외부 MCP 서버와 스킬을 업데이트한 뒤 에이전트의 행동이 달라졌습니다. 도구·지침 공급망은 무엇까지 검토하나요?

에이전트의 공급망은 실행 코드뿐 아니라 도구 이름·설명·스키마·스킬 지침·예시·참고 자료까지 포함합니다. 이 내용이 모델의 선택과 실행 인자를 바꿀 수 있기 때문입니다. 서버가 인증되어 있거나 패키지가 서명됐다는 사실은 출처 확인에 도움이 되지만 새로운 내용의 안전성과 적합성을 자동 증명하지 않습니다.

실행 코드와 행동 설명의 변경

조회 도구가 업데이트 뒤 업로드 기능까지 수행하거나 스킬이 새 스크립트와 네트워크 의존성을 추가할 수 있습니다. 버전·해시·배포 출처를 고정하고 diff에서 실제 실행, 데이터 접근, 목적지, 인자 기본값과 설명의 변화를 함께 검토합니다. 도구의 read-only·idempotent 주석이 바뀌면 host 정책에 미치는 영향도 확인합니다. 서버가 주석을 제공했다는 이유만으로 정책을 자동 확대하지 않습니다.

기능 목록이 동적으로 바뀌는 서버는 캐시된 정의와 실제 실행 계약이 어긋날 수 있습니다. 도구 호출 전 지원 버전과 필요한 기능을 확인하고, 의미가 달라진 변경은 기존 승인 범위 밖으로 처리합니다. 모델이 읽는 지침에 '검증을 생략하라'는 문구가 추가되면 일반 문서 변경이 아니라 행동 영향이 있는 보안 검토 대상입니다.

업데이트를 좁게 검증합니다

외부 스크립트와 의존성은 sandbox에서 최소 파일·네트워크·자격으로 실행하고, 정상 과제와 권한 거절·인젝션·외부 전송의 회귀 테스트를 돌립니다. 서명 검사는 누가 배포했는지 확인하는 수단이고 배포자가 실수하거나 계정이 침해된 경우의 동작 검증은 별도입니다. 허용 목록과 승인 이력을 버전별로 유지하면 어떤 변경 이후 문제가 생겼는지 추적할 수 있습니다.

긴급 회수 시에는 목록에서 도구를 숨기는 것뿐 아니라 실행기에서 차단하고, 이미 생성된 작업과 토큰을 정리해야 합니다. 오래된 세션이 캐시한 도구 정의로 계속 호출할 수 있기 때문입니다. 원복할 때는 이전 코드뿐 아니라 스키마·설정·메모리·진행 중 작업과의 호환도 봅니다. 평가에서는 업데이트 전후 선택률·실행 인자·외부 효과·차단 결과를 비교합니다. 에이전트가 사용하는 텍스트도 행동을 결정하는 구성 요소이므로 코드와 함께 변경 관리하는 것이 핵심입니다.

실행 사례로 확인합니다

버전을 고정하더라도 원격 서버가 같은 endpoint에서 내용을 바꾸면 로컬 패키지 잠금만으로 재현성을 얻지 못할 수 있습니다. 지원되는 스키마 버전과 변경 알림, 관찰한 정의의 해시·서버 정보를 기록하고 중요한 기능은 계약 테스트로 확인합니다. 새 버전에 포함된 보안 수정 때문에 업데이트가 필요할 수도 있으므로 무조건 고정해 방치하지 않습니다. 변경 검토·격리 시험·점진 적용·회수 계획을 하나의 절차로 둡니다. 문제를 발견하면 악성 코드를 실행해 자세히 조사하는 대신 허용된 격리 환경에서 필요한 증거만 확보합니다. 공급망 안전성은 출처를 믿는 한 번의 판단보다 변경이 생겼을 때 권한과 동작을 다시 검증하는 과정입니다.