왜 내 에이전트가 호출하는 각 도구는 승인될 수 있는데, 그 순서 자체는 승인되지 않는 것일까요?

AI 에이전트는 각각 개별적으로 정상적인 권한 검사를 통과하는 도구 호출을 실행합니다. 하지만 개별적으로 허용된 호출들이 세션 수준에서 연속적으로 이루어지면, 아무도 승인하지 않은 새로운 기능이 만들어질 수 있습니다. 예를 들어, 환경 파일을 읽고, 그 안에서 자격 증명 패턴을 검색한 다음, 결과를 외부 엔드포인트로 POST하는 식입니다. 기존의 권한 부여 방식은 단일 호출 경계에서만 작동하며, 일련의 호출이 어떤 결과를 초래할지에 대한 모델을 가지고 있지 않습니다. 2026년 2월 발생한 Cline 사건은 이를 구체적으로 보여 주었습니다. 악의적인 GitHub 이슈가 개별적으로는 유효한 읽기 및 쓰기 호출을 연쇄적으로 연결하여 패키지 설치로 이어졌고, 이로 인해 4,000대의 개발자 머신에 영향을 미쳤습니다. 시퀀스 수준에서 의도를 기반으로 하는 권한 부여는 현재 프로덕션 환경에서 기본 요소로 존재하지 않습니다.