브렉스, AI 에이전트 요청 차단 프록시 공개

브렉스(Brex)가 인공지능(AI) 에이전트의 외부 HTTP·HTTPS 요청을 실시간으로 허용하거나 차단하는 오픈소스 프록시 CrabTrap을 공개했다. 프롬프트나 코드 안의 제한을 넘어 네트워크 트래픽 단계에서 에이전트의 실행 권한을 통제하는 도구다.

피에드로 프란체스키(Pedro Franceschi) 브렉스 공동창업자 겸 최고경영자는 4월 21일 공식 엔지니어링 블로그에서 CrabTrap을 소개했다. CrabTrap은 AI 에이전트와 외부 응용프로그램인터페이스(API) 사이에서 요청을 가로채 정책에 맞는 통신만 전달한다.

AI 에이전트는 목표를 수행하기 위해 스스로 판단해 작업이나 거래를 실행하는 시스템이다. 실제 자격증명이나 API 키, OAuth 토큰, 서비스 계정을 부여받으면 답변의 정확성뿐 아니라 어떤 시스템에 접근해 무엇을 실행할 수 있는지가 보안의 핵심이 된다.

브렉스는 기존 통제 방식이 모델컨텍스트프로토콜(MCP) 게이트웨이처럼 특정 프로토콜에 묶이거나 모델 제공업체의 가드레일처럼 단일 모델에 의존할 수 있다고 봤다. 이에 특정 에이전트나 모델에 종속되지 않도록 전송 계층에서 외부 통신을 검사하는 구조를 택했다.

도입 방식은 HTTP_PROXY와 HTTPS_PROXY 환경변수의 연결 대상을 CrabTrap으로 지정하는 형태다. 에이전트가 보내는 외부 요청은 프록시를 거치며, HTTPS 통신은 자체 인증기관(CA)을 이용한 전송계층보안(TLS) 중간 복호화 방식으로 검사한다.

컨테이너 환경에서는 iptables 설정을 이용해 프록시를 우회하는 직접 연결도 차단할 수 있다. 프록시 설정만 바꾸고 우회 경로를 열어두면 에이전트가 감시 대상 밖으로 요청을 보낼 수 있다는 점을 고려한 장치다.

요청 판정은 두 단계로 이뤄진다. 먼저 URL 패턴을 기반으로 한 정적 규칙이 요청을 검사하고, 명시된 규칙으로 판단하기 어려울 때 대형언어모델 판정기가 자연어 보안 정책과 요청 정보를 분석한다.

대형언어모델 판정기는 허용(ALLOW)이나 거부(DENY) 결과를 구조화된 JSON 형식으로 반환한다. 허용 규칙과 거부 규칙이 충돌하면 거부 규칙이 우선해 요청을 차단한다.

정적 규칙은 결과가 예측 가능하고 처리 비용이 낮지만 미리 정의되지 않은 요청에 대응하기 어렵다. 대형언어모델 판정은 자연어 정책을 적용할 수 있는 대신 결과가 확률적이라는 한계가 있어 두 방식을 함께 배치한 구조다.

CrabTrap은 실제 트래픽을 분석해 정책 초안을 만드는 정책 빌더도 제공한다. 관리자가 모든 허용·차단 규칙을 처음부터 작성하는 대신 과거 네트워크 호출을 바탕으로 정책을 구성하도록 지원한다.

과거 감사 로그를 다시 실행해 정책 변경 전후의 판정 결과를 비교하는 평가 시스템도 포함됐다. 모든 요청과 판정 기록은 포스트그레SQL(PostgreSQL)에 저장돼 어떤 요청이 어디로 나갔고 어떤 정책으로 처리됐는지 추적할 수 있다.

브렉스는 CrabTrap을 실제 운영 환경에서 사용하고 있다. 특정 운영 사례에서 대형언어모델 판정기가 개입한 비율은 전체 요청의 3% 미만이었다. 다만 이는 정적 규칙과 트래픽 구성이 정해진 한 사례의 수치로, 다른 조직이나 에이전트 환경에 그대로 적용되는 지표는 아니다.

결제와 지갑, 거래소 API처럼 자산 이동과 연결되는 서비스에서는 에이전트의 외부 요청을 기록하고 제한하는 기능이 중요해질 수 있다. 본지는 앞서 AI 에이전트가 유에스디코인(USDC)으로 결제할 수 있는 기능을 코인베이스($COIN)가 지원한 사례를 전했다. 에이전트가 거래와 결제를 직접 수행할수록 실행 권한과 통신 경로에 대한 통제가 함께 요구된다.

피들러 AI(Fiddler AI)는 프록시형 도구가 실시간 정책 집행의 필요성을 보여준다고 평가했다. 다만 기업용 거버넌스에는 텔레메트리와 평가, 모니터링, 정책 집행, 감사 체계가 함께 작동해야 해 프록시만으로 전체 보안 체계를 대체하기는 어렵다고 지적했다.

공개 개발자 토론에서는 오픈소스화와 네트워크 계층 접근을 긍정하는 의견과 대형언어모델 판정의 확률성을 우려하는 견해가 함께 나왔다. CrabTrap의 감시 범위도 외부 HTTP·HTTPS 요청으로 한정돼 파일 읽기와 셸 실행, 비HTTP 통신은 별도로 통제해야 한다. 브렉스는 AI 에이전트의 외부 HTTP·HTTPS 요청을 통제하는 CrabTrap을 오픈소스로 공개했다.