Cover · Issue 066
"주인 없는 계정에게 사원증을 만들어주는 자리."
TSTF MAG · 2026
빌드 서버 안에는 사람 이름이 아닌 계정이 산다. 누가 만들었는지, 지금 누가 책임지는지 아무도 정확히 말하지 못하는 계정이 늘어나면서, 회사는 사람이 아닌 존재에게 사원증을 발급하는 일을 새로 떠안았다.
빌드 서버 로그를 열어보면 낯선 계정이 하나 있다. 사람 이름이 아니라 ci-deploy-bot 같은 문자열이다. 언제 만들어졌는지는 커밋 이력에 남아 있지만, 지금 이 계정을 누가 관리하고 있는지는 아무도 정확히 모른다. 그런데도 매일 밤 배포는 이 이름으로 돌아간다.
이번에 읽은 자료에서는 이런 계정이 회사마다 얼마나 쌓여 있는지를 세어봤다. 숫자가 생각보다 컸다. Palo Alto Networks 의 「2026 Identity Security Landscape」 보고서는 평균적인 기업에서 사람 신원 1개당 기계 신원이 109개라고 집계했다. 사람 한 명 뒤에 계정 백 개가 넘게 딸려 있다는 뜻이다. 같은 보고서는 앞으로 열두 달 사이 AI 에이전트가 85%, 기계 신원 전체가 77% 늘어날 거라고 내다봤다. 사람 신원의 증가율은 56%다. 조직 안에서 지금 빠르게 늘어나는 쪽은 사람이 아니다.
이 수치가 눈에 밟힌 건 게임 개발 현장과 비슷해서였다. 빌드 파이프라인, 라이브 운영 자동화, QA 리포트 봇처럼 사람 손을 거치지 않고 매일 돌아가는 계정이 한 팀에도 여럿 있다. 처음 만들 때는 담당자가 분명했지만, 조직 개편이 몇 번 지나고 나면 그 담당자가 지금도 같은 사람인지 확인할 방법이 마땅치 않다.
얼마 전까지는 이런 계정을 편의상 "만든 사람 책임"이라고 뭉뚱그려 생각했다. 이번 자료를 보고 나니, 뭉뚱그릴 계정이 이미 너무 많아졌다는 걸 인정할 수밖에 없었다.
결국 문제는 계정이 늘어난다는 사실 자체가 아니다. 그 계정 하나하나에 사람의 이름을 걸어줄 절차가 아직 마련되지 않았다는 쪽에 가깝다. 편집부는 이 흐름 자체를 막을 수 있다고 보지 않는다. 계정은 계속 늘어날 것이고, 관건은 그걸 누가 책임지고 적어두느냐는 것이다.
계정은 빠르게 늘어나는데, 그 계정을 적어두는 장부는 따로 없다. Cloud Security Alliance 가 Strata Identity 의뢰로 2025년 9~10월 IT·보안 실무자 285명에게 물었다. 지금 쓰는 계정·권한 관리 체계로 에이전트 신원을 관리할 수 있다고 "매우 자신 있다"고 답한 사람은 18%뿐이었다.
285명이라는 표본은 큰 편이 아니다. 그래도 계정과 권한을 직접 만지는 사람들에게 물은 결과라는 점에서, 이 18% 는 현장 감각에 가깝게 읽혔다.
에이전트가 사고를 냈을 때 그 행동을 사람 후원자까지 되짚을 수 있다는 응답은 28%였다. 에이전트 목록을 실시간으로 유지한다는 응답은 21%, 전사 차원의 공식 전략이 있다는 응답은 23%였다. 넷 중 절반을 넘긴 항목이 하나도 없었다. 계정은 이미 발급됐는데, 발급 기록을 적어둔 서류는 아직 만들어지지 않은 셈이다.
우리 데스크에서는 이 대목에서 사내 여러 팀의 풍경이 겹쳐 보였다. 라이브 운영 자동화가 매일 쓰는 계정, 외주 툴 연동을 위해 예전에 발급해둔 API 키, 팀을 옮긴 사람이 만들어두고 간 스크립트. 사고가 나면 로그는 정말 어느 사람 이름까지 되짚어질까. 확답하지 못하는 팀이 적지 않을 것이다.
같은 조사에서 이 일의 소관은 보안팀 39%, IT 32%, 신설 AI 보안 조직 13%로 쪼개져 있었다. 세 항목을 합쳐도 전체가 되지 않는데, 나머지가 어디로 갔는지는 조사에 적혀 있지 않다. 새로 생긴 업무인데 책상 주인이 아직 정해지지 않았고, 소관이 쪼개진다는 건 아무도 안 맡는다는 뜻과 멀지 않다.
