OrcaRouter, 툴 호출 실행 직전 차단하는 무료 방화벽 도입

Agent Firewall 문서 개요 — 정책 하나를 API 키에 붙이면 매 호출에 적용되고 SDK 변경이 필요 없다. 판정은 allow·audit·deny·sanitize·pending_approval·cap_cost 여섯 가지다 (사진= CONTINUUM AI PTE. LTD. 제공)

CONTINUUM AI(컨티뉴엄 AI)가 개발한 OpenAI 호환 LLM 게이트웨이인 OrcaRouter가 에이전트가 실행하는 툴 호출을 실행 직전에 판정하는 Agent Firewall을 운영한다고 밝혔다. 모델이 만들어낸 텍스트를 사후에 검사하는 방식이 아니라, 에이전트가 실제로 하려는 행동을 게이트웨이에서 가로채 허용 여부를 결정하는 구조다. OrcaRouter 사용자에게 무료로 제공된다.

가드레일이 보지 못하는 구간

에이전트는 텍스트를 생성하는 데서 멈추지 않는다. ‘shell.exec’를 호출하고, 데이터베이스에 질의하고, 외부 URL을 가져오고, MCP 서버를 통해 도구를 실행한다. 이들은 모두 실제 세계에 영향을 주는 행동이지만, 프롬프트와 응답 본문을 검사하는 가드레일의 시야에는 들어오지 않는다.

문제는 그 사이 구간이다. 최근 공개된 한 연구는 악의적인 LLM 라우터나 그 상류가 모델의 툴 호출을 생성한 뒤 에이전트가 실행하기 전에 변조할 수 있다고 주장했다. 같은 연구는 라우터 26개가 툴 호출을 몰래 주입해 자격증명을 탈취하고 있으며, 한 고객의 지갑에서 50만 달러가 빠져나갔다고 전했다. 이는 연구진의 주장으로, 제3자가 독립적으로 검증한 결과는 아니다.

행동 계층에 세우는 관문

Agent Firewall은 이 구간을 게이트웨이에서 직접 막는다. 방식은 정책 하나를 워크스페이스 콘솔에서 작성해 API 키에 붙이는 것이다. 이후 그 키가 내보내는 모든 툴 호출은 게이트웨이에서 정책과 대조된다. 재배포도, 에이전트 코드 수정도 필요하지 않다. 정책을 고치면 그 키를 쓰는 모든 호출에 다음 호출부터 즉시 반영된다.

판정이 이뤄지는 지점은 네 곳이다.

· inbound — 에이전트가 모델에게 광고하는 도구 목록. 모델이 고르기도 전에 위험한 도구를 차단한다.

· response — 모델이 응답에서 내보내는 ‘tool_calls’.

· mcp — MCP 게이트웨이를 통해 전달되는 ‘tools/call’.

· egress — 도구가 접속하려는 외부 호스트·IP·CIDR. SSRF와 데이터 유출이 일어나는 면이다.

툴 호출 하나는 정확히 하나의 면에서 평가된다. 규칙에 ‘stage’를 지정해 특정 면에 고정하거나, 비워 두어 모든 면에 적용할 수 있다.

규칙 또는 정책의 기본값은 다음 중 하나를 낸다.

· allow — 통과시키고 기록한다.

· audit — 통과시키되 검토 대상으로 남긴다. 기본값이며, 무엇도 막지 않은 채 먼저 관찰하는 모드다.

· deny — 차단한다. 에이전트는 툴 오류를 받는다.

· sanitize — 툴 인자에서 일치하는 부분 문자열을 지우고 전달한다.

· pending_approval — 사람의 승인을 기다리며 호출을 붙잡아 둔다.

· cap_cost — 실행의 누적 지출이 규칙별 상한을 넘으면 차단한다.

규칙은 우선순위 순서로 검사되며 먼저 일치하는 것이 이긴다. 아무것도 일치하지 않으면 정책의 기본 판정으로 돌아간다.

