설계 기반 엔터프라이즈 보안
EDDI는 설계 단계에서 보안 취약점의 전체 클래스를 제거합니다. eval() 없음, 코드 실행 블록 없음, 동적 코드 주입 없음, 에이전트 동작은 선언적 JSON 구성만으로 정의.
왜 지금 이것이 중요한가
AI 에이전트 생태계는 전례 없는 보안 압력을 받고 있습니다. 2026년 초, 주요 오픈소스 에이전트 프레임워크 전반에서 수백 건의 치명적 취약점이 공개적으로 문서화되었습니다. 여기에는 CVSS 10.0 원격 코드 실행 결함, 샌드박스 탈출, 권한 우회가 포함됩니다. 대부분의 근본 원인은 사용자 제공 코드나 동적으로 생성된 코드를 런타임에 실행하는 플랫폼이었습니다.
클라우드 보안 얼라이언스(Cloud Security Alliance)는 체계적인 "AI 에이전트 공개 공백"을 식별했습니다.
EDDI의 아키텍처 방어
코드 실행을 샌드박싱하려고 시도하는 대신, EDDI는 공격 표면을 완전히 제거합니다.
보안 기능
- eval() 제로, 동적 코드 실행 없음 (CVSS 10.0 RCE 위험 제거)
- OIDC/Keycloak, RBAC 역할(admin, editor, viewer)과 전용 승인자 역할을 갖춘 엔터프라이즈 인증 및 권한 부여
- 사용자별 워크스페이스, 모든 구성 리소스에 소유자와 개인 또는 팀 스페이스가 있으며, 사용, 조회, 편집, 소유 수준으로 명시적으로 공유
- Connections, 아웃바운드 호출을 위한 단일 자격 증명 모델로, 조직 전체 키와 OAuth2 서비스 계정부터 각 사용자 본인의 OAuth 계정이나 호출 시스템이 요청마다 제공하는 자격 증명까지 지원. 시크릿은 항상 Vault 참조로 처리
- 도구 결과 가드레일, 모든 도구 결과에 출처 정보가 포함되며, 그 안의 지시문 형태 텍스트는 모델이 이에 따라 행동하기 전에 표시, 가림 처리, 경고 또는 차단
- Vault 통합, API 키를 위한 안전한 시크릿 관리
- 경로 순회 보호, 모든 경계에서 입력 검증
- SSRF 보호, URL 검증과 도메인 허용 목록으로 서버 측 요청 위조를 방지하며, HTTP 호출, MCP, A2A 대상에서는 DNS 확인이나 리다이렉트를 거치는 경우까지 포함해 클라우드 메타데이터 엔드포인트를 차단
- 암호화 감사 추적, 불변, 변조 방지 운영 로그
- EU AI법 대응, 규제 준수를 위한 내장 거버넌스 기능
- 시크릿 삭제, API 키, vault 참조, 민감한 데이터를 모든 감사 항목에서 자동으로 필터링
- PII 안전 로깅, GDPR 작업은 SHA-256 가명을 기록하며, 원시 사용자 식별자는 기록하지 않음
- Sigstore Cosign, 키리스 OIDC 컨테이너 이미지 서명, 모든 Docker 이미지가 공식 CI에서 빌드되었음을 암호학적으로 검증
- 강화된 베이스 이미지, 다이제스트 고정 Red Hat UBI 10 런타임, Red Hat 인증 카탈로그에 게시
- 시크릿 컨텍스트 값, 호출자는 한 턴 동안만 사용할 수 있고 저장되거나 반환되지 않는 자격 증명을 에이전트에 전달할 수 있습니다
- 제한된 런타임 템플릿, 런타임 데이터로 만든 템플릿은 구성이나 빈에 접근할 수 없고 렌더링당 한도가 있는 제한된 엔진에서 렌더링되며, 사용자 입력은 항상 데이터로 대입될 뿐 템플릿으로 파싱되지 않습니다
자동화된 보안 파이프라인
모든 변경은 자동화된 보안 도구를 거치며, 모든 GitHub Action은 공급망 공격을 막기 위해 SHA로 고정되어 있습니다:
- CodeQL,
security-extended쿼리를 사용한 시맨틱 SAST 분석 - Trivy, 파일시스템 종속성 및 Docker 이미지의 CVE 스캔 (CRITICAL/HIGH에서 차단)
- Gitleaks, 시크릿 및 자격 증명 유출 방지를 위한 Git 이력 스캔
- Dependency Review, 알려진 취약점이 있는 새 의존성을 해당 의존성을 추가하는 pull request에서 표시
- CycloneDX, 공급망 투명성을 위한 SBOM 생성
- ClusterFuzzLite와 Jazzer, 보안 핵심 파서를 위한 커버리지 기반 퍼즈 테스트
- OpenSSF Scorecard, 저장소의 공급망 보안 관행을 지속적으로 점수화
규칙을 모델 밖에 두어야 하는 이유
도구를 가진 에이전트에게 중요한 공격은 프롬프트 인젝션입니다. 도구를 사용하는 에이전트를 대상으로 한 한 벤치마크에서, 방어가 없을 때 티켓과 로그에 숨겨진 지시로 인해 에이전트가 82.5%의 확률로 안전하지 않은 행동을 했습니다. 프롬프트 수준의 방어로는 10~26%가 여전히 안전하지 않았고, 도구 호출 지점에서 강제되는 정책 게이트만이 승인된 변경은 통과시키면서 이를 0으로 만들었습니다. 그래서 EDDI는 주입된 텍스트가 말로 우회할 수 없는 엔진 내부, 도구 경계에서 규칙을 강제합니다. 연구 목록은 근거 페이지에 있습니다.
보안 강화 기록
보안 작업은 지속적으로 이루어지며, 발견한 내용을 공개합니다. 최근 라운드:
- 2026년 10월 (6.6.0), 시크릿 처리, 권한 부여 누락, 아웃바운드 요청, 배포 기본값 전반의 보안 강화, 6.5.0 및 그 이전에 출시된 코드의 수정 포함, 따라서 새 기능과 관계없이 업그레이드를 권장합니다
- 2026년 9월 (6.5.0), 템플릿 인젝션, 아웃바운드 호출의 SSRF, 볼트 키 처리, 시크릿 범위, 워크스페이스 권한 부여, 채널 신원, EDDI 매니저의 보안 UI에 걸친 약 30건의 수정을 담은 검토 라운드, 각 수정에는 회귀 테스트 포함
- 2026년 8월 (6.3.0, 6.4.0), 아웃바운드 자격 증명을 Connections로 통합, 도구 결과에 출처 정보를 붙이고 지시문 형태의 텍스트를 가림 처리, 에이전트에 대한 볼트 권한 부여 강제
- 2026년 7월 (6.2.0), 도구 결과 캐시를 신원별로 분리, 실시간 도구 트레이스에서 시크릿을 가림 처리, 감사 HMAC 비교를 상수 시간으로 변경
거버넌스 및 컴플라이언스 통합
보안 기능은 EDDI의 컴플라이언스 프레임워크에 직접 반영됩니다. 불변 감사 추적은 EU AI 법안의 기록 보관 요구 사항(12조)을 지원하고, 파이프라인 추적은 AI 의사결정의 투명성(13조)을 제공하며, 관리 UI는 긴급 정지 기능으로 사람의 감독(14조)을 가능하게 합니다. 동일한 인프라가 GDPR, HIPAA, SOC 2 및 15+개의 추가 규제 프레임워크를 하나의 통합 API로 지원합니다.