최소 권한의 원칙
영어 principle of least privilege · 일본어 最小権限の原則 · 읽는 법 사이쇼켄겐노 겐소쿠
최소 권한의 원칙은 사람이든 AI든 맡은 일에 꼭 필요한 권한만 주는 보안 규칙입니다. 계정이 뚫리거나 AI가 잘못 움직여도 피해 범위가 좁아집니다.
PHPFree 칼럼 01에서 AI에게 어디까지 맡길지를 설명하며, 새 직원에게 첫날부터 모든 방의 열쇠를 주지 않는 비유로 한 번 소개됩니다.
확인 2026-10-26출처 NIST CSRC 용어집 「least privilege」(CNSSI 4009-2022, SP 800-12r1, SP 800-53r5, SP 800-171r3 정의)
1이 말, 이런 곳에서 만납니다
처음 보는 말이 낯선 것은 당연합니다. 대개 이런 자리에서 마주칩니다.
PHPFree 칼럼 「27년 동안 닫혀 있던 문을 AI가 열었다」의 권한 단락
필요한 일을 할 수 있을 만큼의 권한만 주고, 그 이상은 주지 않는다는 원칙을 최소 권한의 원칙이라고 부른다는 설명입니다.
같은 글, 진석 대표의 정리
고객사에 AI 주문 정리를 넣을 때도 「읽고 정리」까지는 AI, 「보내고 결제」는 사람이라는 선을 긋는다는 내용입니다.
AI 도구에 쇼핑몰 계정을 연결하는 날 (예)
「이 AI에게 주문 조회 권한만 줄까요, 수정과 환불 권한까지 줄까요?」라는 질문
2한 장면으로 이해하기
새로 들어온 직원에게 첫날부터 모든 방의 열쇠를 주지 않고 일에 필요한 열쇠부터 주는 것과 같습니다. 열쇠가 적으면 잃어버리거나 빼앗겨도 열리는 방이 적습니다.
열쇠는 일에 필요한 만큼만 줍니다.
3우리 회사도 해당될까요?
이런 경우 해당됩니다
- AI 도구를 메일·주문 시스템·홈페이지 관리자에 연결하려 한다
- 외부 제작사나 직원이 쓰는 계정이 여러 개 있다
이런 경우는 걱정을 덜어도 됩니다
- AI를 연결하지 않고 질문과 답만 주고받는다(연결할 권한 자체가 없습니다)
AI가 똑똑한지와 별개로, 연결된 계정이 가진 권한만큼 사고의 크기가 정해집니다.
4조금 더 자세히
새로 들어온 직원에게 첫날부터 모든 방의 열쇠를 주지 않고, 일에 필요한 열쇠부터 건네는 것과 같습니다. 권한은 열쇠고, 사람뿐 아니라 프로그램과 AI 계정도 이 원칙의 대상입니다. 열쇠가 적으면 그 열쇠를 잃어버리거나 빼앗겨도 열리는 방이 적습니다. 미국 NIST 용어집도 권한을 맡은 일에 필요한 최소한으로 제한하는 보안 원칙이라고 풉니다.
예를 들면 주문 메일을 AI가 읽고 표로 정리하는 데까지만 맡기고, 고객에게 보내기와 결제는 사람이 누르게 합니다. OWASP는 AI 연동 기능에 주는 권한을 필요한 최소한으로 제한하고, 영향이 큰 행동은 사람이 승인하게 하라고 권합니다. 쓰는 계정이 읽기 전용이면 충분한지부터 확인하세요.
5그래서 무엇을 하면 되나요?
- 1AI에 연결하는 계정은 읽기 전용부터 시작하고, 꼭 필요한 권한만 하나씩 늘립니다.사장님
- 2보내기·결제·삭제처럼 되돌리기 어려운 동작은 사람이 승인하는 단계를 넣습니다.제작사
- 3AI 기능이 쓰는 계정이 어떤 권한을 갖는지 목록으로 알려 줍니다.서비스 회사
제작사에 이렇게 물어보세요
“이 AI 기능이 쓰는 계정은 어떤 권한을 갖고 있나요? 읽기 전용으로 줄일 수 있는지, 보내기·결제 전에 사람의 승인이 들어가는지 알려 주세요.”
6자주 묻는 질문
Q. AI에게 권한을 줄이면 일이 불편해지지 않나요?
처음에는 좁게 시작하고 필요할 때 하나씩 늘리면 됩니다. OWASP도 AI 연동 기능의 권한을 필요한 최소한으로 제한하라고 권합니다.
Q. 사람 직원에게도 같은 원칙을 쓰나요?
네. NIST 용어집은 사용자와 그를 대신하는 프로그램 모두의 접근 권한을 맡은 일에 필요한 최소한으로 제한하는 원칙이라고 풉니다.
7이 풀이의 근거
- 출처
NIST CSRC 용어집 「least privilege」(CNSSI 4009-2022, SP 800-12r1, SP 800-53r5, SP 800-171r3 정의) (확인 2026-10-26)
OWASP 「Least Privilege Principle」 (확인 2026-10-26)
OWASP 「LLM06:2025 Excessive Agency」 (확인 2026-10-26)
IPA 안심상담창구 「앱의 접근 권한을 확인합시다」 (확인 2026-10-26)
- 확인한 날
- 2026-10-26 · 다음 확인 2027-01-26
- 풀이
- 양진석 · 따뜻한기술 대표
이 정의를 인용하려면
“최소 권한의 원칙은 사람이든 AI든 맡은 일에 꼭 필요한 권한만 주는 보안 규칙입니다. 계정이 뚫리거나 AI가 잘못 움직여도 피해 범위가 좁아집니다.” — 용어집 「최소 권한의 원칙」 (확인 2026-10-26), atatakaidigital.com/kr/glossary/least-privilege