MCP 서버 보안: 연결 전 토큰 범위·툴 권한 체크리스트

2026년 11월 5일 읽는 시간 약 9분

인공지능 기술이 발전하면서 AI가 일하는 방식도 빠르게 바뀌고 있습니다. 이제 AI는 대화만 나누는 것을 넘어, 내 컴퓨터나 클라우드에 있는 도구와 데이터를 직접 활용해 복잡한 작업을 처리합니다. 이 연결의 중심에 있는 기술이 바로 MCP(Model Context Protocol)입니다. 그런데 MCP 서버를 연결하는 순간 AI가 내 파일과 계정에 접근할 수 있게 되기 때문에, MCP 서버 보안을 먼저 챙기지 않으면 개인정보나 회사 기밀이 새어 나갈 수 있습니다.

이 글에서는 MCP 서버를 연결하기 전에 꼭 확인해야 할 토큰 범위와 툴 권한을 중심으로, MCP 서버 보안을 지키는 실용적인 점검 방법을 정리해 보겠습니다.

MCP란? MCP 서버의 기본 개념

MCP는 Anthropic이 2024년 11월에 공개한 개방형 표준으로, AI 애플리케이션이 외부 도구와 데이터에 같은 방식으로 연결할 수 있도록 정한 규격입니다. 예전에는 AI 프로그램마다 외부 데이터를 불러오는 방식이 제각각이라 개발도 번거롭고 보안 관리도 까다로웠습니다. MCP는 이 연결 방식을 하나로 통일해, 스마트폰에 앱을 설치하듯 AI에 필요한 기능을 붙일 수 있게 해 줍니다.

MCP는 크게 세 부분으로 이루어집니다. 사용자가 쓰는 AI 애플리케이션인 호스트, 호스트 안에서 서버와 통신하는 클라이언트, 그리고 실제로 데이터를 처리하거나 도구를 실행하는 MCP 서버입니다. 사용자는 파일 관리, 데이터베이스 조회, 깃허브 연동 등 필요한 MCP 서버를 골라 연결할 수 있습니다.

MCP 서버 보안이 중요한 이유

문제는 MCP 서버가 내 시스템 깊숙한 곳까지 접근할 권한을 요구할 때 생깁니다. MCP 서버는 연결되는 순간 AI가 대신 사용할 수 있는 도구가 되기 때문에, 서버에 준 권한이 곧 AI가 할 수 있는 일의 범위가 됩니다. 현관 열쇠를 아무에게나 주지 않듯, MCP 서버에도 필요한 곳만 열 수 있는 출입증을 발급해야 합니다.

AI가 실수하거나 공격에 속았을 때 피해가 어디까지 번지는지도 결국 이 권한 범위에 달려 있습니다. AI에게 권한을 어떻게 나눠 줘야 하는지는 AI 에이전트 권한 설계에서도 자세히 다뤘습니다.

연결 전 반드시 확인할 MCP 토큰 범위

MCP 서버 보안에서 가장 먼저 볼 것은 토큰입니다. 토큰은 디지털 세계의 출입증과 같아서, MCP 서버가 내 계정이나 데이터에 접근할 때 이 토큰을 제시해야만 권한을 인정받습니다. 원격 MCP 서버는 연결할 때 로그인 화면에서 필요한 권한 범위(스코프)를 요청하고, 로컬 MCP 서버는 설정 파일에 넣은 API 키나 토큰으로 외부 서비스에 접근합니다.

많은 사용자가 편하다는 이유로 모든 권한이 열린 토큰을 그대로 넣는 실수를 합니다. 이는 대문 열쇠와 금고 열쇠를 한꺼번에 넘겨주는 것과 같습니다. 토큰을 발급할 때는 반드시 최소 권한 원칙에 따라, 그 MCP 서버가 꼭 해야 하는 작업만 허용해야 합니다.

읽기 전용 권한인지, 쓰기·수정·삭제 권한까지 포함되어 있는지 확인합니다.
토큰 유효 기간을 너무 길게 잡지 말고 주기적으로 갱신합니다.
특정 폴더, 특정 저장소, 특정 데이터베이스에만 접근하도록 범위를 좁혀 발급합니다.
더 이상 쓰지 않는 토큰은 즉시 폐기합니다.

예를 들어 깃허브 MCP 서버를 연결할 때 모든 저장소에 접근 가능한 토큰 대신, 세분화된 개인 액세스 토큰(Fine-grained token)으로 필요한 저장소 하나만 선택하고 코드 권한을 읽기 전용으로 설정하면, 토큰이 유출되더라도 피해 범위를 그 저장소의 읽기로 제한할 수 있습니다.

MCP 툴 권한에서 놓치기 쉬운 위험

토큰이 출입증이라면 툴 권한은 건물 안에서 무엇을 할 수 있는지 정한 규칙입니다. MCP 서버를 연결하면 AI는 그 서버가 제공하는 파일 읽기, 파일 삭제, 이메일 발송 같은 도구를 쓸 수 있게 됩니다.

