AI가 대신 결제할 때, 서명만 믿어도 될까?

AI가 고객 대신 결제하는 시대에는 고객 서명이 있어도 결제가 고객 뜻과 같은지 따져봐야 한다. 구글의 AI 결제 규약 AP2 0.2판을 분석한 연구에서는 모두 48개 위협이 나왔고, 이 가운데 8개가 고위험 점수를 받았다. 특히 50달러 이하를 부탁한 카메라가 80달러 승인으로 바뀌는 재현도 서명 검사를 통과했다.

AP2는 무엇을 지키는 규약인가?

AP2는 구글이 공개한 AI 결제 규약이다. 쇼핑 에이전트가 장바구니를 만들면 고객이 확인 화면에서 내용을 보고 서명한다. 판매자와 결제수단 제공자, 결제 처리사는 그 서명을 차례로 확인한다.

2025년에 나온 0.1판은 고객이 매번 화면 앞에 있는 방식만 다뤘다. 2026년 4월 나온 0.2판은 고객이 미리 조건을 정하고 자리를 떠난 뒤 AI가 결제를 마무리하는 방식도 다룬다.

이스라엘 벤구리온대와 인튜이트 연구진이 문제로 본 곳은 서명하기 전 단계다. 상품 목록과 견적 도구가 돌려준 값, 에이전트끼리 주고받은 메시지는 서명 대상이 아니다. 이 부분이 바뀌면 서명 자체는 정상이어도 서명된 내용이 고객이 처음 원한 내용과 달라질 수 있다.

그렇다면 어떤 곳에서 문제가 생길 수 있나?

연구진은 위협 48개를 다섯 갈래로 나눴다. 가장 많은 것은 에이전트가 믿고 쓰는 프로그램이나 등록부, 접속 주소가 바뀌는 문제로 13개였다. 고객 뜻과 다른 내용이 서명되는 문제는 10개였다.

그다음은 다른 역할인 것처럼 결제 도구를 부르는 권한 사칭이 9개였다. 서명 뒤 장바구니나 위험 점수가 바뀌는 거래 상태 묶음 실패도 9개였고, 오픈마켓 이름 뒤에 실제 판매자가 숨는 책임 추적 실패가 7개였다.

고위험 8개는 어떤 문제인가?

고위험으로 평가된 8개의 점수는 7.0점에서 7.6점 사이였다. 가장 높은 7.6점은 호출 역할 혼동과 하위 에이전트 지시문 변질이었다.

그 밖에도 도구 입력값 조작, 위험 점수 조작, 비슷한 이름의 도구로 가로채기, 여러 가맹점 정보가 섞이는 문제 등이 포함됐다. 서명 전에 내용이 오염되는 문제와 한 글자 다른 주소를 이용해 규약판을 낮추는 문제도 고위험으로 평가됐다.

50달러 이하를 부탁했는데 왜 80달러가 될 수 있나?

연구진은 실제로 이런 상황을 재현했다. 고객이 카메라 한 대를 50달러 이하로 사 달라고 맡기고 자리를 뜬다.

나쁜 판매자가 상품 조건에 50달러 구매에도 최대 80달러 승인 여유가 필요하다고 적는다. 받는 곳도 결제 때 정한다고 적는다. 견적 도구는 50달러에서 80달러 범위의 값을 돌려준다.

쇼핑 에이전트는 이 내용을 그대로 옮긴다. 그 결과 승인 상한은 80달러가 되고 받는 곳 제한도 없어진다. 확인 화면에는 이것이 결제 여유분으로 표시되고 경고가 없으니 고객은 서명한다. 이후 판매자는 같은 카메라를 80달러로 청구한다.

중요한 점은 서명 검사가 깨진 것이 아니라는 것이다. 서명하기 전에 들어온 정보가 고객이 처음 정한 조건과 다르게 바뀐 것이다.

다른 재현에서도 서명은 정상으로 처리됐다

연구진은 다른 공격도 재현했다. 규약 주소에서 소문자 l 하나를 숫자 1로 바꾼 가짜 주소에 붙이자 거래가 0.1판으로 내려갔다. 서명 검사는 이를 막지 못했다.

