简体中文

繁體中文

English

Tiếng Việt

한국어

日本語

ภาษาไทย

Türkçe

Partnered With:

스로타: 돈을 "랍스터" 등 AI 에이전트에게 맡기는 것이 정말 안전할까요?

이 글을 읽으려면 53 분

API 권한 경계는 에이전트가 수행할 수있는 작업뿐만 아니라 보안 이벤트 발생시 손실이 확대될 수있는 정도도 결정합니다.

원문 제목: "SlowMist × Bitget AI 보안 보고서: 돈을 '랍스터'와 같은 AI 에이전트에게 맡기는 것은 정말 안전한가요?"

원문 출처: 슬로미스트 기술

1. 배경

대형 모델 기술의 신속한 발전으로, AI 에이전트는 단순한 지능형 비서에서 자체적인 작업 수행이 가능한 자동화 시스템으로 변모하고 있습니다.

Web3 생태계에서, 이러한 변화는 더욱 두드러집니다. 점점 더 많은 사용자가 AI 에이전트를 이용하여 시장 분석, 전략 생성, 자동 거래에 참여하려고 하며, '7x24시간 자동 실행 거래 보조 프로그램'이라는 개념이 현실로 이동하고 있습니다. 바이낸스와 OKX가 여러 AI 스킬을 출시하고, Bitget는 Skills 리소스 스테이션인 에이전트 허브와 설치가 필요 없는 랍스터 GetClaw를 출시함으로써, 에이전트는 직접 거래 플랫폼 API, 온체인 데이터 및 시장 분석 도구에 연결되어 일정 부분 사람이 해야 했던 거래 결정 및 실행 업무를 수행합니다.

전통적인 자동화 스크립트와 비교할 때, AI 에이전트는 더 강력한 자체 결정 능력과 더 복잡한 시스템 상호 작용 능력을 갖추고 있습니다. 이들은 시세 데이터에 접근하고 거래 API를 호출하며 계정 자산을 관리할 수 있으며, 플러그인이나 스킬을 통해 기능 생태계를 확장할 수도 있습니다. 이 능력 향상으로 자동화 거래의 사용 장벽이 크게 낮아졌으며, 더 많은 일반 사용자가 자동화 거래 도구에 접근하고 사용하도록 되었습니다.

그러나 능력의 확장은 공격 표면의 확대도 의미합니다.

전통적인 거래 시나리오에서, 보안 위험은 보통 계정 자격 증명, API 키 유출 또는 피싱 공격과 같은 문제에 집중되어 있습니다. 그러나 AI 에이전트 아키텍처에서는 새로운 위험이 나타나고 있습니다. 예를 들어, 프롬프트 주입이 에이전트의 결정 논리에 영향을 줄 수 있으며, 악성 플러그인이나 스킬은 새로운 공급망 공격 경로가 될 수 있으며, 실행 환경 구성 부적절로 인해 민감한 데이터나 API 권한이 남용될 수 있습니다. 이러한 문제가 자동화 거래 시스템과 결합되면, 잠재적 영향은 정보 유출뿐만 아니라 실제 자산 손실까지 직접 발생할 수 있습니다.

동시에 AI 에이전트를 거래 계정에 연결하는 사용자가 급증함에 따라, 공격자도 이러한 변화에 신속하게 적응하고 있습니다. 에이전트 사용자를 대상으로 한 새로운 유형의 사기, 악성 플러그인 독려 및 API 키 남용과 같은 문제가 새로운 보안 위협이 되고 있습니다. Web3 시나리오에서 자산 조작은 종종 고가값 및 불가역성을 가지고 있으며, 자동화 시스템이 남용되거나 오도될 경우, 리스크 영향은 더욱 큰 폭으로 확대될 수 있습니다.

이러한 배경을 바탕으로 SlowMist와 Bitget은 함께 이 보고서를 작성했습니다. 이 보고서는 보안 연구와 거래 플랫폼 실무 두 가지 관점에서 AI Agent가 여러 시나리오에서 안전 문제에 대해 체계적으로 조명합니다.본 보고서가 사용자, 개발자 및 플랫폼에 안전 참고 자료를 제공하고 AI Agent 생태계가 안전하고 혁신적인 발전을 이루는 데 도움이 되기를 희망합니다.

2. AI Agent의 실제 보안 위협 | SlowMist

AI Agent의 등장으로 소프트웨어 시스템이 '인간 중심 조작'에서 '모델 참여 결정 및 실행'으로 점진적으로 변화했습니다.이러한 아키텍처 변경은 자동화 능력을 크게 향상시켰지만 동시에 공격 표면을 확대했습니다.

