에이전트에 장기 기억을 붙이면 일은 덜 반복되지만…오래된 정보·개인정보가 함께 남는다
AI 에이전트에 지속 기억을 붙인다고 해서 업무 품질이 자동으로 높아지는 것은 아니다. 2026년 10월 16일 기준으로 확인되는 공식 문서를 보면, 장기 기억은 반복 지시를 줄이고 이전 작업 맥락을 이어가는 데 도움을 줄 수 있지만, 그만큼 오래된 정보가 남아 잘못 다시 호출되거나 개인정보가 별도 경로로 보존되는 문제가 함께 커진다. 기업이 따져야 할 핵심은 기억 기능의 존재 자체보다 어떤 범위의 정보를 얼마나 오래 저장하는지, 누가 수정·삭제할 수 있는지, 일반 채팅 기록과 별도로 남는 데이터가 있는지다.
최근 에이전트 표준의 흐름도 이런 판단을 뒷받침한다. 앤스로픽은 2025년 12월 9일 모델 컨텍스트 프로토콜(MCP)을 리눅스 재단 산하 에이전틱 AI 파운데이션에 기증했다고 발표했다. 그러나 올해 7월 확정된 MCP 2026-07-28 규격의 큰 변화는 프로토콜 계층을 상태 비저장형으로 바꾼 데 있다. 초기화 핸드셰이크와 세션 식별자를 걷어내고, 각 요청이 필요한 정보를 스스로 담아 전달하도록 바꿨다는 뜻이다. 규격 문서도 애플리케이션이 필요하면 별도 식별자나 도구 인수를 통해 상태를 직접 관리하라고 설명한다. 다시 말해 에이전트의 ‘기억’은 프로토콜이 기본으로 책임지는 기능이 아니라 제품과 운영 정책이 따로 설계해야 하는 층에 가깝다.
단발 세션보다 편하지만, 기억은 별도 데이터가 된다
단발 세션 방식의 장점은 경계가 비교적 분명하다는 데 있다. 한 번의 대화나 작업이 끝나면 다음 요청은 새 컨텍스트에서 출발하므로, 예전 지시나 민감한 정보가 후속 작업에 자동으로 스며들 가능성이 상대적으로 낮다. 반면 지속 기억은 사용자의 선호, 프로젝트 맥락, 과거 대화에서 추출한 요약을 다음 작업에 불러올 수 있어 반복 업무에는 유리하다. 다만 이때 기억은 단순한 화면상의 편의 기능이 아니라 보존·검색·재사용되는 데이터가 된다.
오픈AI의 메모리 안내 문서는 이 점을 비교적 분명히 드러낸다. 저장된 메모리는 채팅 기록과 분리돼 보관될 수 있고, 원래 대화를 지운다고 해서 별도 저장 메모리가 자동 삭제되지는 않는다. 메모리에서 정보를 지우려면 저장 메모리뿐 아니라 해당 정보가 나온 채팅과 다른 출처까지 함께 정리해야 하며, 삭제가 시스템 전반에 반영되기까지 시간이 걸릴 수 있다고 적고 있다. 과거 채팅을 참조하는 기능을 꺼도 저장된 메모리 자체는 남을 수 있다는 설명도 있다. ‘기억을 껐다’는 사용자 감각과 실제 데이터 상태가 다를 수 있다는 뜻이다.
앤스로픽의 클로드 문서도 비슷한 구조를 보여준다. 조직 차원에서 메모리를 끄면 기존 메모리 데이터가 즉시 영구 삭제된다고 안내하지만, 그 전까지는 메모리 항목이 암호화된 상태로 저장되고, 관리자 데이터 내보내기와 보존 정책의 적용 대상이 된다. 삭제되거나 만료된 대화에 맞춰 메모리가 갱신되더라도, 메모리와 관련된 데이터는 조직의 채팅 보존 정책 안에서 관리된다. 시크릿 성격의 대화도 메모리 학습에는 쓰이지 않을 수 있지만, 안전 목적상 최소 30일 보존되거나 조직 내보내기 범위에 포함될 수 있다고 적혀 있다. 장기 기억은 결국 편의 기능이 아니라 거버넌스 대상이라는 얘기다.
문제는 성능보다 정정·삭제·범위 제한이 되는가
공식 문서만 놓고 보면 공급사들은 메모리가 협업 효율을 높인다고 설명하지만, 기업 도입 판단에 바로 쓸 수 있는 정량 성과를 보편적으로 제시하지는 않는다. 따라서 ‘지속 기억이 있으니 업무 품질이 높다’는 마케팅 문구보다 더 먼저 봐야 할 항목은 정정 가능성, 삭제 전파 시간, 프로젝트 단위 격리, 관리자 통제 권한이다. 오래된 담당자 정보, 만료된 보안 예외, 이전 프로젝트의 관행이 메모리에 남아 있으면 답변의 일관성은 높아져도 정확성은 오히려 떨어질 수 있다.
