Executive Summary

주요 수치

아래 네 수치 가운데 26,000과 670만은 AIR가 자사 리서치로 내놓은 것입니다. 그 문제를 해결하겠다며 제품을 파는 회사가 직접 측정하고 공개한 수치라는 점을 감안해서 읽는 편이 좋습니다. 나머지 둘은 창업자가 언론 인터뷰에서 밝힌 수치입니다.

출처: TechCrunch, AIR raises $50M to help companies vet the skills and add-ons AI agents use(2026-09-01) · Calcalist(2026-09-01) · AIR, The Story of Skills(2026-06-22)

회사가 에이전트에게 사내 시스템의 문을 하나씩 열어 주면서, 그 에이전트가 쓰는 도구 쪽에 새로운 소프트웨어 공급망이 생기고 있다는 것이 테크크런치 기사의 출발점입니다. 스킬과 플러그인, MCP 서버, 인터넷과 상호작용하게 해 주는 애드온이 그 공급망의 부품입니다. AIR는 기업에 그 공급망을 들여다볼 방법이 곧 필요해진다고 보고, 그 제품을 만들겠다며 스텔스에서 나왔습니다.

AIR는 이 상황을 운영체제에 견줍니다. 기업에서 에이전트가 쓰이는 방식은 점점 운영체제를 닮아 가는데, 정작 그 위에 설치되는 도구에는 드라이버나 애플리케이션에 주던 감독이 아직 없다는 것입니다. 최고경영자 야이르 사반이 든 예가 드라이버 서명입니다.

회사는 제품을 세 겹으로 설명합니다. 먼저 회사 환경에서 돌아가는 에이전트를 찾아내고, IT 승인을 받지 않은 AI 도구를 쓰는 직원과 개인 계정으로 쓰는 직원까지 식별합니다. 다음으로 에이전트에 훅을 걸어 스킬을 불러오거나 인터넷에서 콘텐츠를 가져오는 동작을 가로채 분석합니다. 마지막으로 에이전트가 쓰려는 도구와 애드온을 회사가 유지하는 화이트리스트에 대조합니다. 사전 검증을 마친 애드온만 올리는 마켓플레이스도 함께 운영합니다.

27%라는 수치가 나오는 자리가 바로 그 화이트리스트입니다. 사반은 인터넷에 공개된 스킬과 애드온을 변경과 악성 행위 기준으로 평가해 목록을 유지한다고 설명했고, 현재 플랫폼이 그렇게 찾은 것의 약 27%를 걸러 낸다고 밝혔습니다. 이 비율이 유지되는 이유로 든 것이 시간입니다. 이미 승인한 스킬이라도 내려받는 패키지가 바뀌거나 개발자 계정이 넘어가면 그때부터 위험해질 수 있다는 것입니다.

회사 규모는 아직 작습니다. 칼칼리스트에 따르면 AIR는 2026년 2월에 야이르 사반과 니브 호프만이 세웠습니다. 두 사람은 10년쯤 전 군에서 만난 이스라엘 정보부대 8200부대 출신이고, 공격 쪽 사이버보안을 다뤘습니다. 직원은 이스라엘에 40명이며 에이전트 행동을 연구하는 리서치 랩을 꾸리는 데 무게를 두고 있습니다. 월트디즈니와 코스트코에서 최고정보보호책임자를 지낸 라이언 크니슬리가 최고전략책임자로 합류했습니다. 고객은 20곳이 넘고 그중 4분의 1가량이 대기업이며, 수요가 가장 강한 곳은 금융과 제약처럼 규제가 센 산업이라고 사반은 말했습니다. 새로 모은 돈은 주로 리서처를 뽑고 미국과 유럽 영업을 넓히는 데 쓸 계획입니다.

사반은 가장 큰 위험이 권한 설정에 있다고 보지 않습니다. 에이전트가 데이터베이스와 사내 시스템을 넘나들며 더 자율적으로 일하고 인터넷에 연결되면, 공격자는 에이전트를 직접 치는 대신 에이전트가 소비하는 콘텐츠를 오염시킬 수 있다는 것입니다. 칼칼리스트 인터뷰에서는 위험의 출처를 셋으로 나눴습니다. 에이전트에 설치된 확장과 도구, 에이전트가 인터넷에서 만나는 웹사이트, 그리고 사내 정보입니다. 권한을 과하게 준 것이 문제의 뿌리가 아니라고 그는 못 박았습니다. 회사가 자기 제품을 에이전트를 위한 인라인 방화벽이라고 부르는 이유도 거기 있습니다. 에이전트가 무엇을 해도 되는지를 제한하는 대신, 에이전트의 컨텍스트로 들어오는 것을 막겠다는 설계입니다.

