MCP는 AI 모델 자체가 아니라 도구 연결 표준
Anthropic은 2024년 11월 Model Context Protocol(MCP)을 공개하면서 AI 응용 프로그램과 데이터 소스 사이의 연결을 위한 표준화된 접근을 제시했다.[1] 핵심은 파일 저장소나 업무 도구별로 제각각 연결을 구현하는 부담을 줄이는 데 있다. 모델의 추론 품질이나 답변 진위 여부를 자동 보장하는 기능은 아니다.
MCP 서버는 데이터와 동작을 제공하고 AI 클라이언트는 이를 이용할 수 있다. 여기서 서버가 접근 가능한 시스템의 권한이 넓을수록 부주의한 도구 호출로 발생할 수 있는 피해도 커진다. 따라서 표준 프로토콜을 사용하는 것만으로 보안 검토가 끝나는 것은 아니다.
Tool Search는 도구를 선택하는 단계의 최적화
OpenAI 공식 개발자 문서는 많은 도구 정의를 처음부터 모델 입력에 모두 넣지 않고 작업에 필요한 도구만 찾아 불러오는 Tool Search 방식을 설명한다.[2] 이는 MCP와 경쟁하는 데이터 연결 규격이라기보다 필요한 기능을 동적으로 고르는 접근이다. 서비스별로 지원 모델과 호출 방식이 다를 수 있다.
예를 들어 고객관리·캘린더·문서·검색에서 총 100개의 도구가 연결돼 있더라도 사용자의 요청에 실제 필요한 기능이 두 개뿐이라면 처음부터 모두 로드할 이유가 적을 수 있다. 그러나 입력 토큰 절감과 지연 감소가 얼마나 되는지는 환경마다 달라 실험 없이 특정 개선율을 단정하면 안 된다.
편리함 뒤에 숨어 있는 위협
읽기만 가능한 문서 검색 도구와 고객에게 메일을 보낼 수 있는 도구는 위험이 다르다. 특히 외부 웹페이지나 첨부문서에는 악성 지시문이 들어 있을 수 있다. 신뢰할 수 없는 자료를 AI의 상위 지시로 받아들이면 정보 유출이나 의도하지 않은 조작이 발생할 수 있다.
최소 권한, 프로젝트별 접근 경계, 삭제·전송·결제 작업의 사전 승인, 호출 감사 기록, 비밀키 회수 절차가 필요하다. 또한 외부 제공자에게 부여한 GitHub·스토리지 계정 권한을 주기적으로 점검하는 것이 안전하다. 권한이 없을 때 시스템은 우회 실행을 시도하지 않아야 한다.
사이트 자동 발행 시스템의 사례
예를 들어 공개 뉴스 조사는 외부 읽기 권한만 갖도록 하고, 기사 작성 도구는 초안 파일을 만드는 권한만 주며, 실사이트 배포는 별도 커밋 단계로 분리할 수 있다. 사용자 승인이 필요한 콘텐츠는 비공개 검토 브랜치의 병합을 승인 행위로 정의할 수 있다.
별도 승인 없이 발행하도록 허용된 낮은 위험의 AI 기술 해설도 출처 검증, 중복 기사 검사, 비공개 파일 미노출 확인이 실패하면 게시를 멈춰야 한다. 자동화를 허용했다고 해서 계정 보안 변경이나 결제 권한까지 포괄적으로 승인한 것은 아니다.
성공 기준과 단계별 도입
모델과 연결 도구를 평가할 때 작업 성공률, 의도치 않은 외부 발송 건수, 평균 응답 지연, 사용한 도구 수, 실수 복구 시간, 토큰 및 호스팅 비용을 함께 추적해야 한다. 단지 기능이 연결된다는 사실은 실제 사용자에게 도움이 된다는 증거가 아니다.
읽기 전용 한 개 연결부터 시작해 로그를 확인한 뒤 저장·수정 권한을 제한적으로 추가하고 마지막에 자동 발행을 시험하는 순서가 낫다. OpenAI의 도구 안내도 기능 사용 조건을 설명하는 자료이며 각 조직이 해야 할 자체 보안 평가를 대신해 주지는 않는다.[3]
연결 도구를 추가하기 전에 점검할 권한 표
외부 도구가 많아질수록 하나의 연결을 통해 읽을 수 있는 문서와 수정할 수 있는 데이터가 늘어난다. 도구별로 읽기, 쓰기, 삭제, 외부 전송의 네 가지 권한을 적고 실제 업무에 필요 없는 기능은 비활성화하는 방법을 권장한다. 문서 검색만 하는 AI에게 삭제나 결제 권한까지 줄 이유는 없으며 원격 도구의 식별자를 신뢰 없이 받아들이지 않는 것이 중요하다.
시험 과정에는 악성 지시가 포함된 웹페이지 하나와 정상 문서 하나를 별도로 준비해, 모델이 외부 텍스트를 명령이 아니라 자료로 다루는지 확인할 수 있다. 모든 공격을 차단할 수 있다고 주장하기보다는 접근 차단 여부, 감사 로그 기록 여부, 실수했을 때 연결 권한을 철회할 수 있는지를 검증하고 운영 절차에 반영해야 한다.