우버, AI 코딩 에이전트 감시 체계 공개

우버(Uber)가 사내에서 운영해 온 AI 에이전트 보안 시스템 ADR(Agentic AI Detection and Response)을 깃허브(GitHub)에 아파치 2.0 라이선스로 공개했다. 커서(Cursor)·클로드 코드(Claude Code)·코덱스(Codex) 같은 코딩 에이전트가 사내에서 무엇을 했는지 기록하고, 위험한 행동을 골라내는 것이 목적이다. 저장소에는 별 1,200개와 포크 101개가 표시돼 있고, 관련 논문은 시스템 분야 학회 MLSys 2026에 채택됐다.

무슨 일인가 / 배경

개발 도구는 사람이 명령을 하나씩 치는 방식에서, 에이전트가 알아서 파일을 읽고 셸을 실행하고 외부 서비스를 호출하는 방식으로 넘어왔다. 편의가 커진 만큼 기록의 공백도 커졌다. 어떤 명령이 실행됐는지는 남지만, 에이전트가 왜 그 명령을 골랐고 어떤 도구를 거쳐 갔는지는 대개 어디에도 남지 않는다. 우버는 이 공백을 메우는 체계를 자체 구축해 실제 운영 환경에서 돌려왔고, 그중 일부를 이번에 개방했다.

핵심 짚어보기

ADR은 네 축으로 짜여 있다. 첫째 관측은 맥오에스·리눅스·윈도우에서 일곱 종 이상 AI 코딩 도구의 의도, 도구 사용, 실행 흐름을 모아 하나의 스키마로 정규화한다. 사내 자동화와 고객 응대 에이전트까지 대상에 넣었다. 둘째 벤치마크(ADR-Bench)는 과제 303개와 MCP 서버 133개를 갖췄고, 알려진 17가지 에이전트 공격 기법을 모두 다룬다.

셋째 탐지는 두 단으로 나뉜다. 놓치는 것을 줄이는 데 초점을 둔 1차 선별로 전체를 넓게 훑고, 의심스러운 세션만 더 깊은 에이전트 추론으로 넘긴다. 전수를 비싼 모델로 검사하지 않고 의심 구간만 깊게 파는 이 설계는 예산이 빠듯한 소규모 팀이 그대로 축소해 쓸 만하다. 넷째 차단은 이번 공개에서 빠졌다. 배포 전 레드팀용 오프라인 엔진도 포함되지 않았다. 저장소는 센서와 탐지 두 갈래, 그리고 논문 그림을 그대로 재현하는 절차 문서로 구성돼 있다.

1인기업 실전 적용 포인트

• 전부 가져오려 하지 말고 텔레메트리 스키마만 참고한다. 에이전트가 어떤 도구를 어떤 인자로 호출했는지 한 줄씩 JSON으로 쌓아두는 것만으로도 사고 원인 추적 시간이 크게 줄어든다.
• 2단 탐지를 축소해 붙인다. 1차는 정규식·키워드 수준의 값싼 필터로, 2차만 LLM 호출로 두면 하루 수백 세션도 몇백 원대에서 감시할 수 있다.
• 위험 행동 목록을 먼저 문서로 못 박는다. 자격증명 파일 읽기, 외부 도메인 전송, 강제 삭제·강제 푸시, 결제 API 호출 네 가지만 정해도 자동화 사고의 큰 몫이 걸러진다.
• 키 없이 먼저 돌려본다. 저장소는 API 키 없이 동작하는 점검용 경로를 제공하므로, 비용을 들이기 전에 구조부터 확인하고 도입 여부를 정하면 된다.

전망 / 주의점

차단 기능이 빠진 채 공개됐다는 점은 감안해야 한다. 지금 얻을 수 있는 것은 사후 관측과 탐지이지 실시간 차단이 아니다. 벤치마크도 대기업 환경을 전제로 설계돼 있어, MCP 서버 133개를 붙여 검증하는 규모를 1인기업이 재현할 이유는 없다.

중요한 것은 도구를 통째로 도입하는 일이 아니다. 내 에이전트가 어제 무엇을 했는지 30초 안에 답할 수 있느냐가 실질적인 기준이다. 대기업 사내 도구가 오픈소스로 나왔다는 사실은 이 질문이 이미 기업 감사 항목으로 올라섰다는 신호이기도 하다. 자동화 용역이나 B2B 납품을 노린다면, 에이전트 실행 로그를 남기는 관행 자체가 머지않아 계약 요구사항이 될 수 있다.

출처: 깃허브 우버 ADR 저장소 (https://github.com/uber/ADR)