Google Cloud Fraud Defense, reCAPTCHA의 다음 진화 단계 완벽 가이드

Google Cloud Fraud Defense, reCAPTCHA의 다음 진화 단계

2026년 4월, Google Cloud는 Google Cloud Next '26에서 Google Cloud Fraud Defense를 공식 출시했다. 이것은 2007년 이후 웹 보안을 지켜온 reCAPTCHA의 사실상 후속 플랫폼이다. 단순한 봇 탐지를 넘어, 자율 AI 에이전트까지 검증할 수 있는 범용 신뢰 플랫폼으로 전환했다. 이번 글에서는 Fraud Defense의 핵심 기능을 상세히 분석하고, 개발자와 보안 담당자가 반드시 알아야 할 점을 정리한다.

에이전트 웹이 맞이한 보안의 새로운 지평

웹의 미래는 에이전트 웹(Agentic Web)으로 향하고 있다. 자율 AI 에이전트가 오픈 웹과 업계 표준 프로토콜을 활용해 복잡한 작업을 스스로_reason, plan, execute_하는 세계다. 그러나 이러한 자율 시스템은 새로운 남용 및 사기 벡터를 동시에 만들어낸다.

기존 보안 플랫폼은 이 새로운 위협에 대응할 수 없다. 전통적인 봇 탐지는 정적 규칙에 의존하고, 이는 고도로 자동화된 AI 공격에 쉽게 우회된다. Gartner는 2026년 AI 기반 신원 사기 피해가 320억 달러에 달할 것으로 전망한다. Google Cloud는 이 위협에 대응하기 위해 Fraud Defense라는 새로운 신뢰 플랫폼을 설계했다.

핵심 기능 3가지

1. 에이전트 활동 측정(Agentic Activity Measurement)

Fraud Defense의 첫 번째 핵심 기능은 에이전트 활동 측정 대시보드다. 웹사이트에서 발생하는 에이전트 트래픽을 정밀하게 식별하고, 분류하며, 분석할 수 있는 도구를 제공한다.

구체적으로 다음과 같은 업계 표준 프로토콜과 통합한다:

• Web Bot Auth: 에이전트의 정당성을 검증하는 개방형 표준

• SPIFFE/SPIRE: 워크로드 신원 플랫폼으로 에이전트 인증

• 전통적 신호: IP 평가, 디바이스 지문, 동작 패턴 등

이 정보들을 에이전트와 인간의 신원을 연결하여 위험과 신뢰를 종합적으로 판단한다. 단순히 "봇이다/아니다"가 아니라, "어떤 종류의 에이전트인가"까지 구분할 수 있다.

2. 에이전트 정책 엔진(Agentic Policy Engine)

두 번째 핵심 기능은 세분화된 정책 제어다. 에이전트 정책 엔진은 사용자 여정의 다양한 단계에서 조건 기반 트래픽 제어를 가능하게 한다.

정책 조건으로 포함할 수 있는 항목:

• 위험 점수(Risk Score): 실시간 산출되는 0~100점 신뢰도 지표

• 자동화 유형(Automation Type): Selenium, Playwright, Puppeteer 등 구체적 자동화 프레임워크

• 에이전트 신원(Agent Identity): 에이전트 인증서, 발급자, 속성 정보

예를 들어, 비인증 에이전트의 민감한 API 접근만 차단하거나, 특정 에이전트 발급자의 트래픽만 허용하는 세밀한 정책을 구성할 수 있다.

3. AI 저항성 챌린지(AI-Resistant Challenge)

세 번째 핵심 기능은 AI 공격을 경제적으로 불가능하게 만드는 QR 코드 챌린지다. 악의적인 에이전트 행위가 탐지되면, 애플리케이션 제공자가 인간을 참여시키도록 요청한다.

주요 특징:

• QR 코드 기반 검증: 스마트폰으로 QR 코드를 스캔하여 인간임을 증명

• 실시간 응답 요구: 챌린지 응답 시간으로 봇과 인간 구분

• 경제적 억제:자동화 공격의 비용을 수익보다 크게 만듦

기존 reCAPTCHA의 그림 선택 방식은 AI 비전 기술의 발전으로 더 이상 안전하지 않다. QR 코드 챌린지는 AI 비전에 전혀 의존하지 않는 새로운 검증 패러다임이다.

세 가지 전략적 접근

Fraud Defense는 다음 세 가지 접근 방식으로 에이전트 웹의 보안을 설계한다:

1. 진화하는 위협 방지

Fraud Defense는 Google 내부 서비스를 보호하는 동일한 사기 인텔리전스를 활용한다. 위협이 봇 자동화와 무효 트래픽에서 에이전트 장악과 대규모 AI 기반 합성 신원 사기로 발전함에 따라, Fraud Defense는 이러한 위협이 사이트에 도달하기 전에 식별한다.

적용 사례:

• 계정 탈취(ATO) 방어: 정교한 다단계 사기 캠페인을 상관관계 분석으로 탐지

• 합성 신원 방지: AI로 생성된 가짜 신원증명서 탐지

• 신규 위협 조기 경보: 글로벌 퍼디 인텔리전스 그래프 기반 선제적 위협 탐지

현재 Fortune 100 기업의 50%와 전 세계 1,400만 도메인이 이 시스템으로 보호받고 있다.

