Grab의 Palana, AI 에이전트 보안을 인프라 계층으로 끌어내리다

들어가며

AI 에이전트가 실험실 데모를 넘어 실제 운영 환경으로 들어오면서 기업의 보안 고민도 달라지고 있다. 전통적인 애플리케이션은 대체로 개발자가 정의한 흐름을 따라 움직인다. 반면 에이전트는 모델의 판단에 따라 도구를 호출하고, 외부 API에 접근하며, 저장소를 읽거나 코드를 수정하고, 긴 작업을 이어갈 수 있다. Grab의 사이버보안 및 플랫폼 엔지니어링 팀은 이러한 특성을 다루기 위해 Palana를 만들었다.

핵심 포인트

• 격리 영역을 신뢰 단위로 사용: Palana는 제로 트러스트 모델을 바탕으로 각 에이전트에 별도의 Kubernetes 네임스페이스를 할당한다. 여기에 엄격한 RBAC, 맞춤형 네트워크 정책, 분리된 서비스 계정을 적용해 한 에이전트의 문제가 다른 워크로드나 기본 클러스터로 번지는 것을 줄인다.
• 비밀정보를 에이전트에 직접 주지 않음: 환경변수나 마운트 파일로 고가치 토큰을 전달하는 방식은 자율형 에이전트에서는 위험하다. Palana는 에이전트가 볼 수 있는 자리표시자 토큰과 프록시만 사용할 수 있는 실제 비밀정보를 분리한다. 민감한 인증정보는 HashiCorp Vault에 저장된다.
• 외부 통신을 중앙 통제 지점으로 전환: 모든 HTTP/HTTPS 아웃바운드 트래픽은 Envoy 프록시와 Open Policy Agent 규칙을 실행하는 외부 인가 서비스를 거친다. 이 계층은 목적지 검증, 헤더 평가, 토큰 치환, 구조화된 감사 로그 생성을 담당한다.
• 실행 제어를 에이전트 밖에 둠: 손상된 에이전트가 스스로 멈춘다고 기대할 수 없기 때문에 Palana는 중단과 회수 제어를 런타임 외부에 둔다. 제어 평면에서 네트워크 수준의 차단 스위치를 실행하고, 외부 회수 장치가 유휴 워크로드를 종료할 수 있다.
• Kubernetes 네이티브 운영 모델: 각 에이전트는 커스텀 리소스로 모델링되고 Kubernetes operator가 네임스페이스, 스토리지, 네트워크 정책, 진입 경로를 조정한다. 플랫폼 팀은 인프라 코드 방식으로 대규모 에이전트 수명주기를 관리하고 감사할 수 있다.

의미와 영향

Palana의 중요한 점은 모델 기반 에이전트가 항상 예측 가능하게 행동한다고 가정하지 않는다는 데 있다. 대신 비결정성을 워크로드의 본질로 받아들이고, 그 주변에 결정적인 인프라 경계를 세운다. 기업 관점에서는 현실적인 보안 전략이다. 원본 비밀정보를 에이전트에 노출하지 않고, 네트워크 접근을 기본적으로 제한하며, 민감한 외부 호출을 관찰 가능하고 통제 가능한 경로로 만들기 때문이다.

이 사례는 에이전트 플랫폼의 경쟁 기준이 단순히 “도구를 호출할 수 있는가”에서 “도구를 안전하고 감사 가능하며 회수 가능한 방식으로 사용할 수 있는가”로 이동하고 있음을 보여준다. 코드 작성 보조, 운영 자동화, 업무 프로세스 자동화에서 에이전트 사용이 늘어날수록 ID 격리, 이그레스 거버넌스, 비밀정보 프록시, 수명주기 관리는 생산 환경의 기본 요건이 될 가능성이 크다.

다만 Palana는 인프라 계층의 위험을 줄이는 장치이지 모든 에이전트 실패 모드를 해결하는 만능책은 아니다. 프롬프트 인젝션, 도구 오용, 목표 이탈, 환각으로 인한 잘못된 행동은 여전히 평가, 권한 설계, 사람의 승인, 작업 등급화와 함께 관리해야 한다. Palana의 역할은 그런 문제가 발생하더라도 피해 범위를 더 작은 경계 안에 머물게 하는 데 있다.

출처: InfoQ 中文