현재 기술 구조를 살펴보면 전형적인 AI Agent 시스템은 일반적으로 사용자 상호작용 계층, 응용 프로그램 논리 계층, 모델 계층, 도구 호출 계층(도구 / 기술), 메모리 시스템 및 하부 실행 환경 등 여러 구성 요소를 포함합니다.공격자는 일반적으로 단일 모듈에만 공격을 가하지 않고 다층 경로를 통해 에이전트의 행위 제어를 점진적으로 영향을 미치려고 시도합니다.

1. 입력 조작 및 팁 워드 삽입 공격

AI Agent 아키텍처에서 사용자 입력 및 외부 데이터는 일반적으로 모델 문맥에 직접 통합되므로 팁 워드 삽입(Prompt Injection)이 중요한 공격 방법이 됩니다. 공격자는 특정 명령을 구성하여 에이전트가 원래 발생하지 않아야 하는 작업을 수행하도록 유도할 수 있습니다.예를 들어 일부 사례에서는 채팅 명령만으로도 고위험 시스템 명령을 생성하고 실행할 수 있습니다.

더 복잡한 공격 방법은 간접 삽입입니다. 즉, 공격자가 악의적인 명령을 웹 콘텐츠, 문서 설명 또는 코드 주석에 숨깁니다. 에이전트가 이러한 콘텐츠를 읽을 때이를 법정 명령으로 오인할 수 있습니다.예를 들어 플러그인 설명서, README 파일 또는 Markdown 파일에 악의적인 명령을 삽입하면 에이전트가 환경 초기화 또는 종속성 설치 중에 공격 코드를 실행할 수 있습니다.

이러한 공격 방식의 특징은 전통적인 취약점에 의존하는 것이 아니라 모델이 컨텍스트 정보에 대한 신뢰 메커니즘을 이용하여 행동 논리에 영향을주는 점에 있습니다.

2. 기술 / 플러그인 에코시스템의 공급망 독려

현재의 AI 에이전트 에코시스템에서, 플러그인 및 기술 시스템 (기술 / MCP / 도구) 은 에이전트 능력을 확장하는 중요한 방식입니다. 그러나 이러한 종류의 플러그인 에코시스템은 새로운 공급망 공격 경로로 변모하고 있습니다.

SlowMist는 OpenClaw의 공식 플러그인 센터 ClawHub을 모니터링하는 과정에서, 개발자 수의 증가에 따라 일부 악의적인 Skill이 섞여들고 있다는 것을 발견했습니다. SlowMist는 400개 이상의 악의적인 Skill의 IOC를 분석하고 집계한 결과, 다수의 샘플이 소수의 고정된 도메인이나 동일한 IP에서 여러 무작위 경로로 향하며, 이는 명확한 리소스 재사용 특징을 나타내며, 이는 조직화된 대규모 공격 행동과 같은 것으로 보입니다.

OpenClaw의 Skill 시스템에서, 핵심 파일은 일반적으로 SKILL.md입니다.

전통적인 코드와는 달리, 이러한 종류의 Markdown 파일은 주로 "설치 안내" 및 "초기화 진입점"의 역할을 합니다. 그러나 에이전트 에코시스템에서는 사용자가 직접 이러한 파일을 복사하고 실행하기도 하며, 결과적으로 완전한 실행 체인이 형성됩니다. 공격자는 악의적인 명령을 의존성 설치 단계로 위장시키기만 하면(예: curl | bash 사용 또는 실제 명령을 숨기기 위한 Base64 인코드), 사용자를 유도하여 악의적인 스크립트를 실행시킬 수 있습니다.

실제 샘플에서, 일부 Skill은 전형적인 "두 단계 로딩" 전략을 채택합니다:

· 첫 번째 단계 스크립트는 다운로드 및 실행에만 관여합니다.

· 두 번째 단계 페이로드를 통해 정적 감지의 성공률을 낮춥니다.

다운로드 수가 많은 "X (Twitter) Trends" Skill을 예로 들면, 해당 SKILL.md에는 Base64 인코딩 된 명령어가 숨어 있습니다.

디코딩하면 원격 스크립트를 다운로드하여 실행하는 것을 밝힙니다:

두 번째 단계 프로그램은 사용자 비밀번호를 획득하기 위해 시스템 경고창을 위장하고, 로컬 정보, 데스크톱 문서 및 다운로드 디렉터리의 파일을 수집하여 마지막으로 해당 파일을 압축하고 공격자가 제어하는 서버로 업로드합니다.

이 유형의 공격은 주로 Skill 외피 자체가 비교적 안정적인 상태로 유지될 수 있다는 장점을 가지며, 공격자는 원격 Payload만 교체하여 공격 논리를 지속적으로 업데이트할 수 있습니다.