2. 고객 여정 보호

공격자는 특정 엔드포인트를 표적으로 하지 않는다. 전체 디지털 여정을 공격한다. 특히 에이전트 웹에서는 AI 에이전트가 종단 간 작업을 수행하므로 이러한 경향이 더욱 두드러진다.

Fraud Defense는 등록, 로그인, 결제, 체크아웃 전체 라이프사이클에서 통합된 위험 뷰를 제공한다. 이 접근 방식으로 다음과 같은 효과를 달성했다:

• 계정 탈취(ATO) 51% 평균 감소: 합법적 고객 활동과 정교한 남용을 정확히 구분

• 탐지율 대폭 향상: 단편적 포인트 솔루션이 놓치는 복잡한 다단계 사기 캠페인 식별

3. 비즈니스 성장 가속화

에이전트 경제에서 마찰은 전환율을 죽인다. Fraud Defense는 대부분의 사용자에게 보이지 않는 보안을 지향한다. 방해로운 그림 퍼즐 대신 조용한 백그라운드 검증을 사용한다.

핵심 이점:

• 적법한 AI 쇼핑 어시스턴트 허용: 2025 Shopify 리포트에 따르면 AI쇼핑 어시스턴트는 평균 주문 금액을 25% 증가시킴

• 정밀한 트래픽 통제: 악성 봇, 인간, 에이전트를 선별적 차단

• 사용자 경험 저하 최소화: Silent Verification으로 합법적 사용자에 대한 방해 최소화

개발자를 위한 핵심 포인트

기존 reCAPTCHA 사용자는 자동으로 Fraud Defense 고객

Google Cloud는 기존 reCAPTCHA 고객에게 무료 자동 마이그레이션을 제공한다. 별도 작업, 마이그레이션, 가격 변경 없이 기존 사이트 키와 통합이 그대로 유지된다.

즉, 현재 reCAPTCHA v2나 v3를 사용 중이라면:

1. 추가 비용 없음

2. 통합 코드 변경 불필요

3. 즉시 Fraud Defense 대시보드 접근 가능

API 연동을 통한 커스터마이징

Fraud Defense는 REST API와 SDK를 제공한다:

# Python SDK 예시 (개념적)from google.cloud import frauddefenseclient = frauddefense.FraudDefenseClient()# 에이전트 검증 요청response = client.verify_agent(request={"session_id": "session_abc123","agent_identity": {"spiffe_id": "spiffe://example.com/agent/payment-agent","web_bot_auth_token": "token_xyz789"},"action": "checkout"})if response.risk_score > 70:# 차단의사 결정print("High-risk agent detected")

즉시 적용 가능한 보안 정책

정책 엔진을 활용한 실전 구성 예시:

# 에이전트 정책 설정 예시policies:- name: "block-unauthenticated-agents"conditions:- risk_score: "> 80"- agent_authenticated: falseaction: "block"- name: "allow-verified-shopping-agents"conditions:- agent_identity.issuer: "spiffe://trusted-merchants.com"- risk_score: "< 30"action: "allow"

경쟁력 비교

주요 경쟁 솔루션과 비교할 때 Fraud Defense의 차별점:

구분	reCAPTCHA v3	전통 CSP	Fraud Defense
봇 탐지	◯	△	◯
AI 에이전트 검증	✗	✗	◯
실시간 정책 엔진	✗	△	◯
글로벌 인텔리전스	◯	△	◯
SDK 지원	△	△	◯
QR 챌린지	✗	✗	◯

향후 전망

Google Cloud의 320억 달러 사이버보안 투자와 결합하여, Fraud Defense는 AI 보안 표준을 정의할 것으로 전망된다. 특히 Check Point와 파트너십을 통한 AI 에이전트 가드레일 구현은 업계 전체에 영향을 미칠 것이다.

2026년 내에 다음 기능 추가로 예상된다:

• Advanced Agent Identity Federation: 더 많은 에이전트 발급자와의 SSO 통합

• Cross-Platform Trust Score: 모바일 앱과 웹 간 통합 신뢰 점수

• Real-Time Threat Intelligence Streaming: 실시간 위협 인텔리전스 스트리밍 API

요약

Google Cloud Fraud Defense는 다음 세 가지 핵심 메시지를 전달한다:

1. 에이전트 웹 시대의 보안 패러다임 전환: 단순 봇 탐지를 넘어 인간, 봇, AI 에이전트를 모두 검증하는 범용 신뢰 플랫폼

2. 기존 투자 보호: 기존 reCAPTCHA 고객은 자동 마이그레이션, 추가 비용 없음

3. 비즈니스와 보안의 균형: Silent Verification으로 사용자 경험을 저하시키지 않으면서도 51% ATO 감소 달성

개발자와 보안 담당자는 즉시 Fraud Defense 콘솔에 접속하여 대시보드를 확인하고, 기존 정책에서 개선 가능한 포인트를 파악하길 권장한다.

---

📚 출처

• https://news.hada.io/topic?id=29237