AIR에 5000만 달러…AI 에이전트의 플러그인까지 검사한다

AI 보안 스타트업 AIR는 2026년 9월 1일 공식 발표 를 통해 스텔스 상태를 끝내고, AI 에이전트의 문맥에 신뢰할 수 없는 정보가 들어오기 전에 걸러내는 보안 플랫폼을 공개했다. TechCrunch의 투자 보도 에 따르면 AIR는 수주 간격으로 마감된 두 차례 시드 라운드에서 각각 1000만 달러와 4000만 달러, 총 5000만 달러를 조달했다.

AIR가 9월 1일 공개한 제품은 기업 환경에서 작동하는 AI 에이전트를 찾아내고, 에이전트가 이용하는 스킬·플러그인·Model Context Protocol(MCP) 서버와 외부 정보를 계속 검사하는 데 초점을 맞춘다. 보안 기준을 통과하지 못한 구성요소가 소프트웨어나 외부 출처와 상호작용하지 못하도록 실행 경로에서 차단한다는 것이 회사가 제시한 핵심 기능이다.

5000만 달러가 향하는 에이전트 보안 시장

첫 번째 시드 라운드는 Sequoia가, 두 번째 라운드는 Greenoaks가 주도했다. Swish와 Netz를 비롯해 Cognition 사장 Zach Frankel, Wiz 공동창업자 Yinon Costica 등 개인 투자자들도 참여했다. AIR는 새 자금을 보안 연구 인력 채용과 미국·유럽 시장의 영업 확대에 주로 사용할 계획이다.

이번 투자의 의미는 단순히 초기 스타트업이 큰 자금을 확보했다는 데 그치지 않는다. 기업용 AI 에이전트가 파일과 데이터베이스를 읽고 웹사이트를 방문하며 외부 도구를 호출하기 시작하면서, 모델뿐 아니라 에이전트 주변의 소프트웨어 공급망도 별도의 보안 대상으로 간주되기 시작했다는 신호다.

다만 투자 규모가 제품의 성능을 입증하지는 않는다. AIR가 밝힌 고객 수와 시장 수요는 회사 측 설명에 의존하며 계약 규모, 반복 매출, 고객 유지율은 공개되지 않았다. 기업 환경에서의 탐지 정확도와 차단 성능을 비교할 독립 평가도 아직 제시되지 않았다.

스킬과 MCP 서버를 배포 뒤에도 다시 검사한다

AIR의 제품 흐름은 발견, 검증, 집행으로 나뉜다. 먼저 엔드포인트와 클라우드, SaaS 환경에서 사용되는 에이전트를 파악하고, 정보기술 부서가 승인하지 않은 AI 도구나 개인 계정을 통한 이용도 식별한다. 이어 에이전트가 연결하는 스킬, 플러그인, MCP 서버와 다른 애드온을 평가한다.

Ctech의 독립 보도 는 AIR가 이 구성요소들을 배포 전후에 계속 발견·평가하고, 악성·취약·미승인 요소가 확인되면 이에 의존하는 에이전트와 작업 흐름을 추적해 조직 전체에서 사용을 취소할 수 있다고 전했다. 단발성 설치 검사가 아니라 변경 이후에도 신뢰 여부를 다시 판단하는 구조다.

지속 검사가 필요한 이유는 처음에 안전했던 구성요소도 바뀔 수 있기 때문이다. 스킬이 내려받는 외부 패키지가 교체되거나 개발자 계정이 탈취되면, 기존 심사를 통과한 도구가 새로운 위험 경로가 될 수 있다. AIR는 공개된 스킬과 애드온의 변경 및 악성 행위를 추적하고, 에이전트가 이를 불러오거나 인터넷 콘텐츠를 가져올 때 행동을 가로채 분석한다고 설명한다.

여기서 ‘차단’은 에이전트 전체를 무조건 중지한다는 뜻이 아니다. 공개된 설명상 집행 대상은 회사의 보안 기준을 통과하지 못한 도구, 애드온, 소프트웨어 또는 외부 출처와의 상호작용이다. 어떤 정책이 기본 적용되고 관리자가 예외를 얼마나 세밀하게 설정할 수 있는지는 공개 자료만으로 확인되지 않는다.