3. 에이전트 의사결정 및 작업 편성 계층 위험

AI 에이전트의 응용 프로그램 레이어에서, 작업은 일반적으로 모델에서 여러 실행 단계로 분해됩니다. 공격자가이 분해 프로세스에 영향을 줄 수 있다면, 에이전트가 합법적인 작업을 수행 할 때 비정상적인 동작을 유발할 수 있습니다.

예를 들어, 자동화 배포 또는 체인 상 거래와 같은 여러 단계의 작업이 포함된 비즈니스 프로세스에서, 공격자는 핵심 매개변수를 변경하거나 논리 판단을 방해하여 에이전트가 대상 주소를 대체하거나 추가 작업을 수행하도록 만들 수 있습니다.

이전의 보안 검토 사례에서, SlowMist는 MCP에 악의적인 단어를 반환하여 컨텍스트를 오염시키고, 결과적으로 에이전트가 체인 상 송금을 수행하도록 유도했습니다.

이러한 유형의 공격은, 오류가 모델 생성 코드가 아닌 작업 편성 논리의 변경으로 인한 것임을 특징으로 합니다.

4. IDE / CLI 환경에서의 개인 정보 및 민감 정보 노출

AI 에이전트가 개발 보조 및 자동화 운영에 널리 사용된 후, 많은 에이전트가 IDE, CLI 또는 로컬 개발 환경에서 실행되기 시작했습니다.

이러한 환경에는 .env 구성 파일, API 토큰, 클라우드 서비스 자격 증명, 개인 키 파일 및 다양한 액세스 키와 같은 많은 민감한 정보가 포함될 수 있습니다. 에이전트가 작업 실행 중에이러한 디렉토리를 읽을 수 있다면, 실수로 민감한 정보가 모델 컨텍스트로 전달될 수 있습니다.

일부 자동화 개발 프로세스에서는, 디버깅, 로그 분석 또는 종속성 설치 중에 에이전트가 프로젝트 디렉토리에서 구성 파일을 읽을 수 있습니다. 명시적인 무시 정책이나 액세스 제어가 부족한 경우, 이러한 정보가 로깅되거나 원격 모델 API로 전송되거나 악의적인 플러그인을 통해 외부로 전송될 수 있습니다.

또한 일부 개발 도구는 에이전트에게 코드 저장소를 자동으로 스캔하여 콘텍스트 메모리를 구축하도록 허용할 수 있습니다. 예를 들어, 개인 키 파일, 니모닉 백업, 데이터베이스 연결 문자열 또는 타사 API 토큰과 같은 것들이 인덱싱 프로세스에서 읽히게 될 수 있습니다.

Web3 개발 환경에서는 이 문제가 더욱 두드러지는데, 개발자들은 종종 로컬 환경에 테스트용 개인 키, RPC 토큰 또는 배포 스크립트를 저장합니다. 이러한 정보가 악의적인 Skill, 플러그인 또는 원격 스크립트에 의해 획득되면, 공격자는 개발자 계정이나 배포 환경을 더욱 제어할 수 있게 됩니다.

따라서 AI 에이전트와 IDE / CLI 통합 시, 명확한 민감한 디렉토리 무시 정책(예: .agentignore, .gitignore와 유사한 메커니즘) 및 권한 분리 조치를 수립하는 것은 데이터 누출 위험을 줄이는 데 중요한 전제 조건입니다.

5. 모델 계층의 불확실성과 자동화 위험

AI 모델 자체는 완전한 결정론적인 시스템이 아니며, 모델의 출력에는 일정 확률의 불안정성이 존재합니다. 이른바 "모델 환각"은 정보 부족 상태에서 합리적으로 보이지만 실제로 잘못된 결과를 생성하는 모델을 가리킵니다. 전통적인 응용 프로그램 시나리오에서는 이러한 오류가 주로 정보 품질에만 영향을 미치지만, AI 에이전트 아키텍처에서는 모델의 출력이 직접 시스템 작업을 유발할 수 있습니다.

예를 들어 특정 사례에서 모델이 프로젝트 배포 시 실제 매개변수를 쿼리하지 않고 잘못된 ID를 생성하고 배포 프로세스를 계속할 수 있습니다. 이러한 경우가 체인 상 거래나 자산 조작 시나리오에서 발생하면 잘못된 의사 결정으로 인해 돌이킬 수 없는 자금 손실이 발생할 수 있습니다.

