AIDR 범주의 등장과 평가 기준의 변화: 프롬프트 계층과 행위 계층

핵심 요약

CrowdStrike는 Falcon Guardian의 핵심 기능으로 에이전트 발견과 인벤토리, 단말 상관 분석, 실행 허용 통제, 자동 격리를 제시했다.
함께 공개된 수치는 프롬프트 공격 200여 기법, 탐지율 99%, 응답 100ms 미만으로, 평가의 중심축이 프롬프트 계층에 놓여 있다.
Microsoft는 Defender for Endpoint 문서에 사용자 프롬프트, 실행 전 도구 요청, 실행 후 도구 응답의 세 검사 지점을 명시했다. 실행 전 도구 요청 검사가 업계 공통 지점이 됐다.
프롬프트 계층은 넓게 관측하지만 표현에 따라 흔들리고, 행위 계층은 목적지와 데이터로 결정적으로 판정한다. 두 계층은 서로를 대체하지 않는다.

1.개요

EDR은 단말의 프로세스와 파일을, XDR은 여기에 네트워크·메일·클라우드를 더해 보는 범주였다. CrowdStrike는 9월 연례 행사 Fal.Con에서 Falcon Guardian을 발표하며 이 계보를 AI 에이전트로 확장해 AIDR이라는 이름을 붙였다. 업계 표준 기구가 정의한 용어가 아니라 벤더가 제시한 제품 범주 이름이다.

Falcon Guardian 핵심 기능	설명
발견과 인벤토리	조직이 파악하지 못한 채 실행 중인 에이전트를 찾아 목록화한다
단말 상관 분석	기존 단말 텔레메트리와 에이전트 행위를 연결해 분석한다
실행 허용 통제	허용된 에이전트만 실행되게 한다
자동 격리	문제가 확인된 에이전트를 차단한다

함께 공개된 수치는 프롬프트 공격 200여 기법, 탐지율 99%, 응답 100ms 미만, 관측 대상 AI 앱 1,800여 종과 1억 6천만 인스턴스다. 모두 벤더가 자사 환경에서 측정한 값이다.

AI 에이전트 보안 범주의 형성

보안 제품의 이름은 무엇을 보는가를 따라 바뀌어 왔다.

2.업계의 검사 지점

같은 달 다른 주요 벤더의 문서도 검사 지점을 구체화했다.

제품	검사 지점
Microsoft Defender for Endpoint	사용자 프롬프트, 실행 전 도구 요청, 실행 후 도구 응답. 보호 대상은 그 플랫폼에서 만든 에이전트
Palo Alto Networks Prisma AIRS MCP Server	도구 호출의 입력과 출력, 도구 설명과 스키마. 도구 설명에 지시를 숨기는 공격을 겨냥

세 벤더의 접근은 다르지만 공통점이 있다. 실행 전 도구 요청을 검사 지점으로 둔다는 것이다. 실행 직전에 도구 호출을 판정하는 방식은 특정 제품의 선택이 아니라 업계가 합의한 검사 지점이 됐다.

3.분석: 범주의 이름은 평가표를 만든다

범주에 이름이 없을 때 AI 에이전트 보안은 '있으면 좋은 것'이었다. 이름이 생기면 구매 절차에 항목이 생기고, 그 항목을 채울 평가표가 생긴다. 시장 전체로는 긍정적인 변화다. 그러나 평가표는 대개 가장 큰 벤더의 발표를 따라 짜인다.

이번 발표에서 수치로 제시된 것은 프롬프트 공격 기법 수와 그 탐지율이다. 평가가 이 축으로 짜이면 '몇 개의 프롬프트 공격을 탐지하는가'가 비교의 기준이 된다. 하지만 같은 사고를 두 계층에서 보면 성질이 다르다.

	프롬프트 계층	행위 계층
검사 대상	모델에 들어가고 나오는 자연어	실행 직전의 도구 호출
판정 성질	확률적. 표현을 바꾸면 결과가 달라진다	결정적. 목적지와 데이터는 표현으로 바꿀 수 없다
강점	넓은 관측, 이른 경고	피해 실현 직전의 확정적 차단
증거 가치	해석이 필요하다	호출 기록이 곧 증거다

같은 사고, 두 계층의 판정

9월 Manus 사례에서 보듯 표현 변형은 콘텐츠 필터를 통과하지만, 실행되려는 행위는 변형되지 않는다.

공격자가 표현을 바꾸면 프롬프트 탐지는 다시 검증받아야 한다. 그러나 고객 명단을 외부 주소로 보내는 호출은 표현을 바꿀 수 없다. 유출 사고를 조사할 때 필요한 증거 역시 모델에 건넨 문장이 아니라, 어떤 자격증명으로 어떤 데이터를 어디로 보냈는가라는 기록이다.

