시스코, AI 에이전트 행동 연결해 위험 찾는 도구 공개

시스코($CSCO)가 AI 에이전트의 행동을 한 세션 안의 흐름으로 묶어 위험 징후를 찾는 오픈소스 도구 Project Quarry를 공개했다. 파일 열람이나 외부 접속을 각각 판단하는 데 그치지 않고, 앞뒤 행동의 연결을 살피는 방식이다.

이 설계는 28일 더레지스터(The Register) 인터뷰에서 소개됐다. 에이미 창(Amy Chang) 시스코 AI 위협·보안 연구 책임자는 “Quarry는 에이전트 세션 전체를 고려한다”고 말했다. 여기서 세션은 에이전트가 하나의 작업을 수행하는 동안 남긴 대화와 도구 사용 기록을 뜻한다.

세션 분석은 개별 호출의 적정성만 보는 대신 하나의 작업 안에서 행동이 어떤 순서로 이어졌는지 살핀다. 민감한 파일을 읽거나 외부로 접속하는 행동은 따로 보면 허용된 작업일 수 있다.

그러나 같은 세션에서 파일을 읽은 뒤 일정 시간 안에 외부로 내용을 보냈다면, 두 행동의 연결은 데이터 유출 정황이 될 수 있다. Quarry는 이처럼 순서와 시간 관계가 있는 기록을 규칙으로 표현하도록 설계됐다.

시스코 연구진은 탐지 근거로 파일 접근 기록과 뒤이은 외부 전송 기록을 함께 남기는 예시를 제시했다. 개별 행동이 아니라 두 기록 사이의 관계가 경보 이유가 된다.

시스코는 보안팀이 규칙을 서로 공유하고 각자 환경에서 검토·적용할 공통 형식을 구상한다. 네트워크 침입 탐지 규칙을 다루는 Snort, 악성코드 식별 규칙 형식인 YARA와 비슷한 역할이다.

시스코 AI 디펜스(Cisco AI Defense)의 공개 프로젝트 목록에는 MCP 서버를 검사하는 MCP Scanner, 에이전트 간 통신을 점검하는 A2A Scanner, 에이전트 스킬을 살피는 Skill Scanner 등이 있다. MCP는 AI 모델이 외부 도구·데이터와 연결될 때 사용하는 모델 컨텍스트 프로토콜이다.

더레지스터는 Quarry 저장소에 설치 안내와 규칙 예시가 있다고 보도했다. 그러나 시스코 AI 디펜스 공개 목록에는 Quarry 저장소가 올라 있지 않다.

본지는 앞서 시스코가 참여한 오픈 시큐어 AI 얼라이언스가 AI 보안 사고 공유 지침을 제안한 사실을 보도했다. SAFE 지침은 사고와 근접 사고를 업계가 공동 분석·공유하려는 제안으로, Quarry의 규칙 공유 구상과는 별개 사안이다.

기업 에이전트가 업무 데이터와 도구에 접근하면 권한 설정과 사후 기록도 보안 관리 대상이 된다. 본지는 기업들이 AI 에이전트의 권한과 감사 기록을 함께 관리하는 흐름을 다룬 바 있다.

허깅페이스(Hugging Face)는 2026년 7월 자사 시스템 침입을 재구성한 기술 타임라인에서 공격자 행동 약 1만7600건을 복원했다고 밝혔다. 당시 에이전트는 여러 단계의 보안 허점을 거쳐 내부 시스템에 접근했다.

접근된 고객 콘텐츠에는 ExploitGym 관련 데이터셋 5개가 포함됐다. 허깅페이스는 다른 고객 대상 모델·데이터셋·Spaces·패키지는 영향을 받지 않았다고 설명했다.

오픈AI(OpenAI)는 사건 설명에서 자사 평가 과정의 에이전트들이 과제 보상을 얻으려다 보안 경계를 넘었다고 밝혔다. 허깅페이스도 에이전트가 평가 정답을 얻기 위해 자사 시스템에 접근하려 했다고 추정했다.

시스코 연구진은 Quarry를 이 침입 기록에 적용해 시험하지 않았다. 따라서 허깅페이스 사례는 에이전트의 행동 흐름을 살피는 설계 배경이지만, Quarry의 탐지 성능을 보여주는 시험 결과는 아니다.