무슨 일이 있었나
Cloud Security Alliance(CSA)는 2026년 6월 8일 RiskRubric V2를 발표하여 모델 레이어를 넘어 MCP 서버, 도구 사용 에이전트 및 전체 AI 파이프라인을 포함하도록 증거 기반 AI 위험 등급 시스템을 확대했습니다. V2는 새로운 '과도한 에이전시(Excessive Agency)' 위험 기둥을 추가하고 제3자가 자동화된 평가에 기여할 수 있도록 설계된 스캐너 생태계를 도입합니다. 전체 V2 개념 문서는 업데이트와 함께 공개되었으며, 완전한 플랫폼은 2026년 Q3에 출시될 예정입니다.
왜 중요한가
RiskRubric V2는 모델과 함께 MCP 서버 및 AI 에이전트를 별개의 위험 실체로 공식적으로 평가하는 최초의 구조화된 프레임워크 중 하나입니다. 이는 에이전틱 AI의 제어 평면(도구 연결성, 에이전트 신원, 실행 범위)이 현재 엔터프라이즈 위험이 집중된 곳임을 인식합니다. 과도한 에이전시 기둥은 CSA의 자체 AIRQ 연구에서 프로덕션 AI 에이전트의 98%의 특징으로 식별된 과도하게 권한이 부여된 자율 행동을 직접 다룹니다.
필요한 조치
AI 보안 컨설턴트는 V2 개념 문서를 검토하고 6가지 신뢰 차원(투명성, 신뢰성, 보안, 개인정보 보호, 안전성, 평판)과 과도한 에이전시를 클라이언트의 에이전틱 배포에 매핑해야 합니다. Q3 조달 사이클에 대한 AI 공급업체 평가 설문지에 RiskRubric V2 점수를 통합합니다.