6. Web3 시나리오에서의 고가치 작업 리스크

전통적인 소프트웨어 시스템과는 달리, Web3 환경에서 많은 작업은 되돌릴 수 없는 특성을 가집니다. 예를 들어, 체인 상 이체, 토큰 교환, 유동성 추가 및 스마트 계약 호출은 한번 트랜잭션이 서명되어 네트워크로 브로드캐스트되면 일반적으로 취소하거나 롤백하기 어렵습니다. 따라서 AI 에이전트가 체인 상 작업을 수행하는 데 사용될 때, 그 보안 위험도 더욱 커집니다.

일부 실험적인 프로젝트에서는 이미 개발자들이 에이전트가 직접 체인 상 거래 전략 실행, 자동화된 아비트라지, 자금 관리 또는 DeFi 작업을 시도하고 있습니다.

그러나 에이전트가 작업 분해나 매개변수 생성 과정에서 힌트 주입, 컨텍스트 오염 또는 플러그인 공격의 영향을 받는 경우, 거래 과정에서 대상 주소를 대체하거나 거래 금액을 수정하거나 피싱 스마트 계약을 호출할 수도 있습니다. 게다가, 일부 에이전트 프레임워크는 플러그인이 지갑 API 또는 서명 인터페이스에 직접 액세스하도록 허용합니다. 서명 격리나 사용자 확인 메커니즘 부족의 경우, 악의적인 Skill에 의해 자동 거래가 트리거될 수도 있습니다.

따라서 Web3 시나리오에서 AI 에이전트를 자산 제어 시스템에 완전히 묶는 것은 고위험 설계입니다.

더 안전한 모델은 일반적으로 에이전트가 거래 제안 또는 서명되지 않은 거래 데이터를 생성하는 데만 책임을지고, 실제 서명 과정은 독립적인 지갑이나 인간 확인을 통해 완료됩니다. 동시에 주소 신용 검사, AML 리스크 관리 및 거래 시뮬레이션과 같은 메커니즘을 결합하여 자동화 된 거래로 인한 위험을 어느 정도 로 줄일 수 있습니다.

7. 시스템 수준 위험을 초래하는 고권한 실행

많은 AI 에이전트는 실제 배포에서 높은 시스템 권한을 갖습니다. 예를 들어 로컬 파일 시스템 액세스, 셸 명령 실행 또는 심지어 루트 권한으로 실행할 수 있습니다.에이전트의 행동이 제어되면 영향 범위가 단일 응용프로그램을 훨씬 초과할 수 있습니다.

SlowMist는 OpenClaw를 텔레그램과 같은 인스턴트 메시징 앱과 바인딩하여 원격 제어를 구현한 테스트를 수행했습니다. 제어 채널이 공격자에게 압수 당하면, 에이전트는 임의의 시스템 명령을 실행하거나 브라우저 데이터를 읽고 로컬 파일에 액세스하거나 다른 응용 프로그램을 제어하는 데 사용될 수 있습니다. 플러그인 생태계 및 도구 호출 기능을 결합하면이러한 유형의 에이전트는 어느 정도 "지능형 원격 제어" 기능을 이미 갖추고 있습니다.

종합적으로, AI 에이전트의 보안 위협은 더 이상 전통적인 소프트웨어 취약점에만 국한되지 않고,모델 상호 작용 레이어, 플러그인 공급망, 실행 환경 및 자산 운영 레이어를 포함한 여러 차원으로 확장되었습니다.

공격자는 트리거 단어를 통해 에이전트의 행동을 제어 할 수도 있으며, 악의적인 스킬이나 종속성 패키지를 공급망에 심어 백도어를 설치하고 높은 권한 실행 환경에서 공격 영향을 확대할 수 있습니다.

Web3 시나리오에서 온체인 작업은 되돌릴 수 없으며 실제 자산 가치가 포함되기 때문에이러한 위험은 일반적으로 더 크게 부각됩니다. 따라서 AI 에이전트의 설계 및 사용 과정에서 기존 응용보안 정책에만 의존하는 것은 새로운 공격 표면을 충분히 다루기 어렵습니다. 권한 제어, 공급망 거버넌스 및 거래 보안 메커니즘 등 다양한 측면에서보다 체계적인 보안 방어 체계를 구축해야합니다.

3. AI 에이전트 거래 보안 실천 사례 | Bitget

AI 에이전트 기능이 점점 강화됨에 따라, 그들은 더 이상 정보 제공 또는 의사 결정을 보조하는 것뿐만 아니라 직접 시스템 조작에 참여하고 심지어 온체인 거래를 실행하기 시작했습니다.

