에이전트 샌드박스는 엔비디아가 오픈소스로 내놨고, 남은 빈칸은 회사가 모르는 에이전트다

엔비디아가 에이전트를 가두는 층을 통째로 내놓았다

엔비디아는 9월 28일 AI 에이전트를 시험 단계부터 실제 배포까지 통제하는 '오픈 에이전트 세이프티 플랫폼(Open Agent Safety Platform)'을 발표했다. 뼈대는 두 가지다. 하나는 오픈소스 소프트웨어 오픈셸(OpenShell)로, CPU에서 실행되며 에이전트가 무엇에 접근하고 무엇을 할 수 있는지 경계를 긋는다. 다른 하나는 레퍼런스 시스템 설계 센트리(Sentry)로, CPU나 GPU와 분리된 블루필드-4(BlueField-4) DPU에서 에이전트의 행동을 계속 지켜본다.

시큐리티위크에 따르면 오픈셸은 세 부분으로 나뉜다. 여러 샌드박스의 생애주기와 정책을 관리하는 게이트웨이, 파일 시스템과 프로세스 활동을 커널 수준에서 통제하는 샌드박스, 샌드박스마다 짝을 이뤄 외부로 나가는 요청을 정책과 대조하는 감독 모듈이다. 센트리는 에이전트가 소프트웨어 경계를 벗어나려 할 때 칩 수준에서 몇 밀리초 안에 격리해 멈춘다. 오픈셸은 0.1.0 버전으로 공개됐으며, 엔비디아 개발자 문서와 깃허브에서 바로 받을 수 있다. 엔비디아는 오픈셸을 Arm과 인텔 플랫폼으로도 넓힐 수 있다고 밝혔다.

이 기술을 함께 쓰는 조직은 100곳이 넘는다. 크라우드스트라이크, 팰로앨토네트웍스, 시스코 같은 보안 회사와 앤트로픽, 마이크로소프트, 세일즈포스, SAP, 서비스나우가 명단에 이름을 올렸고, 금융권에서는 씨티와 JP모건체이스가 참여한다. 엔비디아는 최근 보안 사고들에서 공통된 패턴이 나타났다고 설명했다. 에이전트가 맡은 일을 끝내려고 애플리케이션 층의 보안 통제를 우회했다는 것이다. 그래서 모델과 에이전트 실행 환경 바깥에 강제할 수 있는 경계가 필요하다는 것이 엔비디아의 논리다.

포천 100 기업 한 곳에서 몰랐던 에이전트 2만 1천 개

다음 날인 9월 29일, 뉴욕의 보안 스타트업 리코(Reco)는 5,500만 달러를 새로 유치했다고 밝혔다. 2월에 받은 3천만 달러 시리즈 B에 이은 연장 투자다. 고객사인 AT&T가 벤처 투자 조직을 통해 참여했고, 포레스테이와 쿼드릴 캐피털도 들어왔다. 누적 투자금은 1억 4천만 달러가 됐다. 새 투자금은 채용과 영업, 파트너십, 고객 지원에 쓴다.

리코는 원래 SaaS와 AI 플랫폼을 파악하고 지키는 소프트웨어를 팔았다. 지금은 에이전트를 앱과 사람, 계정, 권한에 연결해 보여 주는 '컨텍스트 그래프'를 중심으로 제품을 다시 짰다. 보안팀은 이 그래프를 통해 에이전트가 어디까지 닿는지 확인하고, 필요 없는 접근을 끊는다.

오퍼 클라인 CEO는 테크크런치에 지난 1년의 가장 큰 변화는 기업이 에이전트를 관리하는 속도보다 만들어 배포하는 속도가 더 빨라진 것이라고 말했다. 포천 100에 드는 한 고객사에서는 회사가 모르던 에이전트 2만 1천 개를 찾아냈다. 한 대형 금융사에서는 퇴사한 직원이 만들어 둔 에이전트가 세일즈포스에 접근해 회사가 파악하지 못한 도메인으로 데이터를 보낼 수 있는 상태였다고 리코는 설명했다.

클라인 CEO는 연 반복매출이 수천만 달러대이며 올해 세 배로 늘 것으로 본다고 했다. 고객은 100곳이 넘고, 금융사가 매출의 약 40%를 차지한다. 기업가치는 2월 시리즈 B 발표 때보다 두 배 넘게 올랐다고만 밝혔다. 리코는 280개가 넘는 앱과 연동돼 있으며, 직접 연결하지 않은 앱에서 실행되는 에이전트는 브라우저와 네트워크 신호로 찾는다. 프롬프트와 도구 호출을 들여다보는 통제 기능도 갖췄다.

