비인간 ID(NHI)가 갑자기 보안 화두가 된 이유
비인간 ID, 즉 NHI(Non-Human Identity)는 사람이 키보드 앞에 없는 상태에서 시스템에 인증하는 모든 신원을 말합니다. API 키, 서비스 계정, OAuth 토큰, SSH 키, 인증서, CI/CD 러너 자격증명, 그리고 최근 폭증한 AI 에이전트 자격증명이 모두 여기에 들어갑니다. 사람 계정은 입사·퇴사 절차와 다단계 인증(MFA)으로 비교적 촘촘히 관리되지만, NHI는 그렇지 않다는 점이 문제의 핵심입니다.
규모부터 다릅니다. 클라우드 보안 연합(CSA) 자료를 인용한 업계 분석에 따르면 기업 환경에서 NHI는 사람 계정보다 45배에서 100배 이상 많습니다. 그런데 대다수 조직은 자사 NHI의 약 30%만 파악하고 있고, 나머지 70%는 관리 사각지대에 방치돼 있습니다. 2025~2026년 들어 AI 에이전트가 하루에도 수천 개의 자격증명을 새로 발급하면서, NHI는 거버넌스가 가장 안 되는 가장 빠르게 늘어나는 공격 표면으로 꼽히고 있습니다.
NHI가 위험한 구체적 이유
NHI는 사람용 보안 절차가 통하지 않습니다. 다단계 인증을 붙일 수 없고, 한 번 발급되면 만료 없이 계속 살아 있으며, 시간이 지날수록 권한이 누적됩니다. 코드 저장소·CI 로그·컨테이너 이미지·채팅 기록에 평문으로 흘리는 사고도 잦습니다. 한 분석은 NHI가 탈취된 뒤 평균 잔존 기간(dwell time)이 200일을 넘어 사람 계정 침해의 3배가 넘는다고 지적합니다. 오래 살고, 권한이 세고, 아무도 안 본다는 세 조건이 겹치는 셈입니다.
시장이 빠르게 재편되는 중
대응은 크게 두 갈래입니다. 첫째는 흩어진 자격증명을 발견·정리하는 NHI 관리/거버넌스(Astrix, Entro, Oasis 등), 둘째는 시크릿을 한 곳에 보관하고 자동 교체하는 시크릿 관리(HashiCorp Vault, AWS Secrets Manager 등)입니다. 인수합병도 활발합니다. 2026년 2월 팔로알토 네트웍스가 CyberArk를 약 250억 달러에 인수했고, SailPoint는 NHI 기업 Entro 인수를 추진했습니다. 국내에서는 크레밋(Cremit)이 NHI·시크릿 스캐닝 영역에서 활동하고 있습니다.
무엇부터 해야 하나 (직답)
처음 손대는 조직이라면 "정적 키 제거 + 발견 + 교체"가 출발점입니다. 코드와 로그에 박힌 장기 키를 시크릿 매니저로 옮기고, 어디에 어떤 NHI가 있는지 인벤토리를 만들고, 최소 권한과 자동 교체·만료를 적용하는 순서입니다. AI 에이전트는 별도 신원으로 식별하고 행위를 모니터링하는 것이 2026년 기준 권고되는 방향입니다.