MCP 이해하기: 프로토콜 너머의 한계

F5 ADSP | 2025년 6월 05일

모델 컨텍스트 프로토콜(MCP)은 빠르게 에이전틱 AI 생태계의 핵심 축으로 자리 잡고 있습니다. AI 에이전트가 도구, API 및 외부 시스템과 연동하기 위한 표준 방식으로 설계된 MCP는 안전하고 확장 가능한 상호 운용성을 제공합니다.

따라서 주요 모델 개발사와 세계 최대 기업 중 일부가 에이전트 간 상호작용을 위한 표준으로 MCP를 지지하는 이유는 쉽게 이해할 수 있습니다. 하지만 이러한 장점에도 불구하고 MCP는 잘못된 추상화 수준에서 엉뚱한 문제를 해결하려는 것일 수 있습니다.

MCP는 경직된 경로와 인터페이스를 통해 에이전트의 행동을 엄격하게 제한함으로써 안전을 우선시하지만, 그 대가로 유연성과 적응성은 물론, 역설적이게도 효과적인 감독 능력까지 희생합니다. 다시 말해, 보안을 지나치게 강조한 나머지 동적인 환경에서 발생하는 실질적인 위험에는 거의 대응하지 못하면서 AI 에이전트의 유용성만 제한할 수 있습니다.

MCP가 제대로 짚은 점

MCP는 AI 안전성을 한 단계 발전시킨 기술입니다. AI 에이전트가 API를 통해 도구를 호출할 수 있도록 체계적이고 투명한 방식을 제공하며, 명확한 인터페이스와 권한을 정의합니다. 에이전트가 워크플로를 실행하거나 자금을 이체하고 코드를 작성하는 등의 작업을 수행할 것으로 점점 더 기대되는 세상에서 이는 매우 중요합니다.

이를 최소 권한 액세스의 프로토콜 버전이라고 생각하면 됩니다. 즉, 에이전트가 명시적으로 허용된 작업만 수행하도록 하는 것입니다.

설계 관점에서는 깔끔합니다. 기업 리스크 관점에서는 안심이 됩니다. 하지만 실제 보안 관점에서는 어떨까요? 불완전합니다.

트레이드오프: 정적 프로토콜과 동적 에이전트

MCP는 단순하고 결과가 명확히 정해지는 작업에 적합합니다. 하지만 에이전트의 역량과 자율성이 높아질수록 의사 결정은 맥락에 더 크게 좌우됩니다. 에이전트는 상황에 맞춰 즉시 적응하고, 여러 도구를 새로운 방식으로 연계하며, 사람의 감독 없이도 예기치 못한 상황에 대처해야 합니다.

이러한 환경에서는 정적인 인터페이스 스키마와 경직된 권한 구조가 한계를 드러내기 시작합니다. 이러한 구조는 공격 표면을 줄이는 동시에 에이전트가 복잡한 워크플로를 추론하는 능력도 제한합니다. 안전을 우선시하는 과정에서 MCP는 의도치 않게 에이전트의 운영 역량과 기업의 혁신 역량을 저해할 수 있습니다.

더 중요한 것은, 이러한 경직성이 실제 보안 허점을 가린다는 점입니다. 에이전트가 MCP를 준수한다고 해서 반드시 안전하게 작동하는 것은 아닙니다. 예를 들면 다음과 같습니다:

읽기 전용 권한만 있는 에이전트도 간접 채널을 통해 데이터를 유출할 수 있습니다
범위가 좁게 제한된 도구 호출도 서로 연계되어 의도치 않은 결과를 초래하는 더 크고 새로운 동작으로 이어질 수 있습니다
요청이 올바른 형식을 갖췄다고 해서 해당 요청을 하는 에이전트가 이를 안전하게 수행하는 데 필요한 적절한 맥락이나 판단력을 갖추고 있다는 의미는 아닙니다

에이전트 보안은 단순히 에이전트에게 허용된 작업만의 문제가 아닙니다. 에이전트가 무엇을 의도하는지, 그리고 주어진 맥락에서 어떻게 행동하는지가 중요합니다.

진짜 위험은 프로토콜 자체만이 아닙니다. 그것이 가능하게 하는 일에 있습니다.

MCP는 AI 에이전트가 작업을 수행할 수 있도록 권한이 부여된 표준화된 방식을 제공하지만, 그렇다고 해서 그러한 작업이 본질적으로 안전한 것은 아닙니다. 프로토콜이 엄격한 경계를 적용할 수는 있지만, 에이전트가 맥락을 해석하고 도구를 연계하거나 압박을 받는 상황에서 어떻게 행동하는지까지 고려하지는 않습니다.

다시 말해, MCP는 연결을 보호하지만 그 결과까지 보호하지는 않습니다. 바로 이 간극을 기업이 해소해야 합니다.

실제 환경에서의 AI 위험은 에이전트가 특정 API를 호출할 수 있는지의 문제가 아닙니다. 수천 번의 상호작용에서 에이전트가 어떤 행동을 하기로 선택하는지, 그리고 그 행동이 정상 범위를 벗어나기 시작할 때 시스템이 이를 감지하고 대응할 수 있는지가 핵심입니다.