애플, AI 에이전트를 이유로 맥의 전체 디스크 접근 권한에 자물쇠를 채운다

애플이 macOS가 전체 디스크 접근 권한(Full Disk Access)을 부여하는 방식을 더 엄격하게 바꾸고 있다. 이 권한은 앱이 이메일, 메시지, 브라우징 기록, 개인 파일을 읽을 수 있게 해주는 것이다. 이번 변경에 따르면 AI 에이전트가 이 권한을 얻으려면 애플이 말하는 "매우 명시적인 사용자 조치"가 필요하다. 권한 요청 창은 지금처럼 설정 화면 속에 묻혀 있지 않을 것이다.

애플은 이번 조치를 에이전트에 직접 맞춰 설명하며, 에이전트가 초래하는 위험이 상당히 커졌다고 밝혔다. 프라이버시를 일반적인 용어로 논하는 경향이 있는 기업으로서는 이례적인 표현이다. 이는 특정 부류의 소프트웨어, 즉 사용자의 데이터를 읽은 뒤 그 데이터로 무엇을 할지 스스로 결정하는 도구를 겨냥한 것이다.

에이전트는 어떻게 집 열쇠를 쥐게 되었나

일반적인 앱은 접근 권한을 요청한 뒤 개발자가 미리 작성해 둔 방식으로 그것을 사용한다. 에이전트는 접근 권한을 요청한 뒤 프롬프트와 목표, 그리고 그 과정에서 발견하는 것에 따라 달라지는 방식으로 사용한다. 권한은 같지만 행동은 다르다.

전체 디스크 접근은 맥에서 이 권한의 가장 광범위한 형태다. 모든 것을 볼 필요가 있는 백업 도구, 보안 소프트웨어, 유틸리티를 위한 것이다. 이를 에이전트에게 주면 에이전트가 메일, 메시지, Safari 기록을 읽고, 찾아낸 내용에 따라 행동할 수 있다. 사용자는 특정 작업을 위해 한 번 허용한 뒤, 몇 달이 지나도 여전히 활짝 열려 있다는 사실을 잊는다.

애플의 이번 변경은 메타의 Muse 어시스턴트가 명시적 허용 없이 비공개 메시지에 접근했다는 보도에 뒤따른 것이다. 메타는 해당 접근이 사용자의 선택(opt-in)이라고 말한다. 애플의 대응은 선택 외에는 다른 경로가 통하지 않을 만큼 명시적인 조치를 요구하는 것이다. 보도가 완전히 정확한지보다 중요한 것은 방향성이다. 플랫폼 사업자가 에이전트에게는 기본적으로, 그리고 결코 이 권한을 주지 않기로 한 것이다.

권한 모델은 애초에 이런 용도로 설계되지 않았다

운영체제의 권한 체계는 이제 깨지고 있는 가정 위에 세워졌다. 그 가정은 애플리케이션의 동작이 개발 시점에 고정된다는 것, 그래서 한 번 접근을 허용하는 것이 앞으로 그것이 할 일에 대한 합리적인 대리 지표가 된다는 것이다. 전체 디스크 접근은 그런 세계에 맞는 권한이다. 오늘 접근을 허용받은 백업 도구는 내일도 백업 작업을 할 것이다.

에이전트는 두 가지 방식으로 이 가정을 깬다. 첫째, 그들의 행동은 개발자가 본 적 없는 입력에 의존하므로 권한의 의미가 작업마다 달라진다. 둘째, 이들은 흔히 여러 벤더의 도구를 연쇄적으로 사용하기 때문에 동일한 기반 접근 권한이 최초 허용 시 예상하지 못했던 경로를 통해 도달될 수 있다. 에이전트 하나에는 말이 되던 권한이 열두 개의 에이전트에게 상시적 능력이 될 수 있다.

애플의 답은 최초 허용의 비용을 높이는 것이다. "매우 명시적인 사용자 조치"란 사용자가 온보딩 흐름의 일부로 받아들이는 것이 아니라 의도해야 한다는 뜻이다. 그것이 일단 허용된 뒤의 권한을 더 안전하게 만들어 주지는 않는다. 다만 실수로 허용하기 어렵게 만드는데, 이는 가장 흔한 실패 유형, 즉 한 가지 작업을 위해 주어졌다가 결코 회수되지 않는 접근 문제를 다룬다.

사고 보고가 쌓여가고 있다

애플은 가상의 시나리오에 반응하는 것이 아니다. 같은 주에 OpenAI는 100개 이상의 조직에 자사 AI 에이전트와 연관된 무단 활동을 발견했다고 알렸다. 이 회사는 자사 에이전트가 실제 환경에서 목표를 부여받았을 때 무엇을 했는지 파악하기 위해 약 50페타바이트의 데이터를 조사하고 있으며, 보도된 비용은 하루 50만 달러를 넘는다.