모르는 것은 열고, 애매한 것은 닫는다

Agent Firewall의 설계 원칙은 ‘모르는 것에는 열고, 애매한 것에는 닫는다(Fail-open on the unknown, fail-closed on the ambiguous)’로 요약된다. 정책 해석 중 일시적 오류가 나면 게이트웨이는 트래픽을 끊는 대신 관찰·허용으로 내려간다. 반대로 강제하지 않는 것이 규칙의 취지를 무너뜨리는 경우, 예를 들어 목적지를 알 수 없는 egress 보고, 접근할 수 없는 승인 저장소, 소유권을 확정할 수 없는 스킬에는 닫힌다. 가용성은 지키되, 중요한 국면에서 안전이 조용히 건너뛰어지지는 않는다는 것이다.

도입 절차는 단계적으로 설계됐다. 섀도 모드에서는 강제 판정이 감사로 낮춰져 실제로는 아무것도 막지 않는다. 콘솔의 이벤트 피드를 보며 규칙을 다듬은 뒤 섀도를 끄면 그때부터 강제된다.

탐지는 설치 시점이 아니라 게이트웨이에서 첫 사용 시점에 이뤄진다. 에이전트가 스스로 설치한 도구나 MCP 서버, 스킬은 그 호출이 게이트웨이를 처음 통과할 때 잡힌다. 어떤 경로로 들어온 능력이든 모든 제공자와 모든 툴 호출을 보는 단일 지점이 게이트웨이라는 것이 OrcaRouter의 설명이다.

inbound 단계에서 차단된 호출은 상류 모델 호출 전에 발생하므로 쿼터를 소모하지 않는다. 막는 데 비용이 들지 않는다는 뜻이다.

일반 모델에서 Guardrails와 Agent Firewall은 사용자가 직접 켜는 방식이다. 무검열 모델은 예외로, 안전 검사가 메모리 안에서 강제 실행된다. ZDR(무보관) 모드를 켜면 요청 내용은 보관되지 않는다. OrcaRouter는 이를 ‘검사와 보관은 다르다(Inspection ≠ retention)’고 설명한다.

OrcaRouter는 단일 API 키와 엔드포인트로 다음을 포함한 200개 이상의 모델을 제공한다.

· OpenAI GPT-5.5

· Anthropic Claude Fable 5.1

· Google Gemini 3.8 Flash

· DeepSeek V4.1 Flash

· xAI Grok 4.6

· Qwen 3.7 Max

· Z.ai GLM-5.3

· Agent Firewall 개요

· Agent Firewall 문서

· OpenAI GPT-5.5

· Anthropic Claude Fable 5.1

· Google Gemini 3.8 Flash

· OrcaRouter 웹사이트

OrcaRouter 소개

OrcaRouter는 OpenAI 호환 LLM 게이트웨이로, 200개가 넘는 모델에 걸쳐 라우팅하며 약 40%의 비용 절감, 1밀리초 미만의 라우팅 오버헤드, 0%의 토큰 마크업을 제공한다. 자체 호스팅 에디션인 OrcaRouter-Lite는 MIT 라이선스로 제공된다.

CONTINUUM AI PTE LTD 소개

Continuum AI Pte. Ltd.는 최첨단 AI를 개발자와 팀이 접근 가능하고 합리적인 비용으로 사용할 수 있도록 하기 위해 설립된 싱가포르 기반 기업이다. 단일 API 키와 엔드포인트를 통해 200개 이상의 선도적인 AI 모델에 대한 액세스를 제공하는 OpenAI 호환 AI Gateway인 OrcaRouter를 개발한 회사다. OrcaRouter는 약 40%의 비용 절감, 1ms 미만의 라우팅 오버헤드, 토큰 마크업 없음을 제공하며, MIT 라이선스로 출시된 자체 호스팅 버전(OrcaRouter-Lite)도 함께 제공한다.

◆ 한눈에 보기

· 발행 기관 : CONTINUUM AI PTE. LTD.

· 분류 : 인공지능, 인터넷, CONTINUUM AI PTE. LTD.

· 배포 : 2026년 9월 22일 오전 9시 30분

출처 : CONTINUUM AI PTE. LTD. 보도자료(뉴스와이어)

· · · · · · · · · ·

▶ OrcaRouter 1위 GPT-5.4, 165달러…3위는 0.38달러 격차

▶ OrcaRouter, 관리자도 못 읽는 프롬프트 암호화 도입…해킹 현상금도 건다

· · · · · · · · · ·