에이전트 승인 피로, 인간 방화벽은 새고 있다

4만 번의 게임이 보여준 마지막 방어선의 한계

Scale X의 Alex Wauters는 AI 코딩 에이전트 명령을 승인하거나 거부하는 브라우저 게임의 통계를 공개했다. 2026년 8월 5일 글에 따르면 게임은 4만 회 이상 플레이됐고, 40만 9천 건 이상의 approve/deny 결정이 쌓였다. 평균 플레이어는 위협 3개 중 1개를 놓쳤고 평균 정확도는 66.3%였다. 세션의 32.9%는 승인한 위협과 차단한 정상 명령의 페널티가 올바른 판단 점수보다 커서 음수로 끝났다.

이 숫자는 실험실 연구가 아니라 게임 데이터다. 위협 비율도 약 34%로 실제 업무보다 높고, 사용자는 자신이 테스트 중임을 알고 있었다. 그런데도 결과는 강하다. 위험을 예상한 상황에서도 사람은 반복 승인 UX에서 흔들린다. 차량 관제 해킹, 에이전트 시대 API 보안의 경고가 외부 API 권한을 다뤘다면, 이번 사례는 개발자 로컬 권한이 얼마나 쉽게 새는지 보여준다.

가장 위험한 명령은 가장 평범한 이름을 쓴다

Scale X 데이터에서 가장 많이 놓친 명령은 npm run analyze였다. 승인률은 64.7%였다. 명령 자체는 흔한 번들 분석처럼 보이지만 package.json의 script가 외부 서버로 결과를 전송하도록 바뀌어 있으면 완전히 다른 행동이 된다. 글은 npm run setup이 48.0%, npm run deploy가 44.9%의 miss rate를 보였고, 세 npm run 계열을 합치면 52.5%가 놓쳤다고 설명한다.

이것이 에이전트 권한 모델의 핵심 약점이다. 사용자는 현재 명령만 보는 경향이 있지만 실제 위험은 이전 파일 변경, 의존성 설치, 환경변수, 셸 설정에 숨어 있다. Keyv Shai-Hulud npm 공급망 위험이 npm 생태계의 공급망 문제를 다뤘다면, 여기서는 에이전트가 바로 그 공급망 표면을 실행 버튼으로 바꿔버린다.

승인 버튼은 보안 경계가 아니라 UX 보조 장치다

Scale X의 이전 글은 Anthropic이 언급한 permission fatigue도 인용한다. 반복 승인 프롬프트가 많아질수록 사용자는 덜 주의 깊어진다. Anthropic의 Claude Code 보안 권고와 Claude Code 샌드박스 문서는 로컬 실행 권한, 네트워크 접근, 파일 범위 통제가 함께 필요하다는 방향을 제시한다. 사람은 마지막 확인자가 될 수 있지만 유일한 방화벽이면 안 된다.

한국 개발 조직은 특히 API 키 관리에서 취약하다. .zshrc, .env, kubeconfig, AWS credentials, 사내 npm registry 토큰이 로컬에 섞여 있는 경우가 많다. 에이전트가 프로젝트 밖 파일을 읽을 수 있고 네트워크로 나갈 수 있다면 승인 실수 한 번이 바로 유출이 된다. 허깅페이스 침해 타임라인, 에이전트 보안의 현실이 보여준 것처럼 AI 워크플로의 보안은 프롬프트만의 문제가 아니다.

경쟁 구도는 자동 승인보다 격리 품질로 갈린다

코딩 에이전트 제품들은 더 적은 프롬프트, 더 빠른 실행, 더 많은 자동화를 약속한다. 그러나 승인을 줄이면 위험이 커지고, 승인을 늘리면 생산성이 떨어진다. 이 딜레마를 푸는 제품은 단순히 더 똑똑한 위험 분류기를 붙이는 곳이 아니라 실행 환경을 더 잘 격리하는 곳일 가능성이 높다.

현실적 조합은 명확하다. 작업 디렉터리 밖 파일 읽기 제한, 새 네트워크 도메인 승인, 비밀 값 최소 주입, package.json 변경 후 npm run 강조 표시, destructive command hook, 감사 로그, 일회용 개발 컨테이너가 필요하다. 기업형 도구는 여기서 관리 정책과 리포팅을 팔 수 있다. 개인 개발자 도구도 최소한 위험 명령 이름보다 실행될 실제 스크립트를 먼저 보여줘야 한다.

자주 묻는 질문

Q1: 이 통계는 실제 업무에도 그대로 적용되나요?

A: 그대로 일반화할 수는 없다. 게임은 위협 비율이 높고 시간 압박이 있다. 하지만 반복 승인 피로와 익숙한 명령 이름의 위험은 현실적이다.

Q2: 가장 많이 놓친 명령은 무엇인가요?

A: Scale X 데이터에서는 npm run analyze가 64.7%로 가장 많이 승인된 위협이었다.

Q3: 승인 프롬프트를 없애야 하나요?

A: 아니다. 승인 프롬프트는 필요하지만 샌드박스, 네트워크 제한, 비밀 분리와 함께 써야 한다.

Q4: 한국 개발팀이 먼저 할 일은 무엇인가요?

A: 로컬과 CI에서 쓰는 비밀을 분리하고, 에이전트가 접근 가능한 파일과 네트워크 범위를 좁히는 일이다.

Q5: 에이전트 제품을 평가할 때 무엇을 물어봐야 하나요?

A: 파일 시스템 격리, 네트워크 egress 통제, npm script 변경 표시, 감사 로그, 정책 배포 기능을 확인해야 한다.