회사가 스텔스에 있는 동안 여름 내내 공개해 온 자체 조사가 그 주장을 받칩니다. 한 조사에서는 공개된 AI 애드온 17,800개, 설치 수로 약 670만 건이 신뢰할 수 없는 외부 출처에서 지시를 받고 있었습니다. 다른 조사에서는 앤트로픽과 오픈AI 같은 신뢰받는 브랜드를 사칭한 스킬이 플랫폼 보안 검토를 우회한 사례를 확인했습니다. 그중 하나는 기업 시스템에서 임의 코드를 실행할 수 있는 상태였다고 회사는 밝혔습니다.

사칭이 검사를 통과한 경위는 7월 16일 글에 적혀 있습니다. 중국 영상 앱 더우인의 영상을 내려받아 주는 설치 4,400건짜리 스킬이 앤트로픽 계정에 있는 nodriver-kit라는 패키지에 의존한다고 적어 두었는데, 그 주소는 404였고 패키지는 PyPI에 올라온 적도 없었습니다. 스캐너는 그 의존성을 분명히 봤습니다. 다만 앤트로픽이 신뢰 조직 목록에 있다는 이유로 위험도를 낮게 매겼다고 자기 보고서에 적었습니다. 이름을 읽었을 뿐, 그 이름이 가리키는 것이 실재하는지는 확인하지 않은 것입니다. 앤트로픽과 오픈AI, 마이크로소프트, 구글의 이름을 달고 없는 자원을 가리키는 스킬을 모으니 설치 수가 68,600건을 넘었다고 회사는 적었습니다.

2.1스캐너를 모두 통과한 스킬에 무엇이 들어왔나

회사가 6월 22일 블로그에 올린 실험이 그 구조를 끝까지 보여 줍니다. 리서치팀은 한 시간이 채 안 걸려 악성 스킬 하나를 만들었습니다. 이름은 brand-landingpage로, 구글이 막 내놓은 디자인 도구 스티치를 써서 랜딩 페이지를 만들어 주는 스킬이라고 소개했습니다. 코드도 디자인 지식도 필요 없다고 적었으니, 겨냥한 대상은 개발자가 아니라 마케터와 영업, 디자이너였습니다.

신뢰는 빌려 왔습니다. 별 3만 6천 개와 스킬 156개를 담은 인기 플러그인 마켓플레이스 저장소에 풀 리퀘스트를 올렸고, 며칠 뒤 병합됐습니다. 그때부터 이 스킬은 남의 별 수를 자기 신뢰도로 달고 다녔습니다. 그다음에는 인스타그램 광고를 집행해 그 사람들 눈앞에 직접 올렸습니다.

스캐너가 이 스킬을 놓친 이유는 그 설계에 있습니다. 지금 나와 있는 스킬 스캐너는 대체로 SKILL.md와 함께 묶여 있는 파일을 정적 규칙과 LLM으로 검사합니다. 그런데 스킬은 에이전트를 그 파일 바깥으로 자주 내보냅니다. 설치 안내나 API 문서가 있는 외부 주소를 읽고 따르라고 지시하는 식입니다. 에이전트는 그 외부 문서를 스킬 본문과 같은 무게로 받아들입니다. 이 실험의 스킬은 SDK 설치법을 본문에서 통째로 비워 두고 외부 문서 링크만 남겨, 에이전트가 그 주소를 읽지 않고는 진행할 수 없게 만들었습니다. 그 주소 stitch-design.ai는 구글이 아니라 리서치팀이 쥐고 있었고, 진짜 스티치 사이트로 넘겨주도록 설정해 두어 정적으로 뜯어봐도 이상한 점이 보이지 않았습니다.

시스코와 엔비디아의 스캐너, 그리고 skills.sh의 스캐너를 모두 돌린 결과는 안전이었습니다. 별 수와 다운로드 수, 스캐너 판정이라는 신뢰 신호가 모두 이 스킬을 통과시킨 뒤, 팀은 외부 문서의 내용을 교체했습니다. 스킬 파일은 그대로 둔 채 그 스킬이 가리키는 주소의 내용만 바꾼 것입니다. 그렇게 에이전트 26,000개가 영향을 받았고, 그중에는 기업 계정의 에이전트도 있었습니다. 실제 페이로드는 설치자의 메일 주소를 받아 통보할 수 있게 한 것뿐이고 피해를 입은 에이전트는 없다고 회사는 적었습니다.