이 공백을 메우자는 목소리가 나온다. Forbes 인터뷰에서 Occams Advisory CEO Anupam Satyasheel 은 이렇게 말했다.
"If an agent is going to work like an employee, give it an employment file: a manager of record, a scoped job description, a badge that expires, a written deferral threshold, and an offboarding process."
— Anupam Satyasheel · CEO, Occams Advisory · Forbes, 2026.07.30에이전트가 직원처럼 일할 거라면, 인사 서류도 직원처럼 갖춰주라는 말이다. 담당 관리자, 범위가 정해진 직무기술서, 만료되는 사원증, 언제 사람에게 넘겨야 하는지 적힌 기준, 그리고 퇴사 절차. 다섯 가지 모두 회사가 사람 신입에게 원래 챙겨주던 서류들이다. 다른 점은 이번엔 서류를 받는 쪽이 사람이 아니라는 것뿐이다.
다섯 항목 중에서는 직무기술서라는 말이 유독 눈에 띄었다. 사람에게 쓰던 이 단어를 코드 몇 줄로 이루어진 존재에게 그대로 옮겨 쓴다는 게 낯설면서도 묘하게 정확했다.
당신 팀에도 이런 계정이 하나쯤 있을 것이다. 만든 사람은 다른 프로젝트로 넘어갔고, 권한은 그대로 살아 있고, 담당자 칸은 비어 있는 계정. 그 칸에 이름을 적어 넣는 일이 지금 누군가의 새 업무가 되고 있다.
이런 일을 맡은 사람이 딱히 있는 것도 아니다. 대개는 보안 담당자나 인프라 엔지니어가 다른 업무 사이사이에 짬을 내서 처리한다. 정식 직함도, 평가 항목도 없는 채로 일이 먼저 생겨버린 셈이다.
계정을 만들 때 이 서류가 생략된 건 누가 게을렀기 때문이 아니라 순서 문제였다. 자동화는 당장 돌려야 했고, 서류는 나중에 만들어도 될 것 같았다. 다섯 칸을 채운다고 사고가 사라지지는 않겠지만, 적어도 사고가 난 밤에 누구에게 전화를 걸어야 하는지는 알 수 있다.
Nextiva CMO Yaniv Masjedi 는 같은 기사에서 이렇게 덧붙였다.
"Trust in an AI agent works the same way trust in an employee does. It has to be earned and it has to be verifiable."
— Yaniv Masjedi · CMO, Nextiva · Forbes, 2026.07.30신뢰는 사람에게든 기계에게든 얻어내야 하고, 검증할 수 있어야 한다는 뜻이다. 편집부는 이 일을 위험 관리 항목이 아니라 조직도의 빈 칸으로 본다 — 사원증을 발급하고 서류에 도장을 찍을 사람이 필요하다는 쪽으로.
이름을 적어 넣는 일은 생각보다 손이 많이 간다. 계정 하나에 관리자 이름을 걸려면 그 계정이 지금 무슨 권한을 갖고 있는지부터 다시 확인해야 하는데, 오래된 프로젝트라면 이 작업은 고고학에 가깝다. 커밋 로그와 옛 위키 페이지를 뒤지다 보면 반나절이 지나가고, 결국 알아내는 건 지금은 아무도 이걸 안 쓴다는 사실뿐일 때도 많다.
신작 하나가 종료되고 팀이 흩어진 뒤에도, 그 팀이 만든 자동화 계정은 서버 어딘가에서 계속 돌아간다. 아무도 로그인하지 않지만 아무도 끄지도 않는다. 회사 계정 목록에는 있는데 조직도에는 없는 존재가 되는 셈이다.
이름을 적어 넣는 일이 재미없고 티도 안 나는 건 맞다. 그래도 편집부는 이걸 보안 숙제가 아니라 인사 업무 쪽에 더 가깝게 본다 — 새로 생긴 서류 작업을 누가 맡을지 정하는 일이다.
어떤 팀은 이 일을 보안팀에 떠넘기고, 어떤 팀은 그냥 모르는 척 넘어간다. 계정에 이름을 적어 넣는 사람이 정해지지 않은 채로, 얼마나 더 오래 굴러갈 수 있을까.
AI 슬롭이 걷힌 뒤 남은, 전부 진짜인 취약점 신고에 관하여.