanta, “MCP Server Security Audit 2026: Top Risks Found”). 원인은 YARA 규칙 같은 패턴 매칭 방식이 표준적인 MCP 도구 설명문을 그 자체로 위협 신호로 오인하기 때문이라고 이 감사는 지적한다 — 패턴 매칭과 의미 이해 사이의 간극이다. 별도의 실증 연구는 조사한 MCP 서버 중 7.2%가 일반적 취약점을, 5.5%가 MCP 고유의 “도구 오염(tool poisoning)” 취약점을 지녔다고 보고한다(arXiv 2506.13538, “Model Context Protocol at First Glance”).

정리하면, MCP는 기업이 에이전트에 실제 권한을 쥐여주는 관문이 됐는데, 적어도 이 감사 사례에서 그 관문을 지키던 스캐너는 열 건 중 여덟 건을 틀리게 판정했다. 범위도 방법도 다르지만 — 대규모 런타임 연구는 스캐너 간 판정 불일치와 과소탐지를, 이 개별 감사는 높은 오탐률을 각자의 표본 안에서 보고했다 — 두 결과 모두 “지금의 스캐너를 그대로 믿기는 어렵다”는 쪽을 가리킨다. 프로토콜이 성숙 속도보다 빨리 채택되면서 검증 도구가 뒤처져 있다는 신호다.

프로그램 안에 LLM을 가두는 법

단단한 기하학적 격자 프레임 중앙의 좁은 원 안에만 유동적인 무늬가 담겨 있는 플랫 일러스트 결정론적 구조가 바깥을, 확률적 추론이 안쪽 좁은 틈을 차지하는 역전.

같은 날 올라온 두 번째 논문(arXiv 2607.11346)은 다른 각도에서 같은 문제를 겨눈다. 기업이 에이전트에 맡기려는 업무 상당수는 장기적이고 조건부이며 안전이 걸린 표준운영절차(SOP)를 따라야 한다. 지금까지는 이 SOP를 자연어 산문으로 써서 프롬프트에 넣는 방식이 일반적이었는데, 논문은 이를 실행 가능한 의사코드로 컴파일하고, LLM은 그 프로그램이 요구하는 지점에서만 “의미 실행(semantic execution)“을 수행하는 역량 게이팅(capability-gated) 런타임을 제안한다. 저자들의 표현을 빌리면 “LLM을 프로그램 안에 두는 것이지, 프로그램을 LLM 안에 두는 것이 아니다” — 결정론적 제어 구조가 바깥을, 확률적 추론이 안쪽 좁은 틈을 차지하는 역전이다.

6개 모델을 3가지 조건으로 비교한 SOPBench 실험에서, 자연어 산문 방식의 성능이 부진했던 항목에 한해 컴파일된 SOP 방식이 최대 16.0점의 점수 향상을 보였다(arXiv 2607.11346). 향상 폭 자체보다 중요한 것은 방향성이다 — “LLM에게 더 잘 지시하는 법”이 아니라 “LLM이 지시를 어길 수 없는 구조를 만드는 법”으로 문제 설정이 옮겨가고 있다는 신호다. 앞 절의 MCP 보안 공백과 겹쳐 읽으면, 두 논문은 사실상 하나의 프런티어를 문제 제기(신뢰할 수 없는 도구 인터페이스)와 해법 시도(신뢰 가능한 실행 구조)로 나눠 다루고 있다.

탐색하지 못하는 군집

어두운 배경 위에 서로 연결선 없이 각자 다른 방향을 향해 흩어져 고립된 육각형들의 플랫 일러스트 같은 공간에 있어도, 서로를 탐색하지 않으면 군집이 아니라 고립이다.

