오픈소스 보안 플랫폼 아르구스가 AI 에이전트 실행 권한을 승인 대기로 격리한다

아르구스(Argus)는 AI 에이전트가 보안 분석에는 참여하되 실제 인프라를 건드리지는 못하도록 경계를 코드 구조에 박아 넣은 셀프호스팅 보안 운영 플랫폼이다. 멀티테넌트를 전제로 하고, 소스를 공개해 조직이 포크해서 자기 환경에 맞게 확장하는 것을 처음부터 목표로 삼았다.

플랫폼의 뼈대는 '증거 그래프'다. 수집기가 클라우드, 아이덴티티, 코드, 엔드포인트, 네트워크, 쿠버네티스 자산의 현황을 긁어모아 그래프로 엮는다. AWS·Azure·GCP·쿠버네티스·GitHub·Okta·Entra·osquery·netflow용 수집기가 갖춰져 있고, 클라우드 SDK는 선택 사항으로 붙인다.

탐지 엔진은 12개 규칙으로 이벤트를 평가한다. 스웜 관련 규칙 4개, 아이덴티티 2개에 더해 클라우드·쿠버네티스·코드·카나리·이상행위·에이전트 행위를 각각 겨냥한 규칙이 하나씩 있다. 베이스라인과 카나리도 함께 돌아간다.

핵심은 권한 분리다. 에이전트는 조사·분류·헌팅을 읽기 전용 도구로만 수행한다. 에이전트가 쓸 수 있는 유일한 쓰기 도구는 propose_action인데, 이것도 실행이 아니라 승인 대기 상태의 ActionRequest를 만드는 데 그친다. 에이전트가 읽는 모든 데이터는 신뢰할 수 없는 입력으로 감싸고, 그 사실을 프롬프트에 명시한다.

실제 변경은 별도 액션 브로커가 전담한다. AWS·Azure·GCP·쿠버네티스·GitHub·Okta·Entra·Cloudflare와 내부용까지 25종의 타입 지정 액션 카탈로그를 두고, 정책·승인·드라이런·실행·롤백·킬 스위치를 적용한다. 자산 상태를 바꿀 수 있는 컴포넌트는 이것 하나뿐이다.

능동 테스트도 기록된 권한 범위 안에서만 돌아가며 실행 시점에 범위를 다시 검사한다. trivy, nuclei, zap, prowler, caldera, semgrep, gitleaks 같은 도구를 붙이는 어댑터가 마련돼 있지만 도구 자체는 별도로 설치해야 한다.

에이전트 런타임은 Anthropic, OpenAI, Ollama, 또는 사용 안 함 중에서 프로바이더를 고를 수 있고, 7종의 전문 에이전트와 평가 스위트를 제공한다. 감사 로그는 테넌트별 해시 체인으로 연결되고 HMAC 서명이 붙으며, JSONL이나 S3 Object Lock, Azure 불변 블롭 같은 외부 저장소로 미러링된다.

운영 스택은 FastAPI API, PostgreSQL, Redis 큐, 워커로 구성된다. RBAC는 viewer < analyst < operator < admin < owner 순으로 누적되고, 세션·OIDC+PKCE·TOTP·API 키 인증과 CSRF, 주체별 레이트 리밋을 지원한다. 배포는 Docker Compose, Helm 차트, AWS·Azure용 Terraform으로 제공되며, 프로덕션 모드에서는 PostgreSQL과 Redis, 외부 감사 싱크, OIDC나 TOTP 중 하나가 빠지면 기동을 거부한다.

이 프로젝트가 나온 맥락은 분명하다. 에이전트가 스스로 도구를 호출하는 시대에 보안 운영 자동화는 편의와 위험을 동시에 키운다. 아르구스는 '분석은 자동, 실행은 승인'이라는 경계선을 문서가 아니라 제품 구조 자체에 구현한 사례다.

사내에 보안 자동화를 붙이려는 팀이라면 에이전트 권한을 어디까지 줄지에 대한 참조 구현으로 쓸 만하다. 특히 승인 게이트, 드라이런, 롤백, 킬 스위치를 별도 컴포넌트로 떼어낸 구조는 직접 시스템을 만들 때도 그대로 차용할 수 있다.

다만 저장소 스스로 인증된 제품이 아니라고 밝히고 있고, 무엇을 증빙할 수 있고 없는지는 별도 컴플라이언스 문서에 정리돼 있다. 수집기와 탐지 규칙은 각자 환경에 맞게 조정해야 하며, 처음에는 액션을 켜지 않은 모니터링 전용 모드로 시작하는 편이 권장된다.