물론 이 실험을 공개한 주체는 그 문제를 해결하겠다며 제품을 파는 회사입니다. 실험 설계도 표적도 그 회사가 골랐고, 결론은 자사 마켓플레이스로 이어집니다. 다만 실험이 드러낸 스캐너의 사각지대 자체는 제품과 무관하게 성립합니다. 묶여 있는 파일만 읽는 검사로는 링크 너머에 무엇이 들어오는지 알 수 없습니다.

이번 라운드에서 투자자가 남긴 말도 같은 곳을 가리킵니다. 세쿼이아 파트너 보고밀 발칸스키가 테크크런치에 보낸 서면 입장입니다.

발칸스키가 문제로 잡은 것은 검사의 주기입니다. 같은 회사가 여름 내내 이어서 낸 후속 조사도 같은 축 위에 있습니다. 규모가 가장 큰 것은 7월 2일 조사입니다. 스킬이 끌어다 쓰는 깃허브 계정이 삭제되거나 이름이 바뀌면 그 이름은 아무나 다시 등록할 수 있는 상태로 풀립니다. 그렇게 지금 당장 넘겨받을 수 있는 의존성 위에 올라앉은 스킬이 925개, 그 스킬이 깔린 에이전트가 134,000개였다는 것이 조사 결과입니다. 리서치팀은 그중 설치 11,483건짜리 영상 생성 스킬의 원본 계정 이름을 실제로 다시 등록해 저장소를 손에 넣었습니다. 마켓플레이스의 등재 정보는 그대로였고 별과 설치 수도 원저자의 것으로 남았습니다. 공개된 그 스킬에 악성 코드를 실제로 밀어 넣지는 않았다고 회사는 덧붙였습니다.

7월 30일 조사는 스킬이 아니라 스킬이 실행할 때마다 복제해 오는 저장소 쪽을 봤습니다. 스킬들이 참조하는 버려진 깃허브 계정과 저장소가 124개였고, 그 위에 스킬 178개와 에이전트 23,812개가 얹혀 있었습니다. 스킬은 한 글자도 바뀌지 않았고 작성자도 실제로 신뢰받는 사람이었습니다. 예전에 설치해 둔 사본이라고 안전한 것도 아닙니다. 스킬은 실행할 때마다 그 저장소를 새로 복제하기 때문에, 몇 달 전에 깔아 둔 것도 다음 실행에서 남의 코드를 받아 옵니다. 8월 27일 조사에서는 공식 MCP 레지스트리에서 만료된 도메인에 기대고 있던 MCP 155개를 찾아, 그 도메인을 사서 자기 MCP를 올리는 방식으로 해당 MCP를 신뢰하던 에이전트에 원격 명령을 넣을 수 있었다고 밝혔습니다.

네 사례의 공통점은 목록의 한 줄이 그대로인 채로 그 줄이 가리키는 대상만 바뀌었다는 것입니다. 스킬 이름도, 버전 표기도, 작성자도 어제와 같습니다. 바뀐 것은 그 스킬이 읽어 오는 문서이고, 원저자가 놓아 버린 계정 이름이고, 실행할 때 복제해 오는 저장소이고, 접속하는 도메인입니다. 뒤의 세 사례에는 배신한 사람조차 없습니다. 원저자는 계정 이름을 규정대로 바꾸고 떠났거나, 운영하던 서비스가 으레 그렇듯 조용히 멈췄을 뿐입니다. 일회성 검사가 붙잡을 사건 자체가 없었다고 회사는 적었습니다. 설치 시점에 받은 안전 판정은 그 시점까지만 유효했습니다.

자본은 이미 이 구간에 몰려 있습니다. 테크크런치가 같은 기사에서 나열한 경쟁자만 넷입니다. 노마 시큐리티는 에이전트와 MCP 서버, 스킬에 대한 발견과 접근 통제, 런타임 모니터링을 팝니다. 제니티는 비슷한 방식의 보안·거버넌스 도구를 팔고, 아스트릭스 시큐리티는 아이덴티티 플랫폼으로 에이전트와 MCP 서버를 발견하고 통제하게 해 줍니다. 오퍼런트 AI는 에이전트 보호와 MCP 게이트웨이를 함께 내놨습니다. 제니티는 8월에 시리즈 C로 1억 2,500만 달러를, 노마는 지난해 시리즈 B로 1억 달러를 받았습니다.

