#자격증명
2개의 글
AI 자동 승인, 비번 노출 경로와 계정 점검 순서
미래에셋운용 연기금투자풀 유출 신고에서 확인된 것은 비밀번호 해시 탈취로 307개 실계정에 로그인하고 API로 최고관리자 권한을 가져간 과정이며, 이 공격에 AI가 쓰였다는 근거는 보도에 없다. 그럼에도 AI 계정 담당자가 긴장해야 하는 이유는, AI 에이전트의 자동 승인이 바로 그 약한 고리인 자격증명과 과도한 권한을 사람보다 빠르고 넓게 건드리기 때문이다. 에이전트에 별도 신원과 최소 권한을 주고, 승인·접근 로그를 감사하며, 하드코딩된 비밀번호와 토큰을 교체했는지부터 점검해야 한다.
AI에 로그인 정보 맡길 때 지켜야 할 선
AI 에이전트에 아이디와 비밀번호를 통째로 주는 방식은 편하지만, 계정 전체 권한을 넘기는 것이라 탈취나 오작동 시 피해 범위가 그대로 커진다. 비밀번호 대신 권한을 좁힌 전용 계정이나 짧은 수명의 토큰을 쓰면 맡기는 범위를 통제하고 언제든 회수할 수 있다. 되돌릴 수 있는 작업인지, 금전·개인정보·인증수단이 걸려 있는지를 기준으로 에이전트에 맡길 일과 사람이 직접 할 일을 나눠야 한다.