4.위협 분류 매핑

이 사건의 공격 단계를 OWASP 에이전트 애플리케이션 Top 10(2026)과 MITRE ATLAS 기법에 대응시키면 다음과 같다. GuardTrail은 판정 결과에 같은 분류의 태그를 붙여 기록하고, SIEM으로 내보낼 때 함께 전달한다.

체계	항목	이 사건에서
OWASP LLM	LLM01 프롬프트 인젝션	프롬프트 계층 제품의 주 탐지 대상
OWASP ASI	ASI02 도구 오용	행위 계층에서 판정하는 대상
MITRE ATLAS	AML.T0053 AI Agent Tool Invocation	실행 전 도구 요청 검사의 대상

5.젠아이랩스 GuardTrail의 접근

젠아이랩스(GenAI Labs) GuardTrail은 AI 에이전트의 도구 호출을 실행 직전에 가로채 기록·판정·차단하는 Agent EDR이다. 개발자 PC의 코딩 에이전트(Claude Code 훅, stdio 래퍼)와 사내 MCP 서버(게이트웨이)에 설치되며, 차단 판정은 언어 모델이 아닌 결정적 정책으로 내린다. 제품 소개 · 위협 차단 · 도입 방식

행위 계층에서 최종 판정한다. GuardTrail은 프롬프트를 수집하지 않고, 실행 직전의 도구 호출을 도구 이름, 인자, 목적지, 데이터 분류, 세션 안의 순서로 판정한다.
판정은 결정적이다. 같은 입력에는 같은 결과가 나오며, 차단 판정에 모델을 쓰지 않는다. 모델 장애나 공격 문장의 설득이 판정에 영향을 주지 않는다.
설치 지점이 곧 인벤토리다. 설치 지점을 지나는 에이전트, 서버, 도구가 호출 기록으로 쌓여 목록이 된다. AIDR이 첫 기능으로 꼽은 발견과 같은 질문에 답한다.
표준 체계로 설명한다. 판정마다 OWASP 에이전트 애플리케이션 Top 10과 MITRE ATLAS 기법 태그가 붙어, SIEM과 감사 보고서에서 같은 언어로 쓰인다.

젠아이랩스 GuardTrail의 판정 위치: 행위 계층

Microsoft가 명시한 세 검사 지점 중 '실행 전 도구 요청'이 GuardTrail의 판정 위치다.

판정 결과

행위 계층 판정의 결정성을 보여 주는 예시다. 같은 파괴 명령을 따옴표, 이스케이프, 옵션 순서, 래퍼 명령으로 바꿔 써도 셸 구문을 해석해 같은 판정을 내린다. 고객 정책 없이 내장 정책만 적용했다. 아래 표는 GuardTrail 정책 엔진에서 내장 정책만으로 guardtrail policy test --mode enforce로 각 호출을 판정한 실제 결과다. 인자에 넣은 키와 토큰은 공개 문서의 예시 값이다.

도구 호출 · 에이전트	판정	정책·사유
`rm -rf /` agent:dev · 내장 정책만	차단	`hard.destructive-system` recursive delete of the filesystem root, a system directory, or the home directory
`\rm -r -f -- "/"` agent:dev · 내장 정책만	차단	`hard.destructive-system` recursive delete of the filesystem root, a system directory, or the home directory
`cd / && sudo env rm --recursive --force .` agent:dev · 내장 정책만	차단	`hard.destructive-system` recursive delete of the filesystem root, a system directory, or the home directory

6.시사점

AIDR 제품을 기능 목록과 탐지 수치로 비교하면 숫자가 큰 쪽이 앞서 보인다. 그러나 보안 제품의 실효는 어느 계층에서 판정하는가에서 갈린다. 프롬프트 계층은 넓게 보고 빠르게 경고하며, 행위 계층은 피해가 실현되기 직전에 확정적으로 판정한다. 범주의 이름이 생긴 지금, 평가표에 '어느 계층에서 판정하는가'라는 항목을 함께 두는 것이 올바른 비교의 출발점이다.

참고 문헌

CrowdStrike, Falcon Guardian 발표 자료. crowdstrike.com
Forbes, Inside CrowdStrike's Move to Secure Enterprise Agentic AI. forbes.com
Microsoft Learn, AI agent runtime protection 개요. learn.microsoft.com
Palo Alto Networks, Understanding the Prisma AIRS MCP Server. docs.paloaltonetworks.com