조회만 하면 되는 데이터베이스 MCP 서버에 삭제 도구까지 열려 있다면, AI의 사소한 실수 하나로 중요한 데이터가 사라질 수 있습니다. 그래서 연결하려는 MCP 서버가 정확히 어떤 도구를 제공하는지, 각 도구가 내 시스템에서 무엇을 실행할 수 있는지 하나씩 확인해야 합니다. 대부분의 AI 애플리케이션은 도구를 실행하기 전에 사용자 승인을 묻는데, 쓰기나 삭제처럼 되돌리기 어려운 도구에는 ‘항상 허용’을 누르지 말고 매번 직접 확인하는 것이 안전합니다.

도구 설명 자체에도 위험이 숨어 있을 수 있습니다. MCP 서버가 AI에게 알려 주는 도구 설명 안에 사용자에게는 보이지 않는 지시문을 숨겨 두면, AI가 이를 따라 엉뚱한 파일을 읽거나 정보를 외부로 보내도록 유도될 수 있습니다. 이를 툴 포이즈닝이라고 하며, 원리는 프롬프트 인젝션과 같습니다.

예시: 파일시스템 MCP 서버를 특정 폴더로 제한하기

로컬에서 실행하는 파일시스템 MCP 서버는 설정할 때 접근을 허용할 폴더를 직접 지정할 수 있습니다. 아래처럼 블로그 초안 폴더 하나만 지정하면, AI는 이 폴더 밖의 문서나 개인 사진에는 접근할 수 없습니다.

{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": [
        "-y",
        "@modelcontextprotocol/server-filesystem",
        "/Users/me/Documents/blog-drafts"
      ]
    }
  }
}

편하다고 홈 폴더 전체나 C 드라이브 전체를 지정하면, 다운로드 폴더에 있는 신분증 사본이나 업무 문서까지 AI가 읽을 수 있는 범위에 들어가게 됩니다. 꼭 필요한 폴더만 지정하는 것이 MCP 서버 보안의 가장 쉬운 첫걸음입니다.

MCP 서버를 안전하게 고르고 연결하는 방법

매번 복잡한 설정을 하기는 번거롭지만, 몇 가지 원칙만 지켜도 보안과 편리함을 함께 챙길 수 있습니다.

먼저 서비스 제공사가 직접 만든 공식 MCP 서버를 우선 사용합니다. 공식 서버가 없다면, 출처를 알 수 없는 서버보다는 소스 코드가 공개되어 있고 업데이트와 이슈 대응이 꾸준히 이루어지는 서버를 고르는 것이 좋습니다. 설치 전에 서버가 어떤 도구를 제공하고 어떤 데이터를 어디로 보내는지 문서를 확인하세요.

또한 새 MCP 서버는 바로 업무용 컴퓨터나 실제 계정에 연결하지 말고, 테스트용 계정이나 가상 환경에서 먼저 시험해 보는 것을 권장합니다. 권한 설정을 잘못했더라도 실제 데이터에는 피해가 가지 않습니다.

MCP 서버 보안에 대한 흔한 오해

첫째, 유명한 AI 서비스를 쓰면 토큰이나 권한을 대충 설정해도 안전하다는 생각입니다. 아무리 믿을 만한 플랫폼이라도 결국 사용자가 허용한 권한 범위 안에서 움직이기 때문에, 부주의한 설정은 언제나 위험으로 이어집니다.

둘째, 로컬 컴퓨터에서만 실행하는 MCP 서버는 데이터가 밖으로 나가지 않으니 괜찮다는 생각입니다. 로컬 MCP 서버는 내 계정 권한으로 실행되기 때문에, 설정에 따라 내 컴퓨터의 파일 대부분에 접근할 수 있습니다. 서버 코드에 문제가 있거나 AI가 숨은 지시에 속으면 로컬에서도 충분히 피해가 생길 수 있으므로 권한 통제가 꼭 필요합니다.

연결 후에도 이어가야 할 MCP 점검 습관

MCP 서버 보안을 위해 비싼 보안 솔루션이 꼭 필요한 것은 아닙니다. 가장 효과적인 방법은 연결 전 점검과 꾸준한 관리 습관입니다.

MCP 서버를 연결하기 전에는 제공되는 문서와 설정 화면을 꼼꼼히 읽고, 어떤 데이터를 수집해 어디에 저장하는지 확인하세요. 연결한 뒤에는 정기적으로 MCP 서버 목록을 점검하고, 오랫동안 쓰지 않은 서버는 연결을 끊고 토큰도 함께 폐기하세요. 이런 정돈된 습관이 내 정보를 지키는 가장 든든한 방패가 됩니다.