Model Context Protocol(MCP)의 인증 및 권한 부여 가이드

핵심 요약

AI 에이전트가 외부 도구 및 데이터와 상호작용하기 위한 표준인 Model Context Protocol(MCP)은 보안을 위해 강력한 인증 체계를 필요로 한다. 이 아티클은 MCP의 두 가지 주요 전송 방식인 stdio(로컬)와 Streamable HTTP(원격)에서의 인증 메커니즘을 상세히 다룬다. 특히 원격 서버를 위한 OAuth 2.1 기반의 인증 흐름, 클라이언트 등록, 스코프(Scope) 설계 및 보안 고려 사항을 구체적으로 제시한다. 이를 통해 개발자는 AI 에이전트의 권한을 안전하게 관리하고 데이터 유출 위험을 최소화하는 방법을 학습할 수 있다.

배경

OAuth 2.1 프로토콜에 대한 이해, HTTP 및 REST API 보안 기초, MCP(Model Context Protocol) 기본 개념

대상 독자

MCP 서버를 구축하거나 AI 에이전트 보안 아키텍처를 설계하는 개발자

의미 / 영향

MCP의 표준화된 인증 체계는 AI 에이전트가 기업 내부 데이터나 유료 서비스에 안전하게 접근할 수 있는 기반을 마련한다. 이는 파편화된 에이전트 보안 방식을 통합하여 생태계 확장을 가속화할 것이다.

섹션별 상세

MCP 인증은 전송 계층(Transport Layer)에서 발생하며 현재 stdio와 Streamable HTTP 두 가지 방식이 지원된다. 로컬 프로세스로 실행되는 stdio 방식은 별도의 인증이 필요 없으나 환경 변수를 통해 백엔드 서비스 인증 정보를 전달한다. 반면 원격 서버를 위한 Streamable HTTP는 OAuth 2.1 프로토콜을 사용하여 클라이언트를 인증하고 권한을 부여한다.

원격 MCP 서버는 OAuth 2.1의 권한 부여 코드 승인(Authorization Code Grant) 방식을 권장한다. 인증되지 않은 클라이언트가 접속하면 서버는 401 오류와 함께 신뢰하는 인증 서버(Authorization Server) 정보를 반환한다. 이후 클라이언트는 인증 서버에서 메타데이터를 조회하고 필요한 경우 동적 클라이언트 등록(DCR)을 거쳐 액세스 토큰을 획득하는 과정을 거친다.

최신 MCP 사양(2025-11-25)은 동적 클라이언트 등록(DCR) 외에도 클라이언트 ID 메타데이터 문서(CIMD)를 통한 등록 방식을 도입했다. 클라이언트는 RFC 9728에 정의된 리소스 메타데이터를 통해 서버가 신뢰하는 인증 서버 목록을 확인한다. 이 과정은 클라이언트가 사전에 등록되지 않은 환경에서도 유연하게 인증 체계를 구축할 수 있게 돕는다.

MCP 인증 과정에서 사용자는 에이전트가 요청하는 특정 작업에 대해 명시적으로 동의해야 한다. 스코프는 'mcp:read', 'mcp:write'와 같이 접두사를 사용하여 설계하며 비즈니스 로직에 따라 세밀하게 구분하는 것이 중요하다. 특히 2025-11-25 사양에서는 권한이 부족할 때 추가 권한을 요청하는 단계별 인증(Step-up Authorization) 기능이 새롭게 추가되었다.

획득한 액세스 토큰은 보안을 위해 짧은 수명을 가져야 하며 쿼리 파라미터에 노출해서는 안 된다. 클라이언트는 리프레시 토큰(Refresh Token)을 사용하여 사용자 개입 없이 토큰을 갱신할 수 있다. 또한 MCP 서버는 전달받은 토큰이 자신을 위해 발행된 것인지(Audience), 서명이 유효한지, 만료되지 않았는지 반드시 검증해야 한다.

사용자 개입이 없는 자동화된 스크립트나 에이전트 간 통신을 위해 클라이언트 자격 증명 승인(Client Credentials Grant) 방식이 논의되고 있다. 현재 핵심 사양에서는 서버 간 인증에 대해 의도적으로 침묵하고 있으나 확장 기능을 통해 이를 지원하려는 움직임이 존재한다. 이는 크론 작업(Cron Job)이나 자율형 에이전트 환경에서 필수적인 요소이다.

현재 MCP 인증은 서버가 백엔드 API와 통신할 때 토큰을 전달하는 방식(Token Passthrough)에 대한 제약이 엄격하다. 향후에는 더욱 세밀한 권한 제어를 위한 Rich Authorization Requests(RAR) 도입이나 리다이렉트 없이 토큰을 획득하는 방식 등이 제안되고 있다. 이러한 변화는 엔터프라이즈 환경에서의 MCP 도입을 더욱 가속화할 전망이다.

이미지 분석

Diagram
클라이언트가 인증되지 않은 요청을 보냈을 때 401 응답을 받고 메타데이터를 검색하여 인증 서버에서 토큰을 획득한 후 다시 요청하는 전체 사이클을 시각화한다. 기사에서 설명하는 Streamable HTTP 전송 방식의 핵심 메커니즘을 단계별로 이해하는 데 필수적인 정보를 제공한다.
OAuth 2.1을 이용한 MCP 클라이언트와 서버 간의 인증 및 권한 부여 과정을 보여주는 플로우차트이다.

</> 코드 예제 포함

실무 Takeaway

원격 MCP 서버 구축 시 보안을 위해 반드시 OAuth 2.1 기반의 Streamable HTTP 전송 방식을 채택하고 최신 사양(2025-11-25)을 준수해야 한다.
스코프 설계 시 최소 권한 원칙을 적용하여 읽기, 쓰기, 삭제 권한을 명확히 분리하고 사용자에게 이해하기 쉬운 명칭을 제공해야 한다.
로컬 stdio 방식 사용 시에는 API 키와 같은 민감 정보를 환경 변수를 통해 안전하게 주입하고 하위 서비스와의 인증을 별도로 관리해야 한다.
MCP 인스펙터(Inspector) 도구를 활용하여 OAuth 흐름과 서버 응답을 디버깅함으로써 구현상의 오류를 조기에 발견할 수 있다.

언급된 리소스

문서Model Context Protocol Specification

GitHubMCP Inspector