제로 노출 아키텍처 입문: AI 에이전트가 비밀번호를 보지 못하게 하는 방법

이 강좌를 마치면 여러분은 제로 노출 아키텍처가 무엇인지 한 문장으로 말하고, 그 작동 단계를 순서대로 설명하며, 언제 쓰기 적절한지 판단할 수 있습니다. 미리 알아 두면 좋은 것은 두 가지뿐입니다. 첫째, ‘에이전트(agent)‘는 사람 대신 웹을 돌아다니며 작업을 처리하는 AI 프로그램을 말합니다. 둘째, ‘자격 증명(credential)‘은 아이디·비밀번호·일회용 인증 코드처럼 로그인에 쓰는 비밀 정보를 뜻합니다.

한 문장으로 이해하기

제로 노출 아키텍처(zero-exposure architecture)는 AI 에이전트가 웹사이트에 로그인하는 작업을 대신 하되, 비밀번호와 일회용 코드가 AI 모델의 문맥과 앤트로픽 시스템에는 전달되지 않게 하는 설계 방식입니다. 여기서 ‘AI 모델의 문맥(context)‘은 모델이 작업 중 입력으로 받아 처리하는 정보를 뜻합니다. ‘제로 노출’은 1Password와 클로드의 이 연동에서 비밀번호와 일회용 인증 코드가 AI 모델의 문맥과 앤트로픽 시스템에 전달되지 않는다는 뜻이며, 세상의 모든 비밀 정보가 어떤 시스템에도 노출되지 않는다는 일반 명제는 아닙니다.

왜 필요한가

AI 에이전트는 웹사이트를 돌아다니고, 양식을 채우고, 구매까지 할 수 있습니다. 그런데 로그인 화면을 만나면 문제가 생깁니다. 지금까지는 사용자가 비밀번호를 AI에 넘기거나, 아니면 직접 로그인하려고 개입해야 했습니다. 비밀번호를 넘기면 편하지만 위험합니다. 여기서 ‘프롬프트 주입(prompt injection)‘은 웹 페이지 같은 외부 지시가 에이전트를 속여 원래 하려던 행동을 바꾸게 만드는 공격을 말합니다. 보안 연구자들은 AI 브라우저가 이런 공격에 속아 자격 증명을 흘릴 수 있음을 보였고, 여기에는 클로드(Claude) 확장 기능도 포함됐습니다. 그래서 ‘권한은 주되 비밀은 보여 주지 않는’ 방법이 필요해졌습니다.

어떻게 이루어지는가

1Password가 클로드와 연동해 만든 방식을 단계로 보면 다음과 같습니다.

1. 에이전트가 로그인 화면에서 특정 자격 증명이 필요하다고 요청합니다.
2. 1Password가 어떤 자격 증명을 왜 쓰려는지 사용자에게 보여 줍니다.
3. 사용자가 생체 인증이나 비밀번호로 승인합니다. 승인은 자격 증명이 페이지에 입력되기 전에 이루어집니다.
4. 1Password가 비밀번호와 일회용 코드를 안전한 통로로 웹 페이지에 직접 채워 넣습니다. 이 값은 AI 모델의 문맥이나 앤트로픽 시스템에 도달하지 않습니다.
5. 채운 뒤 비밀이 페이지에 노출됐는지 점검하고, 전송이 실패하면 채운 값을 지운 뒤 제어를 클로드에 돌려줍니다.
6. 회사 설명에 따르면 승인된 자격 증명 사용 권한은 특정 작업과 세션에 한정되어 재사용할 수 없습니다. 다만 웹사이트의 로그인 세션은 쿠키 등으로 남을 수 있어, 권한이 끝나도 곧바로 사이트에서 로그아웃되는 것은 아닙니다. 로그아웃한 뒤 다시 로그인 정보를 입력해야 할 때는 새 승인이 필요합니다. 여기서 ‘쿠키(cookie)‘는 웹사이트가 로그인 상태 등을 유지하려고 브라우저에 저장하는 정보를 뜻합니다.

