카테고리: Infra Insight 타겟 독자: CIO, IT 기획자, 인프라·보안 운영 담당자
지난 호에서 가상화·클라우드·AI 전환의 다음 질문은 “어디서 돌리나”가 아니라 “누가 통제하나”라고 정리했다. 이번 주 그 질문에 가장 구체적인 제품으로 답한 곳은 IBM이다. IBM은 10월 27일 미국 애틀랜타에서 열린 TechXchange 2026에서 AI 에이전트용 신원·자격증명·통제 기능을 발표했고, IBM Agent Identity와 HashiCorp Vault 2.2의 정식 출시(GA)를 함께 알렸다. 에이전트를 사람 직원처럼 등록하고, 권한을 최소로 주고, 문제가 생기면 즉시 회수하겠다는 설계다.
발표 내용은 세 층으로 나뉜다. 첫째는 신원이다. Agent Identity는 에이전트를 중앙 인벤토리에 등록하고 소유자, 메타데이터, 위험 등급, 승인된 도구 연결, 수명주기 상태를 기록한다(Unite.AI 보도). 둘째는 자격증명이다. HashiCorp Vault를 AI 에이전트까지 확장해 수명이 짧은 자격증명을 발급하고, 권한을 넘어서면 실시간으로 회수하는 방식이다. 장기 자격증명과 과도한 권한을 에이전트 사고의 주된 원인으로 본다는 뜻이다. 셋째는 가시성과 격리다. watsonx Orchestrate에는 AI 게이트웨이가 추가되어 Amazon Bedrock, Microsoft, Google 등 다른 플랫폼에 흩어진 서드파티 에이전트, 모델, MCP 서버를 찾아내고 통제하는 단일 적용 지점 역할을 한다. 에이전트와 Vault는 엔비디아 OpenShell 보안 런타임과도 연동되며, 엔비디아의 존 파넬리(John Fanelli)는 “기업에는 에이전트의 작동 방식과 접근 범위에 대한 강제력 있는 통제가 필요하다”고 말했다.
숫자도 눈여겨볼 만하다. IBM은 가트너가 4월 28일 발표한 전망을 인용해, 2028년이면 글로벌 포춘 500 기업 평균이 15개 미만(2025년)에서 15만 개가 넘는 에이전트를 쓰게 되고, 적절한 에이전트 거버넌스를 갖췄다고 믿는 조직은 13%에 그친다고 밝혔다. 이 수치는 IBM 발표문이 인용한 가트너 전망이며, 우리가 원문을 직접 확인하지는 못했다. 확인되지 않음.
이 발표가 인프라 담당자에게 의미하는 바는 다음 한 줄로 요약된다. 가상화 이후의 운영 대상이 가상머신에서 에이전트로 넓어지고 있고, 에이전트에는 VM에 없던 문제가 있다. VM은 사람이 만든 뒤 사람이 바꾼다. 에이전트는 스스로 도구를 호출하고 다른 에이전트를 부른다. 그래서 인벤토리, 소유자 지정, 단기 자격증명, 회수 절차가 없으면 사고가 났을 때 누가 무엇을 했는지조차 재구성하기 어렵다. 지난 호에서 다룬 레드햇 AI 팩토리, 시스코 AI Defense, 뉴타닉스(Nutanix)의 에이전틱 AI 발표가 모두 같은 방향이었고, IBM은 그것을 비밀번호 금고(Vault)와 오케스트레이션이라는 기존 자산 위에 얹었다는 점이 다르다.
한국 현장에서 바로 따라 할 수 있는 일은 제품 구매보다 앞선 정리 작업이다. 첫째, 지금 사내에서 돌아가는 에이전트와 MCP 연결의 목록부터 만든다. 부서가 각자 붙인 코파일럿, 자동화 봇, 외부 SaaS 에이전트가 대상이다. 둘째, 각각에 책임자를 지정한다. 셋째, 에이전트가 쓰는 API 키와 서비스 계정의 수명과 권한 범위를 점검한다. 시스코 코리아 조사에서 국내 기업의 AI 보안 준비도가 58점(글로벌 64점)으로 나온 만큼, 도구 도입 전에 이 세 가지만 해도 격차의 상당 부분이 드러날 가능성이 크다. 이 해석은 필자의 판단이며 확인되지 않음.
주의할 점도 있다. 이번 발표는 벤더가 직접 밝힌 기능과 계획이고, 독립적인 성능·보안 검증 결과는 아직 보이지 않는다. 한국 시장에서의 제공 시점, 국내 파트너 지원 체계, 라이선스 조건은 확인되지 않음. 또 IBM 방식은 IBM·HashiCorp 스택을 쓰는 조직에 가장 자연스러우므로, 다른 신원 체계(예: 디렉터리 기반 접근 방식)를 쓰는 조직은 연동 범위를 따로 확인해야 한다.
정리하면, 에이전트 시대의 인프라 과제는 새 서버를 늘리는 일이 아니라 새 행위자에게 신원과 권한의 규칙을 만드는 일이다. 이 일은 어떤 벤더를 고르든 먼저 해야 하고, 그 비용은 에이전트가 늘어날수록 커진다.
출처
- Unite.AI, “IBM Brings Governed Identity and Credential Controls to AI Agents” (2026.10)
- Let’s Data Science, “IBM Extends HashiCorp Vault and watsonx Orchestrate to Govern AI Agents” (2026.10.27)
- CDO Magazine, “IBM Adds Identity and Access Controls to Govern Enterprise AI Agents” (2026.10.28)
- IBM Newsroom, TechXchange 2026 news 목록 (newsroom.ibm.com/tech-xchange-2026). 개별 보도자료 원문은 접속 제한으로 직접 열람하지 못함. 확인되지 않음.
