[해외보안뉴스] 세일즈포스 에이전트포스의 허점: 이메일 접수에서 이사회까지 위협하는 AI 거버넌스 붕괴
· 2026-10-19 17:00
· 조회 13
· 원문 ↗
세일즈포스(Salesforce)의 AI 솔루션인 에이전트포스(Agentforce)는 레코드 생성이나 케이스 업데이트 등의 이벤트가 발생할 때 '플로우(Flow)' 기능을 통해 데이터를 AI 에이전트의 프롬프트로 전달하도록 권장하고 있습니다. 동시에 기존의 'Email-to-Case' 및 'Web-to-Case' 기능은 고객이 보낸 이메일이나 웹 문의를 자동으로 케이스 레코드로 변환해 주는 표준 기능으로, 항공사 및 호텔 등 다양한 산업군의 고객 지원 시스템에서 널리 활용되고 있습니다. 그러나 이 두 가지 표준 기능이 연결되면서 기존의 소프트웨어 거버넌스 체계를 위협하는 새로운 보안 허점이 발생하고 있습니다.
이러한 구조적 연계는 검증되지 않은 외부 입력을 자율형 AI 에이전트의 프롬프트로 직접 전달하는 통로가 됩니다. 공격자가 악의적인 프롬프트 인젝션(Prompt Injection) 페이로드가 담긴 이메일을 전송할 경우, Email-to-Case 및 Flow를 거쳐 AI 에이전트에게 그대로 입력됩니다. 이로 인해 AI 에이전트가 의도치 않은 시스템 명령을 실행하거나 내부 데이터를 유출하고, 기업의 주요 업무 프로세스 및 고위급 의사결정 시스템에까지 악영향을 미칠 수 있는 심각한 보안 리스크에 노출될 수 있습니다.
이를 예방하기 위해서는 기존의 결정론적 소프트웨어를 위해 설계된 거버넌스 모델에서 벗어나 AI 특화 보안 체계를 구축해야 합니다. Flow를 통해 AI 에이전트로 데이터가 전달되기 전, 입력값에 대한 철저한 검증 및 정화(Sanitization) 단계를 추가해야 합니다. 또한, 주요 데이터 변경이나 중요 시스템 접근 권한을 가진 AI 에이전트에 대해서는 최소 권한 원칙을 엄격히 적용하고, 민감한 작업 실행 시 담당자의 승인을 거치는 'Human-in-the-Loop' 제어 메커니즘을 도입해야 합니다.
개별 기능(Email-to-Case, Flow, Agent)은 정상 작동하더라도, 이를 단순 체이닝하면 외부의 검증되지 않은 입력값이 곧바로 LLM 프롬프트로 유입되는 구조적 보안 블라인드 스폿이 발생합니다. 전통적인 레코드 기반 데이터 거버넌스만으로는 AI 에이전트의 프롬프트 인젝션이나 맥락 오남용을 막기 어렵습니다. 결국 Flow와 에이전트 사이에 입력값 검증(Sanitization) 및 Guardrail 레이어를 아키텍처 차원에서 반드시 강제해야 합니다.
외부에서 유입되는 미검증 데이터(Email-to-Case)가 플로우를 통해 AI 에이전트의 프롬프트로 직접 전달되는 구조는 전형적인 간접 프롬프트 주입(Indirect Prompt Injection) 공격 경로를 완성합니다. 공격자는 정교하게 조작된 문의 메일 한 통만으로 에이전트의 판단 로직을 하이재킹하여 내부 데이터 유출이나 무단 권한 행사를 유도할 수 있습니다. 시스템의 정상적인 표준 기능들이 체이닝되면서 강력한 공격 벡터로 전환되는 대표적인 사례로, 침투 테스트 관점 매우 높은 악용 가능성을 가집니다.
기존의 레거시 워크플로우(Email-to-Case)와 AI 에이전트의 결합은 전통적인 소프트웨어 통제 체계를 무력화하는 전형적인 '거버넌스 블라인드 스폿'을 생성합니다. 외부 고객 메시지가 검증 없이 AI 프롬프트로 직결되는 구조는 '간접 프롬프트 주입(Indirect Prompt Injection)' 등 심각한 데이터 유출 리스크로 이어질 수 있습니다. CISO 관점에서 단순 기능 연결이라도 AI 에이전트가 개입하는 파이프라인에 대해서는 즉각적인 데이터 정화(Sanitization) 조치와 전용 AI 통제 정책을 적용해야 합니다.