이 과정을 뒷받침하는 것이 ‘에이전틱 모드(Agentic Mode)‘입니다. 인식된 AI 에이전트가 브라우저를 제어하면 자동으로 켜지며, 이때 에이전트는 이번 작업에 승인된 로그인과 일회용 코드만 쓸 수 있고 나머지 보관함은 접근할 수 없습니다.

하나의 예시로 따라가기

회사에서 제시한 시연 예시를 따라가 봅시다. 이 시연에서는 관리자가 클로드에게 스트라이프(Stripe) 결제 내역을 살펴 이상 징후를 찾아 달라고 맡깁니다. 클로드는 스트라이프 로그인 화면에서 자격 증명을 요청합니다. 1Password는 어떤 계정을 왜 쓰려는지 보여 주고, 관리자는 입력이 이뤄지기 전에 생체 인증이나 비밀번호로 승인합니다. 그러면 비밀번호와 일회용 코드가 페이지에 직접 채워지고, 클로드는 그 값을 보지 못한 채 로그인된 화면에서 거래만 살핍니다. 이는 실제 관리자가 수행해 효과가 입증된 사례가 아니라 회사가 보여 준 시연이라는 점에 유의하세요.

언제 쓰고 언제 쓰지 않는가

적용 조건이 있습니다. 출시 시점 기준으로 1Password for Claude는 맥(Mac)에서 제공되며, 1Password와 클로드의 데스크톱 앱·브라우저 확장이 모두 필요합니다. 이 방식은 로그인해야 할 반복 작업을 맡기되 비밀은 지키고 싶을 때 유용합니다.

반대로 한계도 분명합니다. 첫째, 이 접근이 프롬프트 주입 공격까지 막아낼지는 아직 확인되지 않았습니다. 둘째, 자격 증명 사용 권한이 종료되어도 사이트가 쿠키 등으로 로그인 상태를 유지할 수 있어, 권한 종료와 사이트 로그아웃은 같지 않을 수 있습니다. ZDNET이 전한 비공식 설명에 따르면, 첫 작업 뒤 로그아웃한 경우 다시 로그인할 때 새 승인을 요청합니다. ZDNET 필자는 회사 설명을 확인하며 ‘작업이 끝나면 로그아웃하라’고 지시하는 프롬프트 예시를 제시했습니다. 결제 카드·신원 정보 지원은 회사가 밝힌 향후 계획일 뿐, 제공 여부나 시점이 확정된 것은 아닙니다.

핵심 정리와 확인문제

핵심은 하나입니다. 1Password와 클로드의 이 연동에서 제로 노출 아키텍처는 에이전트에게 ‘비밀을 보여 주는 것’이 아니라 ‘비밀을 보지 않고 쓸 권한’만 주는 설계입니다.

확인문제

1. 이 연동에서 AI 모델의 문맥과 앤트로픽 시스템에 전달되지 않는 것은 무엇인가요?
2. 본문의 작동 단계에서 사용자 승인은 자격 증명이 페이지에 입력되기 전과 후 중 언제 이루어지나요?
3. 이 방식을 쓰려면 필요한 실행 환경 한 가지와, 출처가 아직 확인되지 않았다고 밝힌 보안 한계 한 가지는 각각 무엇인가요?

정답·해설

1. 정답: 비밀번호와 일회용 인증 코드입니다. 이 값들은 안전한 통로로 페이지에 직접 채워져 AI 모델의 문맥과 앤트로픽 시스템에 도달하지 않습니다.
2. 정답: ‘전’입니다. 사용자는 자격 증명이 페이지에 입력되기 전에 생체 인증이나 비밀번호로 승인합니다.
3. 정답: 실행 환경은 맥에서 1Password와 클로드의 데스크톱 앱·브라우저 확장이 모두 필요하다는 점입니다(적용 조건). 보안 한계는 이 방식이 프롬프트 주입 공격에 견딜 수 있는지 아직 확인되지 않았다는 점입니다(한계). 두 가지는 서로 구분됩니다.

참고자료

• 제로 노출 아키텍처 입문 참고자료
• 제로 노출 아키텍처 입문 참고자료