GKE 게이트웨이를 인그레스 Agent Gateway로 사용

Google Kubernetes Engine(GKE) 클러스터에서 자율 AI 에이전트 또는 모델 컨텍스트 프로토콜(MCP) 서버를 호스팅하는 경우 외부 클라이언트, 개발자 CLI, 기타 서비스의 수신 연결을 보호해야 합니다. AI 에이전트는 실행 경로를 동적으로 결정하므로 표준 레이어 4 네트워크 방화벽으로는 완전히 보호할 수 없습니다. GKE Gateway API를 사용하여 리전 애플리케이션 부하 분산기를 배포하면 이 클라이언트-에이전트(인그레스) 트래픽을 제어하고 요청이 워크로드에 도달하기 전에 AI 관련 보안 가드레일을 적용할 수 있습니다.

GKE 네트워킹을 관리하는 플랫폼 관리자 또는 보안 엔지니어는 이 아키텍처를 사용하여 자체 관리형 에이전트를 안전하게 노출할 수 있습니다.

인그레스 트래픽에 Agent Gateway를 사용하는 이유

표준 마이크로서비스는 예측 가능한 정적 종속 항목에 의존합니다. 하지만 AI 에이전트는 사용자 프롬프트를 기반으로 실행 경로를 동적으로 결정합니다. 이러한 예측 불가능한 상호작용 패턴을 보호하기 위해 표준 GKE 게이트웨이를 Agent Gateway로 변환하여 다음을 수행할 수 있습니다.

  • 복합 승인 시행: 네트워크 에지에서 호출 서비스의 ID와 요청 페이로드의 시맨틱 컨텍스트를 모두 검증합니다.
  • 에이전트 코드에서 보안 분리: AI 개발자가 에이전트 애플리케이션에 복잡한 보안 로직을 빌드할 필요 없이 엄격한 상호 TLS(mTLS) 및 승인 정책을 적용합니다.
  • 프롬프트 자동 정제: 수신 프롬프트가 에이전트의 추론 엔진에 도달하기 전에 프롬프트 인젝션 공격이나 유해한 콘텐츠가 있는지 검사합니다.

GKE에서 인그레스 에이전트 거버넌스가 작동하는 방식

에이전트로 들어오는 인바운드 트래픽을 제어하려면 표준 GKE 게이트웨이 API 리소스를 Agent Platform 거버넌스 정책과 결합합니다.

  • GKE 게이트웨이: 표준 Gateway 리소스(gke-l7-regional-external-managed 또는 gke-l7-rilb GatewayClass로 구성됨)를 배포하여 리전 HTTP(S) 부하 분산기를 네트워크 진입점으로 프로비저닝합니다.
  • Agent Gateway 타겟팅: Gateway 리소스를 타겟팅하는 GCPAgentGateway 커스텀 리소스를 만들어 부하 분산기를 관리형 Agent Gateway로 변환합니다.
  • ID 및 액세스 제어: GCPAuthzPolicy 커스텀 리소스를 적용하여 레이어 7 ID 기반 액세스 제어를 시행합니다. 호출 클라이언트의 SPIFFE ID를 확인하고 특정 MCP 메서드 또는 도구 이름(예: tools/list 또는 tools/call)에 대한 액세스를 제한할 수 있습니다.
  • 콘텐츠 보안 및 커스텀 승인: Service Extension Binding 커스텀 리소스를 GCPAgentGateway에 연결하여 수신 프롬프트와 발신 대답을 Cloud de Confiance by S3NSModel Armor를 통해 라우팅하여 프롬프트 인젝션 공격을 차단하거나 승인 결정을 커스텀 ID 공급업체(IDP)에 위임합니다.

기본 요건

인그레스 Agent Gateway를 구성하려면 GKE 환경이 다음 요구사항을 충족해야 합니다.

  • GKE 클러스터 버전: 클러스터에서 GKE 버전 1.37.1-gke.1697000 이상을 실행해야 합니다.
  • Gateway API: 클러스터에서 GKE Gateway API를 사용 설정해야 합니다.
  • 에이전트 ID: 게이트웨이가 ID 기반 정책을 평가할 수 있도록 에이전트 워크로드에 암호화 SPIFFE ID를 할당해야 합니다. 이러한 ID를 포드에 할당하는 방법은 GKE용 에이전트 ID 정보를 참조하세요.
  • 에이전트 레지스트리: 에이전트 레지스트리가 워크로드를 검색하고 메타데이터를 동기화할 수 있도록 에이전트 배포를 등록해야 합니다. Registry에서 워크로드를 검색하고 메타데이터를 동기화할 수 있습니다. 등록하려면 배포에 registry.gke.io/functional-type: "AGENT" 라벨을 추가합니다.

다음 단계