모델의 답변보다 에이전트가 믿는 문맥을 본다

일반적인 생성형 AI 보안은 입력 프롬프트와 출력, 민감정보 노출, 유해 응답, 모델 접근 권한을 주로 다룬다. 에이전트 공급망 보안은 질문이 다르다. 에이전트가 작업 중 어떤 구성요소와 정보를 신뢰하고, 그것을 바탕으로 무엇을 읽거나 실행하는지를 살핀다.

MCP 서버와 스킬은 에이전트가 외부 시스템을 이용하도록 행동 범위를 확장한다. 따라서 구성요소가 제공하는 명령과 설명, 연결 대상, 외부 의존성도 공격 표면이 될 수 있다. 모델 자체가 정상이어도 침해된 플러그인이나 오염된 웹 콘텐츠가 에이전트의 문맥에 들어가면 의도하지 않은 판단과 실행으로 이어질 가능성이 남는다.

AIR는 이 문제에 ‘문맥 방화벽’이라는 개념을 적용한다. 신뢰할 수 없는 애드온, 웹사이트와 동적으로 변하는 기업 내부 데이터가 에이전트의 문맥에 들어오기 전에 필터링하고, 일부 보호는 실행 중에도 수행한다는 구상이다. 이는 에이전트가 접근할 수 있는 시스템의 범위를 정하는 권한 관리와는 다른 보완 계층이다.

권한 통제가 불필요해지는 것은 아니다. 최소권한 정책은 에이전트가 접근 가능한 데이터와 시스템을 제한하고, 구성요소 검사는 허용된 범위 안으로 유입되는 도구와 정보의 신뢰성을 살핀다. 한쪽이 실패했을 때 다른 통제가 피해 범위를 줄이는 다층 방어로 이해하는 편이 정확하다.

기업이 확인할 지점과 아직 공개되지 않은 성능

AIR의 등장은 기업이 관리해야 할 대상이 공식 도입한 모델 목록보다 넓다는 점을 보여준다. 직원이 개인 계정으로 사용하는 코딩 에이전트, 부서가 따로 연결한 MCP 서버, 에이전트가 설치하는 스킬까지 파악하지 못하면 검사나 차단 정책을 적용할 출발점 자체가 없다.

제품 도입 여부를 평가할 때는 다음 통제 범위를 구분해 확인할 필요가 있다.

• 엔드포인트·클라우드·SaaS에 존재하는 에이전트와 계정 유형을 식별하는 범위
• 스킬·플러그인·MCP 서버의 출처, 업데이트와 외부 의존성을 재검사하는 방식
• 위험한 구성요소에 의존하는 에이전트와 작업 흐름을 역추적하는 기능
• 경고와 실행 차단을 구분하고 예외 정책을 적용하는 집행 방식
• 검사 지연과 오탐이 실제 업무 흐름에 미치는 영향

이 가운데 AIR가 공개적으로 강조한 것은 에이전트 발견, 구성요소의 지속 검증과 실행 전 예방이다. 반면 지원하는 에이전트의 전체 목록, 배포 구조, 가격, 검사 지연시간, 오탐률, 독립된 성능 평가 결과는 확인되지 않았다. 사전 검증된 애드온 제공 범위에 대해서도 TechCrunch는 현재 제공 중이라고 보도했지만 Ctech는 개발 중이라고 표현해, 실제 이용 가능 범위는 추가 확인이 필요하다.

확정된 사건은 AIR가 2026년 9월 1일 두 차례 시드 라운드로 총 5000만 달러를 확보한 상태에서 스텔스를 끝내고, 에이전트의 문맥과 연결 구성요소를 보호하는 플랫폼을 공개했다는 것이다. 앞으로의 경쟁력은 미승인 에이전트를 얼마나 정확히 찾는지, 변경된 구성요소를 얼마나 신속하게 재검증하는지, 위험한 실행을 정상 업무와 구분해 차단하는지에 달려 있다.