통제를 잃지 않고 AI 에이전트에 접근 권한을 주는 방법

빠른 길——에이전트에 관리자 권한을 주고 세부는 나중에 정리하는 것——은 팀이 화상을 입는 바로 그 피해 범위를 만듭니다. 이를 피하는 층 모델을, 실제로 출시된 것과 한 줄씩 대조해 보여 줍니다.

AI 에이전트를 실제 시스템에 연결하는 가장 빠른 방법은, 입사 첫날 신규 입사자에게 줄 것과 같은 접근 권한을 주는 것입니다. 전체 관리자, 모든 도구, 세부는 나중. 접근 권한을 제대로 좁히는 데는 시간이 듭니다. 에이전트가 만질 수 있는 도구, 읽을 수 있는 데이터, 먼저 확인하지 않고 해도 되는 일을 누군가 정해야 합니다. 이미 빠듯한 작은 팀에서는 그 속도를 늦추는 사람이 되고 싶지 않습니다. 그래서 기본값은 “그냥 접근 권한을 주자”가 되고, 모두 다음 일로 넘어갑니다.

그 본능은 틀렸습니다. 이유는 오늘 에이전트가 신뢰할 만해 보이는지와 아무 관계가 없습니다. 그렇지 않은 날에 무슨 일이 일어나는가입니다. 관리자급 도달 범위를 가진 에이전트가 일상적인 실수를 하거나, 읽으라고 한 문서 속에 묻힌 오염된 지시를 받거나, 도구 호출이 무엇을 할지에 대해 자신 있게 틀리면, 이제 관리자의 도달 범위를 갖습니다. 실패는 어깨를 으쓱하고 넘길 수 있는 나쁜 챗봇 답변이 아닙니다. 침해된 관리자 계정의 피해 범위입니다. 다만 기계 속도로, 닿는 모든 시스템에 걸쳐, 피해가 쌓이기 전에 실시간으로 잡을 사람이 아무도 보지 않은 채 행동할 수 있습니다.

피해 범위를 실제로 가두는 층

AI 에이전트를 위한 좋은 접근 설계는 켜는 스위치 하나가 아닙니다. 서로 쌓인 여섯 개의 별도 결정이며, 각 층은 첫 실수가 훨씬 큰 실수로 바뀌는 특정한 길을 막기 위해 있습니다. 한 층을 건너뛰어도 아무것도 단순해지지 않습니다. 실패 지점을 덜 보이는 곳으로 옮겼을 뿐입니다.

이 여섯 층 중 어느 것도 특별한 기술이 아닙니다. 각 층은 그 위 층이 크게 열어 둔 구멍을 닫습니다. 신원만으로는 너무 넓은 도구 접근을 막지 못하고, 허용 도구 목록만으로는 조용하고 되돌릴 수 없는 동작을 막지 못합니다. 쌓여야만 작동합니다.

신원: 하나의 로그인, 그림자 로그인이 아니라

신원부터 시작하는 이유는 그 위의 모든 것이 신원에서 이어지기 때문입니다. 에이전트 접근이 IT가 존재를 모르는 로그인에 묶여 있으면, 이후 층은 의미가 없습니다. 있다는 사실조차 몰랐던 허가는 철회할 수 없습니다. FabricLoop의 Enterprise 요금제는 SSO와 SAML로 워크스페이스를 조직의 신원 공급자에 연결합니다. 이메일과 회사의 나머지 소프트웨어 로그인을 이미 통제하는 바로 그 방식입니다. 이는 에이전트 접근에 특히 중요합니다. AI 연결과 평범한 협업 접근이 두 이야기가 아니라 하나의 신원 이야기를 통과하기 때문입니다. IT가 신원 공급자에서 누군가의 프로비저닝을 해제하면, 그 한 번의 동작이 FabricLoop 접근을 제거하고, 그와 함께 그 로그인에 묶인 MCP 연결도 제거합니다. 아무도 정리할 생각을 하지 못하는 고아 에이전트 자격 증명을 남기는 것이 아닙니다.

사람별 허가, 양방향으로

FabricLoop의 AI 연결은 두 방향으로 움직이며, 같은 원칙——팀 전체가 공유하는 자격 증명 없음——이 둘 다에 적용됩니다.

인바운드는 Cursor, Claude, ChatGPT 같은 외부 도구가 MCP 클라이언트로 FabricLoop에 연결되어, 누군가의 실제 권한으로 작업, 노트, 메시지를 읽거나 쓰는 경우입니다. FabricLoop의 설정 안내는 이것이 사람별 절차라고 명시합니다. 각 사람이 app.fabricloop.com/oauth/consent의 동의 화면을 열고, 워크스페이스를 고르고, 그 클라이언트가 받는 특정 도구 범위를 승인합니다. 관리자가 모두를 위해 한 번 켜는 워크스페이스 전체 스위치가 아닙니다. 팀에 주는 안내는 이것이 막도록 만들어진 실패 방식을 직접 이름 붙입니다. 한 사람의 액세스 토큰을 팀과 공유하지 마십시오. 각 사람이 자기 동의를 마쳐야 하기 때문입니다. 결과는 사람별로 보이고 사람별로 철회할 수 있는 연결된 클라이언트 목록입니다. 만들어진 이유보다 오래 사는, 설정 파일에 묻힌 액세스 토큰이 아닙니다.