위험 점수 칸에 낮음과 본인 인증 완료라고 적어 추가 본인 인증 단계를 건너뛰는 재현도 있었다. 같은 결제 대행 플랫폼에 입점한 작은 판매자가 경쟁 가게 고객의 결제 토큰을 받아 내는 재현도 있었는데, 기록에는 플랫폼 이름만 남았다.

이 연구 결과는 어디까지 봐야 하나?

연구진은 공개된 완전한 AP2 운영 사례를 찾지 못했다. 그래서 다섯 가지 구성을 모두 갖춘 시험장을 직접 만들고 공격을 재현했다. 실제 운영 중인 AP2에서 같은 문제가 모두 발생한다고 단정할 수 있는 결과는 아니다.

다른 분석 도구를 GPT 모델로 다섯 번 돌린 결과는 연구진이 찾은 48개 위협 가운데 32개를 찾아냈다. 외부 평가자 두 명은 놓친 16개를 모두 서로 겹치지 않는 별개의 위협으로 판단했다.

학계와 업계 평가자 8명이 같은 채점표로 위협 25개를 따로 평가했을 때는 120번 가운데 111번이 같은 위험 등급이었다. 연구진이 만든 점검 도구의 탐지율은 구성에 따라 50%에서 100%까지 달랐다.

연구진도 한계를 적었다. 실제 운영 중인 AP2가 없어 모든 결과가 시험장에 기반한다. 카드사와 은행 쪽까지 피해가 이어지는지도 확인하지 않았다.

작은 가게는 무엇을 먼저 확인해야 하나?

입점 판매자에게는 책임 추적 문제가 특히 중요하게 볼 만하다(예상). 결제 기록에 오픈마켓 이름만 남으면 분쟁이 생겼을 때 실제로 누가 가격과 배송, 수수료를 정했는지 가게가 증명하기 어려워질 수 있다.

그래서 AI 결제를 도입하는 플랫폼이나 결제대행사에 기록이 어떻게 남는지 먼저 확인할 필요가 있다. 여러 가게가 함께 쓰는 결제 플랫폼이라면 결제 토큰과 승인 기록을 가게별로 나누어 기록하는지도 확인할 만하다.

상품 설명도 살펴봐야 한다. 상품 설명에 추가 승인이나 여유 한도 같은 표현이 들어가더라도 그것이 승인 한도를 올리는 근거가 되지 않도록 하는 것이 연구진 대책에서 예상할 수 있는 가게 쪽 대응이다.

확인 화면에 실제 승인 상한과 받는 곳 제한 여부가 정확히 표시되는지도 물어볼 만하다. 위험 점수로 본인 인증이 생략되는 구조라면 어떤 조건에서 생략되는지도 확인할 필요가 있다.

AI가 대신 결제하는 과정에서는 고객의 서명이 있다는 사실만으로 거래 전체가 고객 뜻과 같다고 볼 수 없다. 작은 가게와 입점 판매자는 가격과 승인 한도, 결제 기록에 실제 가맹점 정보가 어떻게 남는지를 확인하는 것부터 시작할 수 있다.

같이 읽을 글

• 고객 대신 결제하는 AI, 진짜인지 가게는 어떻게 알까?
• AI가 결제하다 사고 나면 누가 물어줄까?
• AI가 대신 사는 시대, 가게는 어디까지 맡겨야 할까?
• AI가 물건을 사 주는 시대, 작은 쇼핑몰은 뭘 준비해야 하나?

자료 출처

• Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2)(Aviv·Gandh·Bitton·Shabtai, 벤구리온대·인튜이트, 2026년 8월 arXiv 제출, 위협 48개·고위험 8개)
• Agent Payments Protocol (AP2) 공식 저장소(구글)
• Announcing Agent Payments Protocol (AP2)(구글 클라우드 블로그)
• Zero-Trust Runtime Verification for Agentic Payment Protocols(Lan 등, 2026년 2월 arXiv, AP2 0.1판 재사용·맥락 묶음 문제)
• Agentic AI Threat Modeling Framework: MAESTRO(클라우드 보안 연합, 2025년 2월)
• 중소기업중앙회 「2026 온라인 플랫폼 입점 거래 실태조사」(파이낸셜뉴스, 2026년 9월 15일) — 매출의 21.7%