사반이 자기 해자로 든 것도 그래서 재검증 쪽입니다. 엔드포인트 가시성을 확보하는 일은 쉽고 누구나 하게 될 것이라 해자를 만들기 어렵지만, 스킬과 플러그인 웹사이트를 계속 검증하는 일은 어려운 임무라는 것이 그의 주장입니다. 그는 AI 랩과 제공사들이 언젠가 악성 스킬을 걸러 내는 검사와 정책을 자기 제품에 넣을 것이라는 점도 인정했습니다. 그러면서도 기업은 여러 벤더를 가로질러 동작하는 독립 제품을 따로 사려 할 것이라고 봤습니다. 칼칼리스트 인터뷰에서는 소프트웨어를 만드는 난이도가 크게 떨어져 예전에도 베끼기는 쉬웠다며, 자기 회사의 차별점은 사후 탐지가 아니라 예방에 집중하는 것이라고 말했습니다.

데이터를 다루는 쪽에서 읽으면 이 이야기의 중심은 보안 사고보다 목록 관리 쪽에 있습니다. 어떤 데이터셋이 어디서 왔고 어느 버전이며 언제 무엇이 바뀌었는지를 적어 두는 일을 우리는 계보라고 부릅니다. 에이전트가 쓰는 스킬과 MCP 서버에 같은 질문을 던지면 답이 잘 나오지 않습니다. 지금은 그런 상태입니다.

이번 사례는 그 목록에 칸을 하나 더 요구합니다. 부품의 이름과 버전만으로는 부족합니다. 그 부품이 실행 시점에 어디를 읽으러 가는지, 마지막으로 검사받은 시각이 언제인지가 함께 적혀 있어야 합니다. 데이터 파이프라인으로 치면 원본 테이블 이름만 적어 두고 그 테이블이 어제 통째로 교체된 사실을 모르는 상황과 같습니다.

지금 에이전트를 굴리기 시작한 회사가 자기 환경에 대해 던져 볼 만한 질문은 세 가지입니다.

• 우리 에이전트가 지금 어떤 스킬과 플러그인, MCP 서버를 쓰고 있는지 적힌 목록이 있는가.
• 그 목록의 각 항목이 마지막으로 검사받은 시각이 기록돼 있는가.
• 항목이 실행 중에 읽어 오는 외부 주소와 의존 저장소까지 목록에 들어가 있는가.

세 질문 모두 제품을 사야 답할 수 있는 것은 아닙니다. 첫 질문은 사내에서 쓰이는 에이전트와 그 설정 파일을 모으는 것으로 시작할 수 있고, 두 번째 질문은 검사 기록에 시각을 남기는 습관에서 시작합니다. 세 번째 질문이 이번 사례가 새로 얹은 부분입니다. 부품 목록을 아무리 잘 만들어도, 그 부품이 실행 중에 바깥에서 무엇을 읽어 오는지를 목록에 넣지 않으면 검사 결과는 링크 앞에서 멈춥니다.

목록을 만들어 두는 쓸모는 결국 반대 방향으로 되짚을 때 드러납니다. AIR가 파는 기능을 칼칼리스트가 설명한 대목도 그렇습니다. 애드온 하나가 악성으로 밝혀지거나 승인이 취소되면, 그것에 기대고 있던 에이전트와 업무 흐름을 역으로 찾아내 조직 전체에서 한 번에 끊을 수 있다는 것입니다. 데이터 계보를 붙드는 이유와 같습니다. 어느 테이블이 오염됐을 때 그것을 먹고 자란 지표와 모델을 되짚지 못하면, 계보는 사고가 난 뒤에 아무 일도 하지 못합니다.

27%라는 숫자를 다시 읽으면 이 지점이 분명해집니다. 인터넷에 공개된 스킬의 4분의 1 남짓이 위험하다는 판정이 이 숫자의 전부는 아닙니다. 누군가 그것을 세기 시작하니 그만큼이 나왔다는 사실이 함께 담겨 있습니다. 세는 주체가 제품을 파는 회사뿐이라면 그 목록도 그 회사의 것입니다.

보도

• 1.TechCrunch. (2026). "AIR raises $50M to help companies vet the skills and add-ons AI agents use."
• 2.Calcalist (CTech). (2026). "Six-month-old AIR Security raises $50 million to build a firewall for AI agents."

AIR 자사 리서치 (벤더 자체 조사)

• 3.AIR Security. (2026). "The Story of Skills - How We Hijacked 26,000 Agents With One Instagram Ad."
• 4.AIR Security. (2026). "SkillJacking - 925 Skills Hijacked From Their Maintainers, Affecting 134K Agents."
• 5.AIR Security. (2026). "Fake It 'Till You Make It: A Skill In The Wild Impersonated Anthropic To Run Arbitrary Code."
• 6.AIR Security. (2026). "RepoJacking: 178 Skills Hijacked Through The Repositories They Depend On, 23,812 Agents Affected."
• 7.AIR Security. (2026). "MCPJacking: 155 Hijackable MCPs Discovered Live in the Official MCP Marketplace."