아웃바운드는 거울 사례입니다. FabricLoop가 자체 MCP 카탈로그의 서드파티 앱, 예컨대 프로젝트 추적기나 캘린더 도구로 밖으로 연결합니다. 여기서 나눔은 의도적입니다. 관리자가 워크스페이스 전체에 앱을 켭니다. 그 도구가 조직 안에 존재해도 되는지에 대한 결정입니다. 그다음 쓰려는 각 사람이 자기 개별 계정을 연결합니다. 관리자가 그 스위치를 켠다고 모든 직원의 신원을 앱에 넘기는 것은 아닙니다. 선택지를 쓸 수 있게 할 뿐이며, 연결이 무엇을 하기 전에 각 사람은 여전히 자기 자신으로 인증해야 합니다.

범위: 읽기 전용, 또는 허용 목록. 전부 아니면 전무가 아니라

신원은 누구인지에 답합니다. 사람별 허가는 누구의 계정인지에 답합니다. 둘 다, 실수의 크기를 실제로 정하는 질문에는 답하지 않습니다. 연결이 살아 난 뒤 무엇을 할 수 있는가입니다. 그것이 세 번째 층의 일입니다.

연결된 앱의 상세 화면에서 관리자는 표시 이름을 정하고, 읽기 전용 모드를 켜고, 도구 정책을 고를 수 있습니다. 사용 가능한 모든 도구이거나, 특정 허용 목록입니다. “이 에이전트는 우리 작업 보드를 읽을 수 있다”와 “이 에이전트는 작업 보드를 읽고, 레코드를 삭제하고, 담당자를 다시 배정하고, 모든 채널에 게시할 수도 있다”의 차이입니다. 대부분의 연결에는 두 번째가 필요 없습니다. 사람들이 두려워하는 방식으로 에이전트 접근이 잘못되는 이야기 대부분은, 제한하는 칸을 아무도 확인하지 않아 기본적으로 모든 도구가 부여된 연결에서 시작합니다.

FabricLoop의 보안 페이지는 그 결과로 생기는 허가를 “범위가 정해진” 것이며, 명시적으로 “영구적이고 보이지 않는 접근이 아니다”라고 설명합니다. 감사되고 철회됩니다. 회사가 가독성을 설명하는 페이지에서 쓰는 것과 같은 말입니다. 가독성은 AI 접근이, 어떤 오래된 봇 토큰이 아직 작동하는지에 대한 구전으로만 아는 지식이 아니라, 이름을 붙이고 들여다볼 수 있는 것이어야 한다는 생각입니다.

실행 시 동작: 에이전트가 초안하고, 사람이 보낸다

이 층 위는 에이전트가 어디까지 닿을 수 있는지를 통제합니다. 이 층은 거기 도착한 뒤 무엇을 해도 되는지를 통제합니다. 그리고 가장 느리게 느껴져서 대부분의 팀이 건너뛰는 층입니다.

FabricLoop의 내장 도우미인 Loop는 회사가 제품 문서에서 분명하게 밝힌 제약 위에 만들어졌습니다. “Loop는 초안한다. 보내는 것은 당신이다. 채널에 스스로 게시하지 않고, 누구에게도 스스로 알리지 않는다.” 스레드 요약을 부탁하면 요약합니다. 업데이트를 쓰라고 하면 초안을 씁니다. 다른 사람이 보기 전에 사람이 검토하고 보내야 합니다. 채널에 팀원으로 있는 에이전트도 같은 패턴입니다. 그런 에이전트 중 하나가 사람의 결정을 기다릴 때, 짐작하고 진행하지 않습니다. 그 채널의 앱 및 에이전트 탭에서 “당신을 기다리는 중” 아래에 나타납니다. 팀이 이미 확인하는 바로 그 화면이지, 아무도 존재를 기억하지 못하는 별도 콘솔이 아닙니다.

이것이 에이전트 프레임워크 문헌이 ask_human / resume 패턴이라고 부르는 것의 실제 형태입니다. 판단이 필요한 지점에서 에이전트는 멈추고, 묻고, 사람이 답한 뒤에만 이어갑니다. FabricLoop는 그 바탕 생각을 인간 개입 비율로 틀 짓습니다. “에이전트가 사람을 얼마나 자주 필요로 하는가”를 공학으로 없앨 실패로 다루는 것이 아닙니다. 에이전트를 운영하는 모든 팀이 사고 중에 처음으로 발견하는 대신, 실제로 측정하고 그에 맞게 설계해야 하는 숫자입니다.

회로 차단기: 실행을 실제로 멈추는 지출 한도

접근 통제는 에이전트가 무엇을 읽거나 바꿀 수 있는지만의 문제가 아닙니다. 얼마의 비용을 쓸 수 있는지의 문제이기도 합니다. 폭주한 에이전트는 아무도 보지 않는 루프에서 비싼 모델 호출을 하고 있다면, 민감한 것에 닿지 않아도 실제 피해를 낼 수 있습니다.