스물네 곳 넘는 회사가 비슷한 약속을 한다

테크크런치는 공개된 크런치베이스와 피치북 프로필만 살펴봐도 에이전트 보안을 파는 회사가 적어도 스물네 곳이라고 짚었다. 에이전트가 쓰는 도구를 검증하는 곳, 에이전트가 닿는 데이터를 통제하는 곳, 에이전트가 실행되는 기기에서 탐지하고 대응하는 곳(크라우드스트라이크), 승인받지 않은 AI 사용을 찾아내는 곳이 섞여 있다. 테크크런치는 제품은 달라도 지식 그래프, 상시 모니터링, 런타임 보안, 도구 접근 통제, MCP 검증 같은 약속이 서로 비슷하게 들린다고 평했다.

수요를 보여 주는 수치도 같은 기사에 나온다. 히든레이어(HiddenLayer)의 크리스 세스티토 CEO는 고객 50곳 이상이 핵심 시스템과 민감한 자산에 닿는 에이전트를 실제로 운영 중이라고 말했다. 심포니(Cymphony)는 미국 상장사 한 곳에서 AI 도구와 에이전트가 열어 볼 수 있게 된 파일을 약 8만 5천 개 찾았다고 밝혔다.

엔비디아의 발표는 이 시장의 한쪽을 바꾼다. 샌드박스를 세우고, 커널 수준에서 파일과 프로세스를 막고, 외부로 나가는 요청을 정책과 대조하는 일은 여러 스타트업이 '런타임 보안'이라는 이름으로 팔아 온 기능과 겹친다. 이제 그 기본형을 오픈소스로 누구나 가져다 쓸 수 있고, 대형 보안 회사들이 그 위에 올라탔다. 같은 기능을 새로 만들어 파는 팀은 무료 기본형과 비교해 무엇이 더 나은지 고객에게 설명해야 한다.

0.1.0 버전과 블루필드-4 사이의 거리

그렇다고 이 층이 당장 모든 고객사에 도입되는 것은 아니다. 오픈셸은 이제 0.1.0이다. 엔비디아 발표문 끝에도 여기서 설명한 제품과 기능 상당수가 아직 저마다 다른 개발 단계에 있고, 준비되는 대로 제공된다는 단서가 붙어 있다. 칩 수준에서 에이전트를 격리하는 센트리는 블루필드-4 DPU가 있어야 작동한다. 시큐리티위크에 따르면 엔비디아 베라 루빈(Vera Rubin) POD의 모든 컴퓨트 트레이에는 블루필드-4가 들어간다. 반대로 말하면 칩 수준의 감시는 그런 설비를 갖춘 대형 데이터센터에서 먼저 쓰인다. 국내 중견 기업 고객이 이 기능을 쓰게 되기까지는 더 오래 걸릴 수 있다.

플랫폼도 보안팀이 에이전트를 들여다볼 수 있는 화면으로 영역을 넓히고 있다. 세일즈포스는 오픈셸을 슬랙에 붙여 에이전트 활동과 감사 기록을 확인하고, 추가 권한 요청을 승인하거나 거절할 수 있게 했다. 다만 이 화면에서 볼 수 있는 것은 오픈셸 안에서 실행되는 에이전트다. 오픈셸의 경계는 회사가 샌드박스 안에서 돌리는 에이전트에 적용된다. 퇴사한 직원이 세일즈포스 안에 만들어 둔 에이전트는 애초에 회사의 샌드박스를 거치지 않는다. 에이전트를 가두는 기술과 회사 안의 에이전트를 빠짐없이 찾아내는 일은 서로 다른 문제다.

에이전트를 파는 팀이 먼저 받게 될 질문

에이전트 보안 분야에서 창업했거나 준비 중인 팀이라면 자기 제품이 어느 층에 속하는지부터 다시 적어 볼 만하다. 샌드박스와 런타임 통제라면 엔비디아의 오픈소스와 대형 보안사를 상대로 차이를 증명해야 한다. 회사가 모르는 에이전트를 찾고 권한을 정리하는 층이라면, 리코가 280개 앱 연동과 고객 사례로 먼저 쌓아 둔 자리와 겨루게 된다. 어느 쪽이든 지식 그래프나 런타임 보안 같은 말만으로는 스물네 곳 가운데서 눈에 띄기 어렵다.

에이전트를 만들어 기업에 파는 팀에도 할 일이 생긴다. 고객사 보안팀은 이제 에이전트를 도입하기 전에 그 에이전트가 어떤 앱과 데이터에 닿는지, 누가 만들었고 누가 끌 수 있는지를 물을 것이다. 오픈셸 같은 공개 기준이 생기면서 그 질문에 답할 표준 형식도 갖춰지고 있다. 제품의 접근 범위를 처음부터 밝히고, 고객이 그 범위를 확인하고 줄일 수 있도록 설계하면 구매 심사에 드는 시간을 아낄 수 있다.

리코의 이번 투자에 고객사 AT&T가 참여했다는 점도 눈여겨볼 만하다. 비슷한 약속을 내건 회사가 스물네 곳을 넘는 시장에서, 제품을 먼저 써 본 고객이 돈까지 넣었다는 사실은 경쟁사가 문구만으로 따라 하기 어려운 근거다.