생산 환경 내 MCP 보호를 위한 4단계 심층 방어 체계 제안
2026년 10월 12일 · 읽는 시간 2분
생산 환경에서 모델 컨텍스트 프로토콜(MCP)을 사용할 때 단일 게이트웨이에 의존하지 않고 네 가지 제어 계층을 통한 심층 방어 체계를 구축해야 한다는 주장이 제기되었습니다. 이 체계는 안전한 도구 실행, 격리된 관리 평면, 제한된 출구 신뢰 경계, 그리고 의미론적 무결성으로 구성됩니다.
2026년 초 60일 동안 MCP 배포와 관련하여 30개 이상의 CVE 보고가 접수되었습니다. Adversa AI의 3월 데이터에 따르면 500개 이상의 MCP 서버를 스캔한 결과, 핵심 엔드포인트의 38%에 인증이 누락되었으며 43%에서 명령 실행 취약점이 발견되었습니다. 특히 Microsoft는 3월 10일, 관리 ID 토큰 유출을 초래할 수 있는 Azure MCP Server의 서버 측 요청 위조(SSRF) 취약점인 CVE-2026-26118을 수정하는 패치를 발표했습니다.
첫 번째 계층인 도구 실행에서는 매개변수를 명령어가 아닌 데이터로 처리해야 합니다. 30개의 CVE 중 13개가 검증되지 않은 사용자 입력이 셸이나 동적 해석기로 전달되는 패턴을 보였습니다. 이에 따라 빌드 시점에 셸 해석기로의 매개변수 전달을 차단하는 Semgrep 규칙과 같은 지속적 통합(CI) 게이트 도입이 권장됩니다.
두 번째 계층인 관리 인프라는 검사기, 하네스, 등록 인터페이스 및 관리 콘솔을 포함합니다. CVE-2026-23744와 CVE-2026-23523 같은 사례는 관리 평면의 취약점이 단순한 도구 호출 권한 이상의 시스템 접근 권한을 공격자에게 부여할 수 있음을 보여줍니다.
세 번째 계층은 출구 신뢰 경계로, 서버가 실행에 필요한 서비스에만 접근할 수 있도록 출구 허용 목록을 사용하고 토큰 범위를 최소화하는 것이 핵심입니다. 이는 입구 인증만으로는 부족하며, 네트워크 정책을 통해 서버의 외부 트래픽을 제한함으로써 구현할 수 있습니다.
마지막 네 번째 계층은 의미론적 무결성으로, 도구 정의가 시간이 지나도 일관되게 유지되는지 확인하는 것입니다. 등록 시 도구 매니페스트를 고정하고 해시 값을 통해 변경 사항을 검토하는 방식을 통해, 등록 후 도구 정의를 변경하는 이른바 러그풀 공격을 방지할 수 있습니다.
Uber와 Pinterest는 각각 MCP 게이트웨이와 레지스트리 아키텍처, 그리고 도메인 전용 MCP 서버 생태계를 통해 이러한 다층 보안 접근 방식을 실무에 적용하고 있습니다.