챗봇한테 "내일 오후 3시에 회의 잡아줘"라고 말했는데, 정말로 캘린더에 일정이 잡히고 참석자한테 메일까지 나간다면 어떨까요.
몇 년 전까지만 해도 이건 SF 영화 얘기였어요. AI는 텍스트만 뱉어내고, 실제 행동은 늘 사람이 직접 해야 했거든요.
근데 지금은 다릅니다. AI 에이전트 도구 사용 능력이 고도화되면서, AI가 직접 API를 호출해 브라우저를 클릭하고 캘린더에 일정을 넣는 일이 실제로 벌어지고 있어요. 오늘은 이게 정확히 어떤 원리로 가능해진 건지, 그리고 어디까지 와 있는지 짚어볼게요.
Tool Use가 뭐길래, AI가 갑자기 행동까지 하게 됐을까요
도구 사용(Tool Use), 흔히 함수 호출(Function Calling)이라고 부르는 이 기능의 원리는 생각보다 단순해요.
개발자가 "이런 기능이 있다"는 설명서(스키마)를 AI에게 미리 건네줍니다. 사용자의 요청이 들어오면 AI는 그 설명서 중에서 지금 상황에 맞는 도구를 고르고, 필요한 값을 채워서 "이 함수를 이 값으로 실행해줘"라는 형태의 JSON을 만들어 돌려줘요. 실제 실행은 외부 시스템이 하고, AI는 '무엇을, 어떻게 실행할지'만 판단하는 거예요.
날씨 정보나 주가처럼 실시간으로 바뀌는 데이터, 혹은 개발자가 미리 정의해둔 특정 기능이 필요한 상황에서 특히 쓸모가 있어요.
문제는 도구가 많아질수록 생기는 부작용이에요. 실제로 Anthropic이 내부적으로 테스트해봤더니, 도구 58개의 설명을 한꺼번에 모델에 넣었을 때 토큰 소모량이 약 55,000개에 달했고, 오히려 정확도는 떨어지는 현상이 나타났습니다. 도구를 무작정 많이 연결하는 게 아니라, 상황에 맞는 도구만 골라서 보여주는 설계가 중요해진 이유예요.
이 문제를 해결하기 위해 등장한 게 바로 MCP(Model Context Protocol)예요. Anthropic이 2024년 11월 공개한 오픈 표준인데, AI가 외부 도구·데이터에 연결되는 방식을 통일하자는 게 핵심 아이디어입니다. AI 앱이 클라이언트가 되고, 도구를 제공하는 쪽이 서버가 되어 양방향으로 JSON-RPC 통신을 주고받는 구조예요.
이게 왜 중요하냐면, 2025년 12월 기준으로 MCP 관련 SDK 다운로드가 전체 언어를 합쳐 월간 9,700만 회를 넘었고, 실제 운영 중인 MCP 서버만 1만 개 이상이거든요. 같은 시기 Anthropic은 MCP를 리눅스 파운데이션 산하 새 재단(Agentic AI Foundation)에 기증했는데, 이 재단은 Anthropic·Block·OpenAI가 공동 설립했고 Google·Microsoft·AWS·Cloudflare가 지원하고 있어요. 경쟁사들까지 한 표준에 모인 거죠.
브라우저를 직접 클릭하는 AI, 어디까지 왔나
텍스트 생성을 넘어 화면을 보고 직접 클릭하는 단계, 이게 바로 'Computer Use' 또는 '에이전트 모드'라고 불리는 영역이에요.
Anthropic은 2024년 10월 'Claude Computer Use'를 퍼블릭 베타로 처음 공개했어요. 2025년부터 2026년에 걸쳐 이 기능은 점점 다듬어지면서, 맥(Mac) 환경에서 클릭, 입력, 앱 실행, 메뉴 탐색까지 데스크톱 전체를 제어할 수 있는 수준으로 성숙했습니다.
OpenAI 쪽도 비슷한 길을 걸었어요. 2025년 1월 'Operator'라는 이름으로 브라우저 자동화 기능을 먼저 내놨다가, 같은 해 8월 이 기능을 단독 제품에서 빼고 'ChatGPT 에이전트 모드'로 통합했어요. 에이전트 모드는 브라우저 조작, 웹 리서치 자동화, 대화형 인터페이스를 하나로 묶은 시스템이라, 사용자가 고수준 지시만 내리면 AI가 스스로 작업을 작은 단위로 쪼개서 순서대로 처리합니다.