암호화폐 거래 시나리오에서는 이러한 변화가 더욱 두드러집니다. 점점 더 많은 사용자가 AI 에이전트를 시장 분석, 전략 실행 및 자동 거래에 참여시키려고 합니다. 에이전트가 거래 인터페이스를 직접 호출하고 계정 자산에 액세스하며 자동 주문을 할 수 있는 경우, 그 안전 문제는 "시스템 보안 위험"에서 "실제 자산 위험"으로 더욱 진화합니다. AI 에이전트가 실제 거래에 사용될 때 사용자는 어떻게 자신의 계정과 자금을 안전하게 보호해야 할까요?

이를 바탕으로 본 소절은 Bitget 보안팀이 거래 플랫폼의 실무 경험을 토대로, 계정 보안, API 권한 관리, 자금 격리 및 거래 모니터링 등 다양한 측면에서 AI 에이전트를 사용한 자동 거래 시 주의해야 할 보안 전략을 체계적으로 소개합니다.

1. AI 에이전트 거래 시나리오의 주요 보안 위험

2. 계정 안전

AI 에이전트 등장 후 공격 경로가 변경되었습니다:

· 귀하의 계정에 로그인할 필요가 없음 — 귀하의 API 키만 필요함

· 귀하가 인지하지 않아도 됨 — 에이전트가 7x24시간 자동 실행되며 비정상 작업은 며칠 동안 계속될 수 있음

· 인출할 필요가 없음 — 자산을 플랫폼 내에서 직접 거래하여 자산 손실을 입힐 수 있음, 마찬가지로 공격 목표가 됨

API 키의 생성, 수정, 삭제는 모두 로그인된 상태에서만 완료할 수 있음 — 계정이 제어를 받으면 키 관리 권한이 제어를 받음. 계정 보안 수준은 API 키의 안전한 상한선을 직접 결정함.

귀하는 다음을 해야 합니다:

· Google Authenticator를 주요 2단계 인증으로 활성화하십시오. 문자 메시지가 아닌 것을 선택하십시오(SIM 카드가 탈취될 수 있음)

· 패스키 무암호 로그인을 활성화하십시오: FIDO2/WebAuthn 표준을 기반으로 하여 공개 및 개인 키 암호화가 전통적인 비밀번호를 대체하며, 사슴 사냥 공격이 아키텍처 수준에서 무효화됨

· 피싱 코드를 설정하십시오

· 주기적으로 장치 관리 센터를 확인하여 이상한 장치를 발견하면 즉시 로그아웃하고 비밀번호를 변경하십시오

3. API 보안

AI 에이전트 자동 거래 아키텍처에서 API 키는 에이전트의 "실행 권한 증명" 역할을 합니다. 에이전트 자체는 계정 제어 권한을 직젹 보유하지 않으며, 수행할 수 있는 모든 작업은 API 키가 부여된 권한 범위에 의해 결정됩니다.따라서 API 권한 범위는 에이전트가 수행할 수 있는 작업이 무엇인지 뿐만 아니라 안전 사고 발생 시 손실이 어떻게 확대될 수 있는지를 결정합니다.

권한 구성 매트릭스 — 최소한 권한, 편의가 아닌 권한:

대부분의 거래 플랫폼에서 API 키는 일반적으로 여러 보안 제어 메커니즘을 지원하며, 이러한 메커니즘을 합리적으로 사용하면 API 키 남용 위험을 크게 줄일 수 있습니다. 일반적인 보안 구성 권고 사항:

사용자가 자주하는 실수:

· 기본 계정 API 키를 직접 에이전트 구성에 붙여넣기 — 기본 계정의 모든 권한이 완전히 노출됨

· 업무 유형을 '모두 선택'을 클릭해 편리를 노림, 실제로는 모든 작업 범위가 열림

· 패스프레이즈를 설정하지 않았거나 패스프레이즈가 계정 비밀번호와 동일함

· API 키가 코드에 하드코딩되어 있으며, GitHub에 올리고 나면 크롤러가 3 분 내에 가져감

· 하나의 키가 여러 개의 에이전트 및 도구로 동시에 허용되어 있어, 하나가 침입당하면 전체 노출

· 키가 유출된 후 즉시 폐기하지 않아, 공격자가 계속 악용하는 창문 기간

키의 라이프사이클 관리:

API 키는 90일마다 한 번 바꿈. 오래된 키를 즉시 삭제 에이전트가 중지되면 해당 키도 즉시 삭제하여 잔여 공격 표면을 남기지 않음 API 호출 기록을 정기적으로 확인하여 이상한 IP 또는 시간대를 발견하면 즉시 폐지

4. 자금 안전

공격자가 API 키를 획득한 후 어느 정도의 손실을 입힐지는 이 키가 얼마나 많은 자금을 조작할 수 있는지에 달려 있습니다. 따라서 AI Agent의 거래 아키텍처를 설계할 때는 계정 보안 및 API 권한 제어뿐만 아니라 자금 격리 매커니즘을 통해 잠재적인 위험에 명확한 손실 상한선을 설정해야 합니다.

