Alter, AI 에이전트에 사용자별 권한과 감사 기록을 부여한다

YC S25 배치에 속한 Alter가 AI 에이전트를 위한 특권 접근 관리(PAM) 플랫폼 'Alter Vault'를 선보였다. 한마디로 에이전트가 각 사용자를 대신해 무엇까지 할 수 있는지를 정책으로 제한하고, 자격 증명은 에이전트에게 보여주지 않은 채 요청 시점에만 주입하며, 모든 호출을 추적 가능한 기록으로 남기는 계층이다. 기존 PAM이 사람 계정을 다뤘다면, 여기서는 에이전트를 새로운 종류의 특권 사용자로 취급한다.

구현의 중심에는 자격 증명 저장소가 있다. API 키와 OAuth 토큰은 애플리케이션 데이터베이스 밖에서 관리되는 키로 암호화돼 전용 시크릿 저장소에 한 번만 보관되고, 호출이 일어날 때마다 프록시 경로로 주입된다. Postgres에는 메타데이터와 저장소 참조만 남는다. 개발자는 SDK 호출 한 번으로 140개 제공자에 대한 저장·갱신·정책 판정·감사 기록을 처리할 수 있고, LangChain과 MCP, AWS 통합도 제공된다고 한다.

권한 모델은 에이전트 단위로 쪼개져 있다. 여러 에이전트가 하나의 과도한 권한을 가진 관리자 키를 공유하는 대신, 각 에이전트가 자기 신원과 범위 지정 그랜트를 갖는다. 정책은 파라미터 수준까지 기본 거부로 평가되고, 위험하다고 판정된 호출은 지정된 사람의 승인을 기다린다. 예시로 제시된 흐름을 보면 환불 권한(refunds:write)을 가진 billing-agent의 호출은 승인 게이트를 거치고, 캘린더 읽기 범위만 가진 scheduling-agent의 조회는 정책 통과 후 토큰이 복호화돼 실행된다.

감사 추적은 '누가 했는지'를 사람 이름까지 되짚을 수 있게 설계됐다. 어떤 에이전트가 누구의 접근 권한으로 어떤 정책을 통과했고 누가 승인했는지가 호출마다 기록되며, 이 로그는 고객의 SIEM으로 스트리밍할 수 있다. 에이전트나 키, 그랜트는 즉시 폐기할 수 있고 IdP 웹훅과 연동해 퇴사자 처리 같은 오프보딩을 연쇄적으로 반영한다.

이 제품이 겨냥하는 현실은 꽤 익숙하다. 에이전트를 붙이면서 키를 프롬프트나 설정 파일, .env에 그대로 넣고, 관리자 키 하나를 모든 에이전트가 함께 쓰는 구성이 흔하다. 그러다 사고가 나면 특정 결제를 누가 처리했는지 아무도 답하지 못한다. 에이전트가 실제 업무를 대신 수행하는 순간 권한 관리와 감사가 부가 기능이 아니라 전제 조건이 된다는 것이 이 제품의 출발점이다.

플랫폼 자체의 보안 가정도 함께 내세운다. 정책을 평가할 수 없으면 요청을 거부하는 fail-closed 방식이고, 키는 그 키를 명시한 레코드 없이는 아무 능력도 부여하지 않는 제로 트러스트 구조다. 키별 격리, 평문 자격 증명의 로그 미기록, 자격 증명 자체를 조회할 수 없는 프록시 전용 키 같은 원칙도 명시돼 있다. 보안 프로그램의 현재 상태는 트러스트 센터에 공개되며, 최근 12개월 이내 독립 침투 테스트를 수행했다는 내용도 포함된다.

개발자 입장에서 가장 실용적인 변화는 멀티유저 에이전트 서버를 만들 때의 구조다. 자격 증명이 내 프로세스 안으로 들어오지 않게 만들 수 있고, 메모리나 세션, 채널을 LLM이 주장하는 신원이 아니라 검증된 신원 기준으로 키잉할 수 있다. Claude Code에 Alter가 관리하는 자격 증명을 MCP 도구로 노출하는 가이드처럼, 에이전트 런타임과 시크릿 관리를 분리하는 패턴이 문서로 제공된다는 점도 눈에 띈다.

다만 이 자료는 제품 소개 페이지 성격이 강해 가격 정책이나 SLA, 셀프호스팅 지원 여부 같은 도입 판단에 필요한 조건은 드러나 있지 않다. 140개 제공자 커버리지의 구체적인 범위와 정책 언어의 표현력도 실제 문서를 확인해야 한다. 도입을 검토한다면 10분 내 시작이나 30분 데모 같은 진입 경로보다, 승인 게이트가 걸리는 호출 유형과 감사 로그 포맷이 자기 팀의 요구와 맞는지를 먼저 따져보는 편이 낫다.