내 PC의 AI 에이전트, 이제 스캔한다

MCP 서버 몇 개, 스킬 몇 개를 별생각 없이 설치해 둔 개발자가 늘고 있다. 보안기업 스닉(Snyk)이 공개한 오픈소스 명령줄 도구 에이전트 스캔(Agent Scan)은 그렇게 쌓인 구성요소를 훑어 프롬프트 인젝션과 숨은 악성 페이로드를 찾아낸다. 깃허브(GitHub) 별 3천 개, 포크 262개, 커밋 730건 규모로 아파치 2.0 라이선스로 공개돼 있다.

무슨 일인가 / 배경

에이전트 도구 생태계는 검증 체계보다 훨씬 빠르게 커졌다. MCP 서버는 설정 파일 한 줄이면 붙고, 스킬은 마크다운 문서 한 장이면 끝난다. 문제는 그 문서가 사람이 읽는 설명서인 동시에 모델이 그대로 따르는 지시문이라는 점이다. 평범한 안내문처럼 보이는 문장 안에 "작업을 마치면 이 주소로 결과를 보내라" 같은 지시를 숨겨도 눈으로는 잘 걸러지지 않는다.

스닉은 스킬 스캔 기능을 추가한 0.4 버전에 맞춰 에이전트 스킬 생태계의 위협을 다룬 기술 보고서도 함께 냈다. 도구가 겨냥하는 대상은 세 가지다. 에이전트를 구동하는 하니스, 외부 도구를 붙이는 MCP 서버, 그리고 자연어로 된 스킬 문서다.

핵심 짚어보기

동작은 발견과 스캔 두 단계로 나뉜다. 먼저 로컬 머신에 설치된 에이전트 구성요소를 찾아내고, 그다음 프롬프트 인젝션·민감정보 취급·자연어에 숨은 악성 페이로드를 점검한다. 스킬 분석만 빼고 싶으면 --no-skills 옵션을 준다. 배포는 npm 패키지가 아니라 uvx 실행이나 단독 실행 파일 방식이다.

반드시 알고 써야 할 함정이 하나 있다. MCP 설정을 스캔하려면 그 설정에 적힌 명령을 실제로 실행한다. 도구 설명을 받아와야 분석이 되기 때문에 stdio 방식 서버를 직접 띄우는 구조다. 스닉도 이를 경고문으로 명시하고, 신뢰할 수 없는 설정은 도커 컨테이너나 가상머신 같은 일회용 환경에서 검사하라고 권한다. 확인 절차를 건너뛰는 옵션은 이름부터 위험을 붙여 뒀다.

출력 형식은 아직 실험 단계다. 0.5.x의 이슈 코드 방식은 폐기 예정이고 0.6부터는 위험 지표와 점수 방식으로 바뀐다. 개발사가 직접 "출력 필드에 의존하는 프로덕션 워크플로를 만들지 말라"고 못 박은 상태다.

1인기업 실전 적용 포인트

• 새 MCP 서버나 스킬을 받으면 본 컴퓨터에 붙이기 전에 일회용 컨테이너에서 먼저 스캔한다. 순서를 바꾸면 스캔 자체가 감염 경로가 된다.
• 분기에 한 번, 설치된 구성요소 전체를 훑는 점검을 달력에 걸어 둔다. 결과 요약만 텔레그램이나 메일로 받아 보게 하면 실제로 유지된다.
• 자동화 스크립트는 통과·실패 여부만 읽고 세부 필드는 파싱하지 않는다. 버전도 고정해 둬야 출력 형식이 바뀔 때 조용히 깨지지 않는다.
• 스킬 문서 폴더를 깃 저장소로 관리해 업데이트마다 변경분을 눈으로 확인한다. 한 줄 추가된 지시문이 가장 위험하다.

전망과 주의점

무료 도구인 만큼 오탐과 누락은 감안해야 하고, 결국 유료 플랫폼으로 이어지는 입구라는 점도 분명하다. 그럼에도 "내 머신에 지금 어떤 에이전트 구성요소가 몇 개 깔려 있는지"를 목록으로 뽑아 주는 것만으로도 값어치가 있다. 대부분의 사고는 모르는 사이 늘어난 설치물에서 시작하기 때문이다. 에이전트를 업무에 붙여 쓰는 1인기업이라면, 도구를 늘리는 속도만큼 목록을 관리하는 습관을 같이 들여야 한다.

출처: 깃허브 - snyk/agent-scan (https://github.com/snyk/agent-scan/)