하위 계정 격리 매커니즘:

· 에이전트 전용 하위 계정 생성, 기본 계정과 완전히 분리

· 기본 계정은 에이전트가 실제로 필요한 자금만 할당, 모든 자산을 할당하지 않음

· 자식 계정 키가 도난당해도, 공격자가 빼갈 수 있는 최대 금액 = 자식 계정 내 자금, 주 계정은 영향받지 않음

· 여러 개의 에이전트 전략은 각각 다른 자식 계정을 통해 관리되며, 상호 격리됨

자금 비밀번호는 두 번째 잠금 장치:

· 자금 비밀번호 (자금 비밀번호) 는 로그인 비밀번호와 완전히 분리되어 있으며, 계정이 로그인되더라도 자금 비밀번호가 없으면 인출할 수 없음

· 자금 비밀번호와 로그인 비밀번호를 서로 다른 비밀번호로 설정함

· 출금 화이트리스트 사용: 미리 추가된 주소만이 인출할 수 있으며, 새 주소는 24시간의 심사 기간이 필요함

· 자금 비밀번호를 변경하면 시스템이 자동으로 인출을 24시간 동안 보류함 - 이는 당신을 보호하는 메커니즘임

5. 거래 보안

AI 에이전트 자동 거래 시나리오에서, 보안 문제는 종종 일회성 예외 행동으로 나타나지 않고, 시스템이 계속 실행되는 과정에서 점진적으로 발생할 수 있음.따라서, 계정 보안과 API 권한 제어뿐만 아니라, 계속적인 거래 모니터링 및 예외 감지 메커니즘 구축이 필요함으로, 문제가 발생한 초기 단계에서 즉시 감지하고 개입해야 함.

구축해야 하는 모니터링 시스템:

예외 시그널 감지 - 다음 상황 발생 시 즉시 멈추고 확인해야 함:

· 에이전트가 오랫동안 활동하지 않았지만 계정에 새 주문이나 포지션 API 호출 로그가 나타남

· 에이전트 서버 IP로의 요청

· 설정되지 않은 거래 페어의 체결 알림을 받음

· 해석할 수 없는 계정 잔액 변동

· 에이전트가 반복해서 "더 많은 권한이 필요함"을 알림 - 이유를 먼저 파악한 후 권한 부여 여부를 결정

기술과 도구 출처 관리:

· 공식 배포 및 검토 채널에서 제공된 Skill만 설치

· 미인증된 또는 확인되지 않은 출처의 서드파티 확장프로그램 설치를 피하십시오

· 설치된 Skill 목록을 정기적으로 검토하고 더 이상 사용하지 않는 Skill을 삭제하십시오

· 커뮤니티의 "향상된 버전" 또는 "한국어 버전" Skill에 경계심을 갖십시오 — 모든 비공식 버전은 위험합니다

6. 데이터 보안

AI Agent의 결정은 다량의 데이터(계정 정보, 보유 포지션, 거래 이력, 시세, 전략 매개변수)에 의존합니다. 이러한 데이터가 유출되거나 변조된 경우, 공격자가 귀하의 전략을 추론하거나 거래 행위를 조작할 수 있습니다.

해야 할 일

· 최소 데이터 원칙: 거래 실행에 필요한 데이터만 Agent에 제공하십시오

· 민감한 데이터 마스킹: 로그, 디버그 정보에서 Agent이 완전한 계정 정보, API Key 등 민감한 데이터를 노출시키지 마십시오

· 전체 계정 데이터를 공용 AI 모델(예: 공용 LLM API)에 업로드하지 마십시오

· 가능하다면, 전략 데이터와 계정 데이터를 분리하십시오

· Agent의 과거 거래 데이터 내보내기를 비활성화하거나 제한하십시오

사용자의 일반적인 실수

· 완전한 거래 이력을 AI에 업로드하여 "전략 최적화를 도와줘" 신청하기

· Agent 로그에 API Key/Secret을 기록하기

· 공개 포럼에 거래 기록 스크린샷(주문 ID, 계정 정보 포함)을 게시하기

· 데이터베이스 백업을 AI 도구에 업로드하여 분석하기

7. AI Agent 플랫폼 수준의 보안 설계

사용자 측면의 보안 구성뿐만 아니라, AI Agent 거래 생태계의 안전성은 대부분 플랫폼 수준의 보안 설계에 의존합니다.

성숙한 Agent 플랫폼은 일반적으로 계정 격리, API 권한 관리, 플러그인 심사, 기본 보안 기능 등을 포함한 체계적인 방어 메커니즘을 구축하여 사용자가 자동화된 거래 시스템에 앞서는 종합적인 위험에 직면하는 것을 제한합니다.

