여러 AI 에이전트가 동시에 움직이는 환경에서 "누가 무엇에 접근했는지"를 관리해주는 신생 도구가 해커뉴스에서 화제를 모았다. YC 출신 스타트업이 내놓은 'Alter Vault'는 에이전트와 외부 서비스 사이에 끼어들어 접근 권한을 통제하는 PAM(권한관리) 계층을 표방한다.

팀들이 깃허브·구글캘린더 같은 외부 서비스에 접근할 때 공용으로 범위가 넓은 API 키를 그대로 프롬프트나 설정 파일, .env 파일에 적어 두는 경우가 많아, 어떤 에이전트가 누구를 대신해 무슨 행동을 했는지 추적하기 어렵다는 문제의식에서 출발했다.

Alter Vault는 OAuth 토큰과 API 키를 한곳에 보관해 요청마다 자동으로 주입하는 '자격증명 보관함', 기본적으로 모든 요청을 거부하고 파라미터 단위까지 세밀하게 허용 범위를 지정하는 '정책 엔진', 에이전트마다 별도 키와 권한 범위를 부여하는 '에이전트 아이디'를 제공한다.

결제처럼 민감한 호출은 지정된 사람이 승인할 때까지 보류되고, 그 외 호출은 그대로 진행된다. 모든 호출은 어떤 에이전트가 누구를 대신해 어떤 정책 아래 행동했는지, 승인자는 누구였는지까지 기록되며 이 로그는 변조가 어렵고 보안관제시스템(SIEM)으로도 전송할 수 있다.

140여 개 서비스를 지원하며 랭체인, MCP, AWS와 연동되는 SDK도 제공한다. 에이전트의 키나 권한은 즉시 회수할 수 있고, 아이디 공급자(IdP)의 웹훅으로 자동 오프보딩도 가능하다.

서비스 측은 이 같은 접근 통제와 감사 기록이 고객사의 보안 심사 통과에도 도움이 된다고 설명했으며, 다만 SOC2 인증은 아직 '진행 중'이라고 밝혀 정식 인증을 받은 상태는 아니다.

출처: https://alterauth.com/