Earticle

초록

영어

Financial-sector business automation is expanding beyond traditional RPA with the adoption of generative AI and agent technologies. It now involves the invocation and orchestration of external APIs, SaaS applications, and databases to perform information retrieval, status changes, and external data transfers. In this process, security risks such as excessive privilege execution, sensitive information leakage, unauthorized external transmission, function contamination, and difficulty in audit tracing may increase. Existing user-permission-based controls and static API-permission controls are useful for determining access availability and pre-authorized invocation scopes; however, they have limitations in sufficiently reflecting the risk level of functions executed by agents and the execution context at runtime. This paper defines the execution of external functions by financial automation agents as an independent unit of security control and proposes a runtime security control model based on an Integrated Risk Score (IRS), which combines Function Risk Level (FRL), Agent Trust Level (ATL), Context Escalation Factor (CEF), and Data Sensitivity Level (DSL). The proposed model is compared with user-permission-based control, static API-permission control, and ABAC/ZT-based control using eight evaluation criteria, three financial-business scenarios, and a policy-decision evaluation based on synthetic execution request logs. The evaluation results show that the proposed model can increase the risk request control rate to 91.1% by classifying risky requests into additional approval, step-up authentication, or blocking according to the IRS, rather than simply allowing or blocking them. However, the approval conversion rate also increases, indicating that a balance between security enhancement and operational approval burden should be considered in practical deployment.

한국어

금융권의 업무 자동화는 생성형 AI와 에이전트 기술의 도입으로 전통적 RPA를 넘어 외부 API, SaaS, 데이터베이스를 호출·조합하고 정보 조회, 상태 변경, 외부 전송까지 수행하는 형태로 확장되고 있다. 이 과정에서 과권한 실행, 민감정보 유출, 비인가 외부 전송, 기능 오염, 감사 추적 곤란과 같은 보안위험이 확대될 수 있다. 기존 사용자 권한 기반 통제와 정적 API 권한 통제는 접근 가능 여부와 사전 호출 범위 판단에는 유용하지만, 에이전트가 실행하는 기능의 위험도와 실행 시점의 맥락을 충분히 반영하기 어렵다. 본 논문은 금융 자동화 에이전트의 외부 기능 실행을 독립적인 보안통제 단위로 정의하고, 외부 기능 위험등급(FRL), 에이전트 신뢰도(ATL), 실행 맥락 가중치(CEF), 데이터 민감도(DSL)를 결합한 종합 위험점수(IRS) 기반 실행 시점 보안통제 모델을 제안한다. 또한 8개 평가 항목, 3개 금융업무 시나리오, 합성 실행 요청 로그 기반 정책 판단 평가를 통해 사용자 권한 기반 통제, 정적 API 권한 통제, ABAC/ZT 기반 통제와 제안 모델을 비교하였다. 평가 결과, 제안 모델은 위험 요청을 단순 허용 또는 차단으로만 처리하지 않고 IRS 점수에 따라 추가승인, Step-up 인증, 차단으로 분기함으로써 위험요청 통제율을 91.1%까지 높일 수 있음을 확인하였다. 다만 승인전환율도 함께 증가하여 실제 운영환경에서는 보안성 향상과 업무 승인 부담 간의 균형이 필요함을 확인하였다.

목차

요약
Abstract
1. 서론
2. 관련 연구 및 보안 위협
2.1 외부 기능 연계와 자동화 에이전트
2.2 기존 통제 방식의 한계
2.3 주요 보안 위협
3. 외부 기능 연계 보안통제 모델
3.1 모델 구성과 설계 원칙
3.2 외부 기능 위험등급(FRL)
3.3 에이전트 신뢰도(ATL)
3.4 실행 맥락 가중치(CEF)
3.5 종합 위험점수(IRS)와 통제 결정
4. 비교 평가
4.1 평가방법
4.2 시나리오 기반 비교
4.3 실행 요청 기반 정책 판단 평가
5. 결론
참고문헌

키워드

저자

• 김광모 [ Kwangmo Kim | 숭실대학교 금융기술융합학과 ]

참고문헌

발행기관

간행물

표지보기 관심저널 등록

• 간행물명

  한국차세대컴퓨팅학회 논문지 [THE JOURNAL OF KOREAN INSTITUTE OF NEXT GENERATION COMPUTING]

• 간기

  격월간

• pISSN

  1975-681X

• 수록기간

  2005~2026

• 등재여부

  KCI 등재

• 십진분류

  KDC 566 DDC 004