AI 트렌드 2026-07-29: 세션을 버린 MCP와 흔들린 하네스 신뢰 경계

AI 트렌드 2026-07-29: 세션을 버린 MCP와 흔들린 하네스 신뢰 경계
목차

프로토콜은 가벼워졌고, 신뢰는 더 무거워졌다

에이전트를 둘러싼 배관이 하루 사이에 두 방향으로 움직였습니다. 한쪽에서는 통신 규격이 세션이라는 짐을 내려놓으며 훨씬 가벼워졌고, 다른 쪽에서는 그 배관을 감싸고 있던 실행 하네스가 생각보다 허술하게 신뢰를 넘겨주고 있었다는 사실이 드러났습니다. 2026년 7월 29일, 스펙과 보안이 서로 반대 방향으로 잡아당긴 하루를 정리합니다.


MCP가 세션을 버렸다

Model Context Protocol의 2026-07-28 스펙이 정식 공개되었습니다. 출시 이후 가장 큰 폭의 개정이고, 핵심은 프로토콜 코어가 스테이트리스로 바뀌었다는 점입니다.

initialize 핸드셰이크와 Mcp-Session-Id 헤더가 함께 사라졌습니다. 이제 모든 요청은 프로토콜 버전과 클라이언트 신원, capability를 _meta에 스스로 담고 독립적으로 이동합니다. 덕분에 어떤 요청이든 평범한 라운드 로빈 로드밸런서 뒤의 아무 서버 인스턴스에나 도달할 수 있습니다.

빈자리는 다른 장치들이 채웠습니다. 열어둔 스트림을 붙잡고 있어야 했던 중간 확인 절차는 다중 왕복 요청(MRTR)으로 대체되어, 서버가 resultType: "input_required"를 돌려주면 클라이언트가 inputResponses에 답을 붙여 원래 호출을 재시도합니다. 여기에 Mcp-Method와 Mcp-Name 헤더가 필수가 되면서, 게이트웨이와 레이트 리미터는 JSON 본문을 열어보지 않고도 트래픽을 분류할 수 있게 되었습니다. 목록 응답에는 ttlMs와 cacheScope가 붙어 캐싱이 가능해졌고, 인가 계층은 RFC 9207 발급자 검증을 의무화하면서 동적 클라이언트 등록(DCR)을 공식 폐기하고 CIMD로 방향을 틀었습니다.

인프라 쪽 반응도 같은 날 나왔습니다. AWS는 AgentCore Gateway가 UpdateGateway 호출 한 번으로 새 스펙을 지원한다고 밝히면서, 원격 MCP 서버가 사실상 표준 HTTPS 엔드포인트가 되어 로드밸런서의 스티키 세션도, 뒤에 두던 공유 세션 스토어도 필요 없어졌다고 설명했습니다. 앤트로픽 역시 Claude 제품군에 순차 적용하겠다는 계획을 공개하며 서버리스와 엣지 배포를 전면에 내세웠습니다.

다만 마이그레이션을 서두를 이유는 크지 않습니다. 스펙은 최소 12개월의 폐기 유예 기간을 명문화했고, 레거시 HTTP+SSE 전송과 Roots·Sampling·Logging은 그 기간 동안 계속 동작합니다. 신규 엔드포인트부터 스테이트리스로 세우고 기존 파이프라인은 유예 기간 안에서 옮기는 편이 현실적입니다.


안전 검사를 통과하고도 비밀은 새어 나갔다

같은 시기에 정반대 성격의 소식이 나왔습니다. Novee Security의 엘라드 메게드(Elad Meged)가 에이전트가 모든 안전 검사를 통과하고도 시크릿을 유출할 수 있다는 연구를 공개했습니다. 대상은 앤트로픽의 Claude Code Action, 구글의 Gemini CLI, 오픈AI의 Codex CLI였습니다.

주목할 부분은 원인입니다. 연구자는 프롬프트 인젝션을 전달 수단에 불과하다고 선을 그었습니다. 실제 결함은 하네스가 신뢰를 판정하는 방식, 그리고 그 판정이 단계를 넘어 합성되는 방식에 있었습니다.

앞 단계에서 내려진 안전 판정이 뒷단에서 재검증되지 않는 것이 핵심 구멍이었습니다. "읽기 전용"으로 승인된 명령이 그 꼬리표를 그대로 달고 공개 출력 채널로 흘러가면 사실상 쓰기 능력을 갖게 됩니다. 사전 승인된 도메인은 공격자가 통제하는 콘텐츠를 내려주기 시작한 뒤에도 계속 신뢰받았습니다. 세 벤더 모두에서 자격증명 유출이 확인되었고, 구글 구현에서는 원격 코드 실행까지 시연되었습니다. 익스플로잇 체인 중에는 외부 연결도, 파일 쓰기도, 로그 흔적도 남기지 않는 경로가 있었습니다.

