무슨 일이 있었나
OWASP는 'Agentic Skills Top 10' (AST10)을 새로운 프로젝트(github.com/OWASP/www-project-agentic-skills-top-10)로 발표했으며, AI 에이전트 기술의 10가지 가장 중요한 보안 위험을 문서화했습니다. 에이전트 기술은 AI 에이전트가 호출할 수 있는 도구와 기능을 제어하는 구성 파일(SKILL.md, skill.json, manifest.json, package.json)입니다. 이 프레임워크는 OpenClaw, Claude Code, Cursor/Codex, VS Code 생태계를 다루며 각 위험 범주(AST01–AST10)에 대한 증거 기반 완화 방안을 제공합니다.
왜 중요한가
에이전트 기술/훅은 에이전트 재킹, 공급 체인 중독 및 에이전트 파이프라인의 권한 상승을 위한 주요 공격 표면입니다. 그러나 이전에는 이 계층을 특별히 다루는 OWASP 프레임워크가 없었습니다. AST10은 OWASP LLM Top 10(모델 계층 위험)과 OWASP Top 10 for Agentic Applications(에이전트 동작 위험) 사이의 간격을 기술/도구 호출 구성 계층에 초점을 맞춰 해소합니다. IDEsaster 감사 발견(주요 AI 코딩 IDE의 100%에 취약점이 있음)은 이를 직접적으로 실행 가능하게 합니다.
필요한 조치
모든 에이전트 기술/훅 구성 파일(SKILL.md, skill.json, manifest.json)을 AST10 체크리스트에 대해 감사합니다. 도구 호출 권한에 최소 권한을 적용합니다. 마켓플레이스의 기술 설치를 npm/PyPI 패키지와 동일한 공급 체인 검토로 취급합니다.