1. 무엇을 냈고 무엇을 내지 않았나
IR 8621은 AI 시스템을 겨냥한 공격과 오용·오작동·이상 행동이 만든 피해를 다룬 공개 워크숍을 정리한다. 최종 보고서는 11월 2일, 워크숍은 5월 14일이다.
규정이나 새 준수 표준이 아니다. 기존 요구와 지침은 계속 유효하고 후속 문서는 개발 중이다. ‘IR 8621 준수’ 표식이 아니라 격차 지도와 훈련 입력으로 써야 한다.
2. AI 사고가 다른 이유
시스템은 확률적이고 적응하며 도구를 호출하고 여러 데이터·공급업체와 연결될 수 있다. 같은 입력도 실패를 그대로 재현하지 않을 수 있고 모델·프롬프트·검색 자료·도구 권한 하나가 행동을 바꾼다.
따라서 모델 버전, 지시 맥락, 도구 호출, 검색 출처, 보호 설정, 에이전트·서비스 ID 기록이 필요하다. HTTP 로그는 연결을 보여도 행동 선택의 이유는 설명하지 못할 수 있다.
3. 격리는 하나의 종료 버튼이 아니다
워크숍은 특정 도구 토큰, 커넥터, 비인간 ID만 취소하거나 읽기 전용으로 전환하는 범위형 격리를 다뤘다. 피해를 줄이면서 조사·복구 상태를 남기는 접근이다.
시각, 버전, 설정, 입력과 도구 상태를 묶은 재현 범위도 필요하다. 완전 재현을 약속하지 않되 무엇을 입증할 수 있는지 명확히 한다.
4. 30/60/90은 NIST 의무가 아니다
한 발표자는 30일 내 텔레메트리, 60일 내 권한 회수 시간 단축, 90일 내 연성 격리 훈련을 제안했다. 보고서가 이를 기록했지만 모든 조직의 공식 의무로 만들지는 않았다.
고객지원 에이전트라면 무단 도구 호출 탐지, 로그를 보존한 ID 취소 시간, 통제 복구를 증명하는 재가동 훈련으로 바꿔 측정할 수 있다.
5. 실전 판단: 에이전트 하나를 격리할 수 있나
합성 계정과 비운영 커넥터에서 무해한 정책 위반 요청을 넣고 경보, 증거, 특정 도구 차단 시간을 기록한다. 고객 데이터나 운영 환경의 공격 행동은 쓰지 않는다.
담당자 지정, 증거 보존, 특정 ID 취소, 부작용 검토, 통제 확인 후 복구가 가능해야 통과다. SP 800-61r3의 일반 사고 대응과 함께 사용한다.