특히 정정과 삭제는 기능 소개보다 더 중요하다. 사용자가 잘못 저장된 사실을 고칠 수 있는지, 원문 대화 삭제와 메모리 삭제가 별개인지, 내보내기 가능한 사본이 남는지, 규제 환경에서는 기본값이 어떻게 바뀌는지 확인해야 한다. 오픈AI는 규제 대상 워크스페이스에서 향상된 메모리가 기본 비활성화될 수 있다고 설명하고, 프로젝트 전용 메모리로 참조 범위를 제한하는 기능을 별도로 둔다. 앤스로픽도 일부 고규제 조직에는 메모리 기능을 제공하지 않거나 데이터 보존 계약과의 관계를 따로 명시한다. 기억 기능이 강할수록 보안·규제 예외가 따라붙는 구조다.
보안 위험은 ‘한 번의 실수’가 아니라 ‘다음 세션까지 남는 오염’
장기 기억이 단발 세션과 가장 크게 갈라지는 지점도 여기다. OWASP는 에이전트 보안 지침에서 메모리, 검색, 도구 정책이 바뀔 때마다 구조화된 보안 테스트를 다시 해야 한다고 권고한다. 특히 메모리 중독과 도구 오남용 같은 실패 사례를 회귀 시험에 포함하라고 적고 있다. 한번 저장된 잘못된 지시나 악성 문맥이 다음 작업에서 다시 불려 나올 수 있기 때문이다.
OWASP의 MCP 보안 문서도 공유되거나 지속 저장된 문맥이 세션 간, 사용자 간, 에이전트 간에 새어 나가면 개인정보 유출과 행위 오염이 동시에 일어날 수 있다고 경고한다. 이는 단순한 프롬프트 주입보다 더 까다롭다. 일회성 세션에서는 대화가 끝나면 공격 효과도 함께 사라질 가능성이 크지만, 지속 기억 구조에서는 잘못된 정보가 ‘기억된 사실’처럼 다시 호출될 수 있다. 기업 입장에서는 모델 성능보다 메모리 저장 승인 절차, 민감정보 차단, 사용자·프로젝트별 격리, 관리자 삭제 권한이 먼저 점검 대상이 된다.
에이전트 간 연동 표준인 A2A 역시 이런 문제를 대신 해결해 주지는 않는다. A2A는 서로 다른 프레임워크의 에이전트가 기능을 발견하고 협업하도록 만드는 통신 규격에 가깝다. MCP가 도구와 데이터 연결의 표준을 다루고, A2A가 에이전트 간 협업을 다루더라도, 어떤 정보를 장기 기억으로 남길지와 그 기억을 언제 지우고 누가 통제할지는 여전히 서비스 운영자가 정해야 한다. 표준화가 연결 비용은 낮춰도 기억의 정확성과 개인정보 보유 책임까지 자동으로 줄여주지는 않는다는 의미다.
결국 지속 기억은 ‘이익만 주는 기능’이 아니라, 반복 작업을 줄이는 대신 데이터 보존 부담과 오염 위험을 함께 들여오는 선택지에 가깝다. 업무 품질이 좋아질 수 있는 조건은 장기 기억 자체가 아니라, 기억의 범위를 좁게 설계하고 오래된 정보를 정정·삭제할 수 있으며, 프로젝트와 사용자 경계를 강하게 분리하는 경우다. 반대로 이런 통제가 약하면, 에이전트는 똑똑해지기보다 오래된 정보를 더 자신 있게 반복하는 시스템이 될 가능성이 크다.
자료: Anthropic, Donating the Model Context Protocol and establishing the Agentic AI Foundation(2025-12-09); Model Context Protocol Blog, The 2026-07-28 MCP Specification Release Candidate(2026-03-25); Anthropic Support Center, Use Claude’s chat search and memory to build on previous context(열람 2026-10-16); Anthropic Platform Docs, API and data retention(열람 2026-10-16); OpenAI Help Center, Memory in ChatGPT(열람 2026-10-16); OWASP Cheat Sheet Series, AI Agent Security Cheat Sheet(열람 2026-10-16); OWASP Foundation, MCP10:2025 – Context Injection & Over-Sharing(열람 2026-10-16); A2A Protocol, A2A Protocol — Agent2Agent Protocol(열람 2026-10-16)