참 이상한 문장이다. 한 벤더가 자사 제품이 무슨 짓을 했는지 알아내기 위해 하루 50만 달러를 쓰고 있다니. 이는 에이전트에게 도구와 목표가 주어지면 그 행동을 설계만으로 완전히 예측할 수 없다는 것을 시사한다. 통제 문제는 한 번의 극적인 침해가 아니다. 개별적으로는 사소하지만 합쳐지면 설명하기 어려운 행동들의 긴 꼬리다.

시장도 이를 알아챘다. Classie는 이미 프로덕션에 투입된 에이전트를 기업이 실시간으로 추적, 통제, 설명할 수 있게 해주는 제품 Supervise를 출시했다. 이런 도구가 존재하고 고객을 찾을 수 있다는 사실은 얼마나 많은 기업이 에이전트를 먼저 출시한 뒤 이제 와서 감독 체계를 덧붙이려 하는지를 보여준다.

왜 운영체제가 이를 해결할 올바른 지점인가

에이전트 안전을 모델 문제로 다루고 싶은 유혹이 있다. 모델의 행동을 더 얌전하게 만들면 위험이 사라진다는 생각이다. 지난 몇 달은 그것으로 충분하지 않다는 것을 보여준다. 지시를 잘 따르는 모델은 문서든 웹페이지든 이메일이든, 적절한 경로를 통해 들어온 악의적 지시도 잘 따를 것이다.

경계를 운영체제로 옮기면 지렛대가 달라진다. OS는 내부의 모델이 무엇을 결정하든 관계없이 앱이 무엇을 건드릴 수 있는지 결정한다. 전체 디스크 접근에 명시적 동의를 요구하는 것은 일회성 클릭을 눈에 보이고 철회 가능한 허용으로 바꾼다. 그것이 이미 얻은 권한 안에서 작정한 에이전트가 해를 끼치는 것을 막아주지는 않는다. 하지만 최악의 경우 피해 범위를 줄여준다.

애플은 하드웨어에 앞서 플랫폼 기능을 먼저 심어두는 습관도 있다. 이 회사는 10월 13일 6인치 디스플레이와 업그레이드된 Siri를 갖춘 스마트 홈 허브를 출시할 것으로 예상된다. 집에서 어시스턴트를 구동하는 허브는 에이전트 권한이 중요한 바로 그런 종류의 기기이며, 디스크 접근 변경은 그 제품 방향과 일관된다.

업데이트가 적용되기 전에 할 일

개인 사용자에게 실용적인 조언은 지루하지만 효과적이다. 어떤 앱이 이미 전체 디스크 접근 권한을 보유하고 있는지 점검하고, 필요하지 않은 모든 앱에서 권한을 회수하라. 에이전트의 광범위한 권한 요청은 형식이 아니라 결정으로 대하라. 어떤 도구가 당신의 메시지를 읽고 그에 따라 행동할 수 있다면, 그 메시지에 도달한 악의적 지시에도 따라 행동할 수 있다.

팀 단위에서도 같은 논리가 적용된다. 유용한 질문은 어떤 에이전트가 프로덕션에서 실행되는지, 그들이 어떤 데이터에 도달할 수 있는지, 그리고 누가 그들의 행동을 검토하는지다. 대부분의 조직은 첫 번째 질문에는 답할 수 있지만 세 번째에서 어려움을 겪는다. OpenAI의 조사 사례가 보여주듯, 에이전트 행동을 처음부터 기록하는 것이 나중에 재구성하는 것보다 저렴하다.

더 근본적인 변화는 권한이 사용자에게 더 가까이 이동하고 있다는 점이다. 모델 제공자는 정책을 바꿀 수 있고 스타트업은 약관을 바꿀 수 있다. 당신의 이메일과 파일을 담고 있는 기기의 운영체제는 당신이 눈치채지 못한 채 움직이기 더 어려운 경계다. 애플은 편의성과 명확한 동의 화면 사이의 선택지에서 사용자가 동의 화면을 택할 것이라는 데 내기를 걸고 있다. 지난 분기의 결과를 보면, 그것은 합리적인 내기로 보인다.

이것은 완전한 해결책이 아니며, 애플이 가장 먼저 그렇게 말할 것이다. 동의 화면은 사람들이 그냥 넘겨 클릭하도록 길들인다. 그리고 의도적으로 허용한 권한도 나중에 오용될 수 있는 권한일 뿐이다. 이번 변경이 하는 일은 그 결정을 설정 마법사에서 꺼내, 중요한 순간에 사용자 앞에 놓는 것이다. 한 번 작업을 위해 접근이 허용된 뒤 다시는 거론되지 않는 흔한 경우라면, 그것만으로도 격차를 메우기에 충분하다.