대응은 벤더마다 갈렸습니다. 앤트로픽은 연이은 제보에 대해 순차적으로 패치하고 바운티를 지급했습니다. 오픈AI의 샌드박스는 알려진 경로는 막아냈지만 다단계 워크플로에서 상태를 주고받는 지점에서 무너졌습니다.

여기서 날짜 하나는 짚고 넘어가야 합니다. 이 사안과 함께 자주 인용되는 Gemini CLI의 CVSS 10.0 등급 취약점은 어제 새로 터진 것이 아닙니다. 워크스페이스 신뢰와 도구 허용목록 우회를 통한 원격 코드 실행(GHSA-wpqr-6v78-jr5g)은 2026년 4월 24일에 공개되었고, npm 패키지 0.39.1과 0.40.0-preview.3, run-gemini-cli 액션 0.1.22에서 이미 수정되었습니다. 헤드리스 모드가 워크스페이스를 무조건 신뢰하고 --yolo 모드가 세분화된 허용목록을 무시하던 두 갈래 설계 결함이 겹친 사례로, Novee의 메게드와 Pillar Security의 댄 리시츠킨(Dan Lisichkin)이 각각 독립적으로 발견했습니다. 어제의 뉴스는 새로운 패치가 아니라, 넉 달에 걸친 이 연구 흐름이 학회 발표를 앞두고 한자리에 정리된 것입니다.

발표 자체는 아직 진행 중입니다. Novee는 Black Hat USA와 DEF CON에서 네 개 세션을 발표한다고 예고했고, 하네스 신뢰 문제를 다루는 "Trusted Enough to Run" 세션은 8월 5일로 잡혀 있습니다.


오픈AI가 과학 연산 현장을 들여다본 결과

같은 날 오픈AI는 에이전트 시대의 과학 연산에 관한 필드 리포트를 냈습니다. 벤치마크 백서가 아니라, 생명과학을 중심으로 한 여덟 개 프로젝트에서 연구자들이 Codex와 Claude Code로 과학 소프트웨어를 현대화한 기록입니다. 작업의 폭은 패키징 정비부터 언어 전면 이식, GPU 네이티브 재설계까지 걸쳐 있었습니다.

결론이 흥미롭습니다. 에이전트는 개발 속도를 확실히 끌어올렸지만 과학적 타당성만큼은 스스로 판단하지 못했고, 모든 단계에서 사람의 검증이 필요했습니다. 연구자의 역할은 구현에서 오케스트레이션으로 옮겨 갔습니다. 목표를 정의하고, 작업을 쪼개고, 결과를 확인하는 쪽입니다. 리포트는 장기 관리 책임을 아직 풀리지 않은 숙제로 지목했습니다. 소유권과 유지보수 계획 없이 진행된 AI 주도 재작성은 내일의 방치된 코드가 될 수 있다는 경고입니다.


두 소식을 같이 읽어야 하는 이유

스테이트리스 전환은 서버 인스턴스 아무 곳에서나 요청을 받아도 된다는 뜻이고, 이는 곧 요청 하나하나가 스스로 신원과 권한을 증명해야 한다는 뜻이기도 합니다. 세션이 암묵적으로 담아주던 맥락이 사라진 자리를, 인가 계층과 하네스의 판정이 대신 메워야 합니다.

하필 같은 주에 드러난 하네스 취약점이 말하는 바가 정확히 그 지점입니다. 판정을 한 번 내리고 재사용하는 구조는, 요청이 어디로든 흘러갈 수 있는 환경에서 훨씬 위험해집니다. 스펙 마이그레이션 계획을 세울 때 인가 하드닝과 단계별 재검증을 같은 티켓에 묶어두는 편이 안전합니다.


당신의 트리거는 무엇인가요?

프로토콜에서 세션을 걷어내는 일은 비교적 명확한 엔지니어링 과제입니다. 어려운 쪽은 그 빈자리에 무엇을 채울지 정하는 일입니다.

오늘 우리 파이프라인에서 "한 번 안전하다고 판단했으니 계속 안전하다"고 가정하고 있는 지점은 어디인가요? 그 가정을 다시 들여다보는 것이야말로, 이번 주에 당겨야 할 가장 현실적인 방아쇠일지도 모릅니다.

참고 자료

← 이전 글
AI 트렌드 2026-07-28: 모델 진화 속도와 엔터프라이즈 수용 격차
다음 글 →
AI 트렌드 2026-07-30: 자율 에이전트의 샌드박스 탈출과 보안의 새로운 과제