실제 플랫폼 아키텍처에서 일반적인 보안 설계에는 일반적으로 다음과 같은 측면이 포함됩니다.

1. 서브 계정 격리 시스템

자동화 거래 환경에서 플랫폼은 일반적으로 서로 다른 자동화 시스템의 자금과 권한을 격리하기 위해 서브 계정 또는 전략 계정 시스템을 제공합니다. 이를 통해 사용자는 각 에이전트 또는 거래 전략에 대해 독립적인 계정과 자금 풀을 할당할 수 있으므로 여러 자동화 시스템이 동일한 계정을 공유할 때 발생할 수 있는 리스크를 피할 수 있습니다.

2. 세분화된 API 권한 설정

AI 에이전트의 핵심 작업은 API 인터페이스에 의존하므로 플랫폼은 일반적으로 API 권한을 디자인할 때 교역 권한 분할, IP 출처 제한 및 추가적인 보안 검증 메커니즘을 지원해야 합니다. 이러한 권한 모델을 통해 사용자는 에이전트에게 필요한 최소한의 작업 수행 권한만 부여할 수 있습니다.

3. 에이전트 플러그인 및 기술 검토 메커니즘

일부 플랫폼은 플러그인 또는 기술의 출시 및 상장 과정에 코드 검토, 권한 평가 및 보안 테스트 등의 검토 메컨즘을 설정합니다. 이러한 보안 관점에서의 검토 메커니즘은 플러그인 공급망에 플랫폼 수준의 필터링 계층을 추가한 것으로 볼 수 있지만 사용자는 여전히 설치된 확장 기능에 대해 기본 보안 인식을 유지해야 합니다.

4. 플랫폼 기본 보안 기능

에이전트 관련 보안 메커니즘 외에도 거래 플랫폼 자체의 계정 보안 시스템은 에이전트 사용자에게 중요한 영향을 미칠 수 있습니다. 예를 들면:

8. 에이전트 사용자를 대상으로 한 특수 사기

페이크 고객 서비스

“귀하의 API Key에 보안 위험이 있습니다. 즉시 다시 구성하십시오.” 그리고 사칭 링크 제공.

→ 공식적으로는 API Key를 요청하는 개인 메시지를 보내지 않습니다.

악성 Skill 패키지

커뮤니티에서 “향상된 거래 스킬”을 공유하며 실행 중에 귀하의 키를 암호적으로 전송합니다.

→ 공식 검토 채널의 Skill만 설치하십시오.

위장된 업그레이드 통지

「재인가 필요」을 클릭하면 피싱 페이지로 이동합니다.

→ 이메일 피싱 코드를 확인하세요.

프롬프트 주입 공격

시장 데이터, 뉴스, K 선 주석에 명령을 삽입하여 에이전트를 제어하여 예기치 않은 작업을 수행합니다.

→ 서브 계정 자금 한도를 설정하여 삽입되어도 손실이 강제적인 경계를 갖습니다.

악성 스크립트로 위장한 「보안 검사 도구」

귀하의 키 누출 여부를 확인할 수 있다고 주장하지만, 실제로는 키를 도난당합니다.

→ 공식 플랫폼에서 제공하는 로그 또는 액세스 레코드 기능을 사용하여 API 호출 상황을 확인하세요.

9. Troubleshooting Path

이상을 발견하면

↓

즉시 의심스러운 API 키를 취소하거나 비활성화합니다.

↓

계정의 이상 주문/포지션을 확인하고 철회 가능한 것은 즉시 철회하세요.

↓

인출 레코드를 확인하여 자금이 이미 이체되었는지 확인하세요.

↓

로그인 및 자금 비밀번호를 변경하고 모든 로그인된 장치를 로그아웃시킵니다.

↓

플랫폼 보안 지원팀에 문의하여 이상한 시간대 및 작업 레코드를 제공하세요.

↓

키 누출 경로를 조사하세요 (코드 라이브러리 / 구성 파일 / 스킬 로그).

핵심 원칙: 의심스러운 상황을 만나면 먼저 키를 철회하고 그 후 원인을 조사하세요. 순서를 뒤바꾸지 마세요.

4. Suggestions and Summary

본 보고서에서 SlowMist와 Bitget은 실제 사례와 보안 조사를 결합하여 현재 AI Agent의 Web3 시나리오에서 주로 발생하는 보안 문제를 분석했습니다. 이는 프롬프트 주입이 Agent 행동을 조종하는 위험, 플러그인 및 스킬 생태계의 공급망 위험, API 키 및 계정 권한 남용 문제, 자동화 실행으로 인한 실수 및 권한 확대와 같은 잠재적 위협을 포함합니다.

