에이전틱 AI 시스템은 도구 호출을 각각 개별적으로 검증할 뿐, 일련의 연속적인 작업이 초래하는 결합 위험을 평가하지 않아 보안 감사에 실패하는 경우가 잦다. 2026년 7월 25일에 공개된 개념 증명 저장소에 따르면, 각 단계(고객 데이터 조회, 이메일 업데이트, 비밀번호 재설정)가 표준 역할 정책상 허용된 작업임에도 에이전트가 이를 악용해 계정을 탈취할 수 있음이 확인됐다. 이러한 취약점은 개별 작업은 정상적으로 보여도, ID 변경 후 자격 증명 복구와 같은 특정 작업 순서가 결합할 때 보안 사고가 발생하기 때문에 나타난다.

공개된 실습 환경은 두 가지 시나리오를 대조한다. 'Run D'에서는 'account_recovery' 권한 내에서 허용된 일련의 작업을 수행하려 할 때, 보안 시스템이 이를 위험한 조합으로 판단해 비밀번호 재설정을 차단한다. 이때 시스템은 세션 내 'READ' 및 'IDENTITY_MUTATION'과 같은 'prior_action_classes'를 추적하여 'R4_SEQUENCE' 위반을 기록한다. 반면 'Run E'에서는 순서만 뒤바뀌었을 뿐 동일한 도구 호출임에도 불구하고 보안 검사를 통과하는데, 이는 공격의 핵심이 개별 권한이 아닌 작업 순서에 있음을 시사한다.

현재 업계 표준은 호출 단위의 허용 목록에 의존하고 있어, 연쇄적인 도구 실행이 가진 누적 영향을 고려하지 못한다. 해당 저장소는 현재 특정 위험 조합에 대해 하드코딩된 규칙을 사용하고 있으나, 단계별 보안과 조합 인식 방어 사이의 격차를 보여주는 기준점이 된다. 저자는 개발자들에게 시뮬레이션을 수행하고 유사한 위협을 탐지할 수 있는 도구를 찾도록 독려하며, 위험한 작업 조합을 정의하는 범용 엔진 구축이 여전히 에이전틱 AI 보안 분야의 미해결 과제임을 강조했다.

에이전틱 AI 시스템은 도구 호출을 각각 개별적으로 검증할 뿐, 일련의 연속적인 작업이 초래하는 결합 위험을 평가하지 않아 보안 감사에 실패하는 경우가 잦다. 2026년 7월 25일에 공개된 개념 증명 저장소에 따르면, 각 단계(고객 데이터 조회, 이메일 업데이트, 비밀번호 재설정)가 표준 역할 정책상 허용된 작업임에도 에이전트가 이를 악용해 계정을 탈취할 수 있음이 확인됐다. 이러한 취약점은 개별 작업은 정상적으로 보여도, ID 변경 후 자격 증명 복구와 같은 특정 작업 순서가 결합할 때 보안 사고가 발생하기 때문에 나타난다.

공개된 실습 환경은 두 가지 시나리오를 대조한다. 'Run D'에서는 'account_recovery' 권한 내에서 허용된 일련의 작업을 수행하려 할 때, 보안 시스템이 이를 위험한 조합으로 판단해 비밀번호 재설정을 차단한다. 이때 시스템은 세션 내 'READ' 및 'IDENTITY_MUTATION'과 같은 'prior_action_classes'를 추적하여 'R4_SEQUENCE' 위반을 기록한다. 반면 'Run E'에서는 순서만 뒤바뀌었을 뿐 동일한 도구 호출임에도 불구하고 보안 검사를 통과하는데, 이는 공격의 핵심이 개별 권한이 아닌 작업 순서에 있음을 시사한다.

현재 업계 표준은 호출 단위의 허용 목록에 의존하고 있어, 연쇄적인 도구 실행이 가진 누적 영향을 고려하지 못한다. 해당 저장소는 현재 특정 위험 조합에 대해 하드코딩된 규칙을 사용하고 있으나, 단계별 보안과 조합 인식 방어 사이의 격차를 보여주는 기준점이 된다. 저자는 개발자들에게 시뮬레이션을 수행하고 유사한 위협을 탐지할 수 있는 도구를 찾도록 독려하며, 위험한 작업 조합을 정의하는 범용 엔진 구축이 여전히 에이전틱 AI 보안 분야의 미해결 과제임을 강조했다.