FabricLoop 유료 요금제의 관리자는 사용량 및 결제에서 에이전트 사용의 월 지출 한도를 정하고, 지출이 그 숫자에 닿는 순간 새 에이전트 작업을 자동으로 일시 중지하는 하드 스톱을 켤 수 있습니다. 모니터링 대시보드가 아니라 진짜 회로 차단기입니다. 월말에 청구서가 높았다는 것을 알아채는 것과, 누군가 정한 숫자를 넘는 순간 새 에이전트 실행이 스스로 멈추는 것의 차이입니다. 무료 워크스페이스에는 달러 한도가 없습니다. 제한할 운영 지출이 없기 때문입니다. 대신 포함된 테스트 전용 크레딧으로 돌아갑니다. 그 자체로 범위 제한이며, 적용 방식만 다릅니다. 유료 요금제에서는 하드 스톱이 발동한 뒤 재개하는 유일한 방법이 한도를 올리는 것입니다. 그 순간에 원하는 마찰이 바로 이것입니다. 시스템이 조용히 무제한으로 되돌아가는 대신, 누군가 더 쓰겠다고 능동적으로 결정해야 합니다.

감사와 철회: 한 사람, 또는 모두를 한 번에

마지막 층은 앞의 다섯 층이 언젠가 어딘가에서 누군가에게 실패할 것이라고 가정하고, 그다음에 무슨 일이 일어나는지 묻습니다.

FabricLoop는 두 종류의 철회를 나누며, 그 구분이 중요합니다. “내 연결 철회”는 누구에게나 열려 있고, 그 사람의 접근만 즉시 끊습니다. 도구는 그 사람에게는 멈추고, 같이 연결된 팀의 다른 사람에게는 닿지 않습니다. “워크스페이스에서 앱 비활성화”는 관리자 전용이며 더 넓은 동작입니다. 앱을 완전히 보관하고 그 앱으로의 모든 연결을 한 번에 철회합니다. 문제가 한 사람의 계정이 아니라 앱 자체인 경우를 위한 것입니다. 인바운드 쪽에도 같은 나눔이 있어, 누구나 설정 → AI / MCP에서 자신이 연결한 MCP 클라이언트를 즉시 철회할 수 있습니다.

누군가 플러그를 뽑기로 하기 전에 무슨 일이 있었는지 보이지 않으면, 이 중 아무것도 의미가 없습니다. FabricLoop의 Enterprise 감사 로그는 로그인 기록만이 아닙니다. 회사는 관리자와 에이전트 활동을 다룬다고 설명하며, 가독성 개념에 대한 자체 자료는 “MCP 감사 이벤트”를 맥락에서 추론하는 것이 아니라 보안팀이 검토할 수 있는 것으로 구체적으로 이름 붙입니다. 보안팀이 “누가 이것을 건드렸는가”라고 물어 진짜 답을 얻는 것과, 오래된 메시지와 그날 오후 에이전트가 무엇을 하는 듯 보였는지에 대한 누군가의 기억으로 시간선을 다시 짜는 것의 차이입니다.

FabricLoop가 아직 사실이 아니라고 말하는 것

위의 모든 주장은 FabricLoop가 실제로 출시한 것입니다. 아직 출시하지 않은 것에 대해서도 그만큼 분명할 가치가 있습니다. 앞부분만 말하는 회사는 믿음으로 신뢰해 달라고 부탁하는 것이고, 믿음은 읽을 수 있는 보안 태세가 의미하는 바가 아닙니다.

FabricLoop의 보안 페이지는 오늘 사실인 것을 나열한 뒤, “아직 갖춰지지 않음”이라고 분명하게 제목을 붙인 별도 섹션에서 세 가지 구체적 공백을 이름 붙입니다. SOC 2 또는 ISO 27001 인증, 제3자 침투 테스트, SCIM 프로비저닝입니다. 페이지의 틀은 공급업체 보안 페이지치고는 이례적으로 직접적입니다. 다른 공급업체가 가진 인증을 모두 나열하는 대신, 지금 정확히 사실인 것과 아직 갖춰지지 않은 것을 여기 적는다고 말합니다. 고객이 나중에 알게 두는 것보다 분명하게 말하는 쪽을 택하기 때문입니다.

에이전트를 회사의 실제 데이터에 연결할지 저울질하는 팀에게, 이것은 모호한 위험이 아닙니다. 보안 검토에서 제기하고, 추적하고, 갱신 전에 다시 확인할 수 있는, 이름이 붙고 확인 가능한 세 항목입니다. 명시된 공백 목록은 모든 것이 괜찮다는 모호한 보장보다 가치가 있습니다. 확인할 수 있기 때문입니다. 개념으로서의 가독성 뒤에 있는 것도 같은 논거입니다. 이름을 붙이고 검증할 수 있는 접근과 태세가, 그냥 믿어 달라고 부탁받는 접근과 태세보다 낫습니다.