이러한 문제는 종종 단일 취약점이 아닌 에이전트 아키텍처 설계, 권한 제어 전략 및 실행 환경의 보안이 함께 작용한 결과입니다.

따라서 AI 에이전트 시스템을 구축하거나 사용할 때는 전반적인 아키텍처 수준에서 보안 설계를 수행해야 합니다. 예를 들어 최소 권한 원칙을 준수하여 API 키 및 계정 권한을 에이전트에 할당하고 불필요한 고위험 기능을 활성화하지 않아야 합니다.

도구 호출 수준에서 플러그인과 스킬을 권한으로 분리하여 데이터 검색, 결정 생성 및 자금 조작 기능을 동시에 갖는 단일 구성 요소를 피해야 합니다.

에이전트가 핵심 작업을 실행할 때 명확한 행동 경계와 매개변수 제한을 설정하고 필요한 경우 인간 확인 메커니즘을 추가하여 자동 실행으로 인한 불가역적인 리스크를 줄여야 합니다.

동시에 에이전트가 의존하는 외부 입력에 대해서는 합리적인 프롬프트 설계 및 입력 격리 메커니즘을 통해 프롬프트 주입 공격을 예방하고 외부 콘텐츠를 직접 시스템 명령으로 모델 추론 프로세스에 참여하지 않도록해야 합니다. 실제 배포 및 실행 단계에서는 API 키 및 계정 보안 관리를 강화해야 합니다. 예를 들어 필요한 권한만을 활성화하거나 IP 화이트리스트를 설정하고 주기적으로 키를 회전시키며 코드 저장소, 구성 파일 또는 로그 시스템에 민감한 정보를 평문으로 저장하지 않아야 합니다.

개발 프로세스 및 실행 환경에서는 플러그인 보안 검토, 로그 민감한 정보 제어 및 행동 모니터링 및 감사 메커니즘을 통해 구성 누출, 공급망 공격 및 비정상 작업으로 인한 리스크를 줄여야 합니다.

보다 총체적인 보안 아키텍처 수준에서, SlowMist는 AI 및 Web3 스마트 에이전트 시나리오를 대상으로 다층 보안 지배 방안을 제안하여 고도 권한 환경에서의 스마트 에이전트 리스크를 체계적으로 감소시키는 방법을 소개했습니다.

이 프레임워크에서 L1 보안 지배는 먼저 통합된 개발 및 사용 보안 기준을 기반으로 하여 AI 도구 체인 도입 시 팀에게 통합된 정책 및 감사 기준을 제공하는 개발 및 사용 보안 기준에서 시작됩니다.

이를 바탕으로 한 L2는 에이전트 권한 경계 수렴, 도구 호출 최소 권한 제어 및 핵심 행동의 인간-기계 확인 메커니즘을 통해 고위험 작업의 실행 범위를 효과적으로 제한할 수 있습니다.

동시에 L3은 외부 상호 작용 진입점에서 실시간 위협 인식 기능을 도입하여 URL, 종속성 저장소, 플러그인 소스 등 외부 자원을 사전 검사하여 악의적 콘텐츠 또는 공급망 오염이 실행 체인에 들어가는 확률을 줄일 수 있습니다.

체인 상 거래 또는 자산 조작이 포함된 시나리오에서는 L4 체인 상 위험 분석 및 독립적 서명 메커니즘을 통해 추가적인 보안 격리를 실현하여 에이전트가 거래를 구성하지만 개인 키에 직접 접촉하지 않도록 함으로써 고가 자산 조작으로 인한 체계적 리스크를 줄일 수 있습니다.

최종으로 L5 는 지속적인 감사, 로그 감사 및 주기적인 보안 리뷰 등의 운영 메커니즘을 통해 "실행 전 예측 가능, 실행 중 제약 가능, 실행 후 분석 가능"한 폐쇄적 보안 역량을 형성합니다.

이러한 계층화된 보안 접근 방식은 하나의 제품이나 도구가 아닌 AI 도구 체인 및 스마트 에이전트 에코시스템을 대상으로 하는 보안 지배 프레임워크이며, 그 핵심 목표는 개발 효율성과 자동화 능력을 현저하게 저하시키지 않으면서 시스템적인 전략, 지속적인 감사 및 보안 역량 연계를 통해 팀이 지속 가능하고 감사 가능하며 진화 가능한 에이전트 보안 운영 체계를 구축하도록 지원하여 AI 및 Web3 깊이 통합 배경에 대한 지속적인 보안 도전에 대응하는 데 도움을 줍니다.