Model Context Protocol(MCP)

이 문서는 자라는 중인 질문입니다. 아직 증거를 모으고 있으며, 내용이 바뀔 수 있습니다.

한 줄로 말하면

Model Context Protocol(MCP)은 AI 에이전트가 외부 도구와 연결할 때 서로 무엇을 할 수 있는지 주고받는 약속이야. 중요한 건 연결 자체보다, 에이전트가 도구의 설명까지 작업 지시로 읽을 수 있다는 점이야.¹

비유로 이해하기

MCP는 에이전트에게 새 직원의 업무 안내서를 건네는 일과 비슷해. 안내서에는 어떤 일을 맡길 수 있는지뿐 아니라, 언제 어떤 순서로 처리할지도 적혀 있어. 그래서 안내서의 한 줄이 바뀌면 직원이 움직이는 방식도 달라질 수 있어.

다만 실제 연결은 사람의 안내서보다 더 엄격한 기술 규약이야. 누가 어떤 도구를 제공하는지, 어떤 정보가 오가는지, 어느 행동을 허용할지는 별도로 확인해야 해.

정확한 정의

MCP는 AI 애플리케이션과 외부 도구를 이어 주는 연결 규약이야. 에이전트는 이 연결을 통해 업무 시스템의 정보를 읽거나, 허용된 범위에서 메일 작성·문서 생성·일정 변경 같은 행동을 할 수 있어.¹

여기서 도구 설명은 단순한 사용 설명서가 아닐 수 있어. 모델은 그 자연어 설명을 보고 언제 도구를 부를지 판단할 수 있어. 따라서 설명이 바뀌면 도구 이름과 주소가 그대로여도 에이전트의 행동 경로가 달라질 수 있어.¹

왜 중요한가

agentic workflow에서는 답변의 정확성만 보지 않아. 에이전트가 어떤 도구를 골랐고, 어떤 정보를 넘겼으며, 어디까지 행동했는지도 함께 봐야 해.

Microsoft가 설명한 송장 처리 사례에서는 외부 검증 도구의 설명에 숨은 지시가 들어가자, 에이전트가 원래 질문과 무관한 송장 요약을 추가 파라미터로 보낼 수 있었어. 도구는 이미 허용돼 있었고 각각의 호출도 겉보기에는 정상이라, 문제는 한 기능의 버그보다 연결된 신뢰 경계에 생겨.¹

그래서 MCP 서버는 단순한 플러그인이 아니라 생산 환경의 의존성으로 봐야 해. 도구 소유자, 설명 변경, 외부 전송 값, 고위험 행동의 승인, 호출 기록을 함께 다뤄야 해. Microsoft가 말한 최소 권한만으로는 충분하지 않고, 에이전트가 스스로 할 수 있는 행동의 폭도 줄여야 한다는 뜻이야.¹

실제 예시

금융팀 에이전트가 거래처 정보와 메일, 외부 송장 검증 도구를 함께 쓴다고 해 보자. 사용자는 거래처 하나를 묻지만, 바뀐 도구 설명이 에이전트에게 미지급 송장을 요약해 검증 요청에 덧붙이라고 지시할 수 있어. 사용자는 평범한 답을 받지만, 외부 도구에는 더 많은 정보가 넘어갈 수 있지.¹

이 예시는 MCP를 쓴 모든 연결이 위험하다는 뜻은 아니야. 오히려 연결을 열 때 무엇을 검토해야 하는지 보여 줘. 도구의 이름과 권한만 확인할 게 아니라, 설명·호출 인자·변경 이력까지 함께 살펴야 해.

헷갈리지 말아야 할 점

• MCP는 권한 관리 자체가 아니야. 연결 규약이 있다고 해서 어떤 데이터와 행동이 자동으로 안전해지지는 않아.
• 허용된 도구라고 항상 안전한 것은 아니야. 도구 설명과 동작 방식이 바뀌면 다시 검토할 이유가 생겨.
• 도구 설명은 장식 문구가 아니야. 모델이 그 문장을 행동을 고르는 맥락으로 읽으면, 설명 변경은 사실상 행동 규칙의 변경이 될 수 있어.
• 연결을 막는 것만이 답은 아니야. 중요한 행동에는 사람 승인, 민감한 전송에는 차단 규칙, 평소와 다른 호출에는 기록과 경보를 두는 식으로 경계를 나눌 수 있어.

관련 문서

• 에이전트가 도구·권한·기록과 함께 움직이는 구조는 agentic workflow.
• 도구 설명이 행동을 바꾸는 보안 사례는 AI 에이전트는 도구 설명서를 명령으로 읽는다.
• 에이전트를 내부자처럼 다루는 통제 관점은 Google DeepMind는 에이전트를 내부자처럼 본다.

남은 질문들

• MCP의 공식 사양은 도구·자원·프롬프트를 어떤 역할과 메시지 흐름으로 구분할까?
• 도구 설명이나 주소가 바뀔 때, 실제 제품은 어떤 승인과 버전 관리 절차를 제공할까?
• 인증과 권한 위임은 연결 규약 안에서 어디까지 다뤄지고, 각 서비스의 보안 정책은 어디서 시작될까?
• 도구 설명 오염을 막는 검토와 탐지는 실제 운영 환경에서 어느 수준까지 자동화될 수 있을까?

각주

1. Microsoft Incident Response, 「Securing AI agents: When AI tools move from reading to acting」(2026-06-30) Microsoft Security Blog. ↩︎ ↩︎² ↩︎³ ↩︎⁴ ↩︎⁵ ↩︎⁶