세 번째 논문(arXiv 2607.11250)은 한 걸음 더 나아가 에이전트를 “여럿”으로 놓았을 때의 문제를 다룬다. 제목부터 직설적이다 — “다중 에이전트 LLM은 서로를 탐색하지 못한다(Multi-Agent LLMs Fail to Explore Each Other)”. 논문은 이를 부분관측 확률게임(POSG)으로 형식화해, 현재의 LLM 에이전트 군집이 근시안적이고 양극화된 상호작용에 빠져 차선의 조율과 늘어나는 후회(regret)를 보인다는 것이 이 연구의 결론이다. “여러 에이전트를 풀어놓으면 알아서 효율적으로 조율할 것”이라는 가정 자체가 무너진다는 부정적 결과다(arXiv 2607.11250).

이 결과는 앞선 실측 연구와도 맞물린다. 1,642건의 실제 실행 기록을 주석 분석한 MAST(Multi-Agent System Failure Taxonomy) 연구는 다중 에이전트 시스템의 실패 양상을 시스템 설계 결함·에이전트 간 불일치·과업 검증 세 갈래, 14개 유형으로 정리했고, 7개 최신 오픈소스 다중 에이전트 시스템에서 41~86.7%의 실패율을 실측했다(arXiv 2503.13657, “Why Do Multi-Agent LLM Systems Fail?”). “에이전트를 여러 개 풀어두면 일이 빨라질 것”이라는 직관과 이 실측 사이의 간극이, 이번 주 arXiv 논문 한 편으로 이론적 근거를 얻은 셈이다.

세 논문을 한 줄로 묶으면 이렇다. 도구 인터페이스는 지키는 사람 없이 뚫려 있고(MCP), 절차를 따르게 하려면 LLM을 프로그램 안에 가둬야 하며(SOP 런타임), 그 에이전트를 여럿 풀어놓으면 서로 탐색조차 제대로 못 한다(다중 에이전트). 이 세 신호를 묶으면 “에이전트 인프라 강화” 국면 — AI 배치 주기가 모델 성능 경쟁에서 신뢰성·제어·조율이라는 배관 작업으로 옮겨가는 시점 — 이라 부를 만하다. Gartner의 40% 격하·폐기 전망, 그리고 에이전트가 거버넌스보다 7~8배 빠르게 늘어난다는 관측은 이 학술적 경고가 이미 현장에서 벌어지고 있는 일의 이론적 뒤늦은 정리에 가깝다는 것을 보여준다.

소프트웨어 너머 — 하드웨어로 번지는 AI 물결

크림색 기판 위 중앙의 네이비 칩에서 사방으로 정갈한 회로 라인이 뻗어 나가는 플랫 일러스트 하나의 칩이 상황에 따라 다른 센서가 되는, 소프트웨어로 정의되는 하드웨어.

에이전트 신뢰성 문제와는 결이 다르지만, 비슷한 시기 발표된 다른 기술 뉴스는 AI의 경계가 소프트웨어를 넘어 물리 인프라 쪽으로 계속 밀려나고 있다는 것을 보여준다.

KAIST 항공우주공학과 김현정 교수팀은 MIT 후젠 후(Juejun Hu) 교수팀과 함께, 전기 신호만으로 기능이 바뀌는 초소형 메타표면 광학 칩을 세계 최초로 개발했다고 밝혔다. 36픽셀(6×6) 배열의 각 픽셀을 실리콘 PIN 다이오드로 개별 제어해 픽셀 간 전류 간섭을 차단했고, 상변화 소재를 써서 전원이 꺼져도 설정 상태가 유지된다. 이 칩 하나로 열영상 센서·분광기·적외선 카메라 역할을 하드웨어 교체 없이 오갈 수 있다는 것이 핵심이다(이뉴스투데이, 2026-07-14). 연구 결과는 7월 7일 Nature Communications에 게재됐다. 위성·발사체처럼 무게와 전력이 절대 제약인 페이로드에서, 임무마다 개별 센서를 따로 실어야 했던 설계 방식이 “소프트웨어로 정의되는 센서” 방식으로 바뀔 수 있다는 뜻이다. 김 교수팀은 2018년 NASA 연구원 시절 시작한 MIT 공동연구를 KAIST에서 발전시켜 온 것으로, 위성·우주정거장·광통신 등으로 응용을 확장하고 있다고 밝혔다(이뉴스투데이, 2026-07-14).