여기서 중요한 안전장치도 있어요. 민감한 정보를 입력하거나 예약·구매처럼 되돌리기 어려운 작업을 할 때는 항상 사용자의 명시적 승인을 요청하도록 설계돼 있다는 점이에요.
| 비교 항목 | Claude Computer Use | ChatGPT 에이전트 모드(구 Operator) |
|---|---|---|
| 제어 범위 | Mac 데스크톱 전체 (클릭·입력·앱 실행·메뉴 탐색) | 웹 브라우저 작업 중심 |
| 첫 공개 시점 | 2024년 10월 (퍼블릭 베타) | 2025년 1월 (Operator), 2025년 7월 (에이전트 모드로 통합) |
| 2026년 초 브라우저 자동화 성공률 | 56% | 87% |
| 승인 절차 | 도구 사용 API 기반 단계적 승인 | 민감 작업 시 명시적 승인 요청 |
다만 이 성공률 수치는 특정 시점의 특정 벤치마크 기준이라는 점, 그리고 두 제품의 제어 범위 자체가 달라서(데스크톱 전체 vs 웹 중심) 단순 비교에는 한계가 있다는 점도 같이 알아두면 좋아요.
캘린더·메일까지 손대는 에이전트, 그리고 노코드 자동화의 합류
브라우저 제어만큼 실생활에 와닿는 영역이 바로 캘린더·메일 연동이에요.
AI 에이전트는 Google Calendar API 같은 도구를 통해 일정 데이터에 직접 접근해서 회의 예약, 리마인더 발송, 약속 관리를 자율적으로 처리할 수 있어요. 여기에 Gmail까지 묶이면 범위가 더 넓어지는데, 이벤트 참석자와 관련된 이메일 스레드를 찾아내거나, 수신자 정보를 기반으로 Zoom 링크가 포함된 회의를 자동으로 만드는 것까지 가능해졌습니다.
실제 서비스로 보면 감이 더 잘 와요. 'Lindy AI'는 제목에 '약속'이 포함된 이메일이 들어오면 캘린더를 확인해서 비어 있으면 바로 예약하고, 안 되면 답장으로 새 시간을 제안하는 방식으로 동작해요. 'Mail2Cal'은 Gmail용 어시스턴트인데, 이메일을 스캔해서 회의 요청이나 마감일, 약속을 감지하고 자동으로 Google Calendar 이벤트로 바꿔줍니다.
자동화 플랫폼 쪽도 이 흐름에 적극 합류했어요. n8n 헤비유저들 사이에서는 2026년 1월 출시된 n8n 2.0이 화제였는데, 네이티브 LangChain 통합과 약 70개의 AI 노드, 멀티 에이전트 오케스트레이션용 노드, 실행 간 유지되는 영구 메모리까지 갖췄거든요. Zapier는 8,000개 이상의 앱을 연결하는 'Zapier Agents'를 내놓으며 스스로를 'AI 오케스트레이션 플랫폼'으로 재정의했고, Make 역시 자연어로 시나리오를 짜주는 'Maia'와 자율 실행형 'Make AI Agents'를 추가했습니다.
문제는 이렇게 권한이 넓어질수록 위험도 같이 커진다는 거예요. 프롬프트 인젝션은 OWASP가 발표한 LLM 애플리케이션 보안 위협 순위에서 1위를 차지했고, Microsoft Copilot(CVSS 9.3)·GitHub Copilot(CVSS 9.6)·Cursor IDE(CVSS 9.8)에서 실제로 악용 가능한 치명적 취약점이 발견됐습니다. MCP가 표준으로 자리잡으면서 도구 포이즈닝, 과도한 권한 부여, 공급망 변조 같은 새로운 공격 표면도 같이 넓어졌다는 게 보안 업계의 공통된 진단이에요.
업계에서는 이걸 '리썰 트라이펙터(Lethal Trifecta)'라고 부르기도 해요. 민감한 데이터 접근 권한, 신뢰할 수 없는 외부 입력에 대한 노출, 그리고 외부로 정보를 빼낼 수 있는 경로. 이 세 가지가 한꺼번에 갖춰지는 순간 위험이 폭발적으로 커진다는 의미예요.
권한을 늘릴 때마다 위험도 같이 커진다는 걸 잊으면 안 돼요
AI 에이전트가 텍스트만 뱉던 시절은 빠르게 끝나가고 있어요.
브라우저를 클릭하고, 캘린더에 일정을 넣고, 메일을 분류하는 일까지 손에 쥐게 됐죠. 도구가 늘어날수록 할 수 있는 일도 늘어나지만, 동시에 그만큼 권한도 늘어난다는 사실은 의외로 자주 잊혀요.
개인적으로 이 흐름을 지켜보면서 느낀 건, 기술의 발전 속도보다 "이 권한을 정말 줘도 되는가"를 따지는 속도가 더 느리다는 점이었어요. 코딩 에이전트 5종(Claude Code, Gemini CLI, Codex, Cline, Aider)이 보안 취약점 추적 대상에서 가장 큰 비중을 차지했다는 사실이 그냥 우연은 아닐 거예요.
결국 도구를 늘리는 것보다, 어디까지 권한을 내줄지 먼저 정하는 게 순서예요. 그 순서가 뒤바뀌는 순간 사고는 이미 벌어진 뒤일 테니까요.
참고: Pento - A Year of MCP (2025), Help Net Security - OWASP Prompt Injection (2026.06)