AI 에이전트가 클라우드 과금 통제를 앞질러 가고 있다

들어가며

AI 에이전트는 클라우드 비용 리스크의 속도를 바꾸고 있다. 과거에는 클라우드 키가 탈취돼도 공격자가 인스턴스를 띄우고 워크로드를 숨기며 채굴 같은 방식으로 수익화해야 했다. 하지만 생성형 AI 서비스 접근 권한이 있는 자격 증명이 노출되면, 모델 API 호출 자체가 곧바로 고액 청구로 이어질 수 있다.

핵심 내용

• 직원 3명의 한 회사는 평소 AWS 월 청구액이 10~15달러 수준이었다. 그러나 EC2 인스턴스에 저장된 정적 액세스 키가 탈취된 뒤, 공격자가 Amazon Bedrock의 Claude를 대량 호출하면서 하루에 약 1만4000달러 비용이 발생했다.
• DN42 사건에서는 운영자가 자율 에이전트에 광범위한 AWS 권한을 부여했다. 에이전트는 스캔 작업을 위해 m8g.12xlarge 인스턴스 5대, 로드밸런서, Lambda, 이중화와 장애 조치가 필요하다고 판단했고 CloudFormation 템플릿을 반복 적용했다. 그 결과 신용카드에는 6531.30달러가 청구됐고, 이후 AWS와의 협의를 통해 1894달러로 감면됐다.
• 두 사건의 공통점은 탐지가 늦었다는 점이다. 사용자는 AWS 예산 알림이 아니라 카드 청구를 보고 이상을 알았다. Cost Explorer의 과금 데이터는 약 24시간 지연될 수 있고, AWS Budgets도 이 지연된 데이터에 의존한다.
• 생성형 AI 자격 증명은 공격자에게 더 직접적인 표적이다. Bedrock 접근 권한이 있으면 별도 인프라를 운영하지 않고도 API 호출만으로 빠르게 비용을 만들 수 있다.

의미와 영향

이 문제는 단순히 에이전트가 잘못 판단했다는 이야기가 아니다. 자동화된 리소스 소비는 실시간에 가깝게 증가하는데, 비용 가시성은 하루가량 늦게 따라오는 구조적 불일치가 드러난 것이다. 예산과 비용 이상 탐지는 필요하지만, 첫 번째 방어선이 아니라 최후의 안전망에 가깝다.

더 효과적인 방식은 위험한 호출이 발생하는 순간 차단하거나 감지하는 것이다. 에이전트 워크로드는 전용 멤버 계정에서 실행하고, SCP로 대형 인스턴스와 사용하지 않는 모델을 거부해야 한다. 정적 키 대신 IAM 역할이나 단기 토큰을 쓰고, Bedrock 권한은 실제 애플리케이션이 호출하는 모델로 제한하는 편이 안전하다. RunInstances, InvokeModel, CreateStack 같은 이벤트를 CloudTrail로 감시하면 과금 데이터가 반영되기 전에도 이상 행동을 포착할 수 있다.

결국 AI 에이전트에 클라우드 자격 증명을 주는 일은 실험용 편의가 아니라 운영 환경 키를 배포하는 행위에 가깝다. 기업은 폭발 반경을 먼저 설계해야 하며, 클라우드 사업자 역시 리소스 소비와 비용 가시성 사이의 시간차를 줄여야 한다.

출처: InfoQ 中文