기상 예측 쪽에서는 확률적 시간 다운스케일링 기법 HourGlass(arXiv 2607.11457)가 눈에 띈다. 현재의 데이터 기반 기상예측 모델 대부분은 6시간 해상도에 묶여 있어, 재생에너지 급전·항공 관제·홍수 나우캐스팅처럼 6시간 미만 단위 의사결정이 필요한 영역에는 곧바로 쓰기 어렵다. HourGlass는 예측 상태 사이의 진화를 확률적으로 재구성해 이 해상도 격차를 메우려는 시도다. 신약 개발 쪽에서는 양자 다중커널학습을 정량적 구조-활성 관계(QSAR) 모델링에 적용한 Q²SAR(arXiv 2607.11701)가, 분자 구조를 지수적으로 큰 양자 힐베르트 공간에 인코딩해 독성·생체이용률 예측의 비선형 표현력을 높이려 한다. 두 논문 모두 아직 명시적 벤치마크 수치를 제시하는 단계는 아니며, 실제 제약·기상 데이터셋에서의 재현 여부는 12~36개월 뒤에나 확인할 수 있는 초기 신호다.

이 세 신호(광학 칩·기상 다운스케일러·양자 신약개발)를 앞의 에이전트 신뢰성 문제와 나란히 놓으면, 지금의 AI 물결이 두 개의 다른 속도로 동시에 진행 중이라는 게 보인다. 한쪽에서는 이미 실전에 배치된 소프트웨어 에이전트가 신뢰성·보안·조율이라는 뒤늦은 배관 공사를 겪고 있고, 다른 한쪽에서는 센서·기상·신약개발처럼 아직 실전 검증 이전 단계의 하드웨어·과학 응용이 학술 프리프린트 형태로 조용히 쌓이고 있다. 전자는 “너무 빨리 풀어놓은 것을 다시 가두는” 국면이고, 후자는 “아직 풀어놓지 않은 것을 검증하는” 국면이다.

남는 질문

이 세 논문이 공통으로 던지는 질문은 이렇다.

신뢰성 배관 공사가 배포 속도를 따라잡을 수 있는가. 한 MCP 감사의 오탐률 78%, 7개 오픈소스 다중 에이전트 시스템의 실패율 41~~86.7%, 에이전트가 거버넌스보다 7~~8배 빠르게 늘어난다는 관측 — 이 세 수치는 서로 다른 출처(실무 감사·학술 실측·업계 리서치)에서 나왔고 각자 범위가 다르지만, 같은 그림을 그린다. SOP 컴파일 런타임 같은 구조적 해법이 학계에서 막 제안되기 시작했다는 것은, 문제 인식과 해법 사이의 시차가 이제 막 좁혀지기 시작했다는 뜻이기도 하다.

기업이 에이전트 인프라에 투자하고 있다면, MCP 서버 보안 태세를 지금 감사하고 다중 에이전트 파일럿에 명시적 탐색·조율 스캐폴딩을 추가하는 것이 이 세 논문이 가리키는 실질적인 다음 걸음이다.

다음에는 이 신호들 — 특히 SOPBench의 실제 기업 채택 여부와 MCP 보안 벤더의 대응 — 이 어떻게 이어지는지 다시 살피겠다.

참고 자료

본문의 arXiv 논문 사실은 각 프리프린트 원문에 근거합니다.

이 글은 AI 기술 흐름 관찰을 목적으로 하며, 투자 조언·종목 추천·매매 신호를 포함하지 않습니다. 인용된 arXiv 프리프린트는 대부분 동료심사 이전 단계이며, 본문에 표기한 수치·벤치마크는 각 논문 저자가 보고한 자체 실험 결과로 독립 재현이 확인된 것은 아닙니다.