AI 브라우저, 이제 검색이 아니라 일을 한다 내 계정까지 맡겨도 될까?

“목요일 오후에 회의 시간 세 개만 찾아 줘. 초대장은 보내지 말고.” 위 그림 속 에이전트는 캘린더를 열어 일정 14개를 읽고, 비밀번호를 AI에게 보여 주지 않은 채 로그인한 뒤, 후보 시간 세 개를 골라 놓고 승인을 기다린다. 원래라면 사람이 탭 서너 개를 오가며 씨름하던 일이다.

AI 브라우저는 이제 페이지를 요약하는 데서 멈추지 않는다. 자료를 비교하고, 양식을 채우고, 이메일 초안을 쓴다. 그렇다면 내 계정까지 맡겨도 될까? 자료를 찾아 정리하는 일과 이메일을 보내거나 결제하는 일은 필요한 권한도, 실수했을 때 치르는 대가도 다르다. 결론부터 말하면 맡길 수는 있다. 다만 되돌리기 어려운 일 앞에서는 사람이 한 번 승인해야 한다.

이 글은 어사이드(Aside)의 기억 기능, 권한 설정, 요금 구조를 따라가며 AI 브라우저가 어떻게 일하는지 살펴본다. 코멧(Comet)과 아틀라스(Atlas)에 무슨 일이 있었는지, 웹사이트가 AI에게 사용법을 직접 알려 주는 WebMCP는 무엇인지도 함께 정리한다.

01. AI 브라우저는 기존 브라우저와 무엇이 다를까?

브라우저를 가르는 기준은 AI가 일에 얼마나 깊이 끼어드느냐다. 기존 브라우저에서 직접 일하는 AI 브라우저까지 세 유형을 차례로 보고, 어느 유형에나 달 수 있는 안전장치도 하나 더 살펴보자.

이 변화를 에이전틱 웹(Agentic Web)이라고 부르기도 한다. 지금까지는 사람이 페이지를 찾아 읽었다. 이제는 에이전트가 웹사이트의 기능을 쓰고, 사람은 방향을 잡고 결과를 승인한다. 이 글에서 말하는 ‘AI 네이티브 브라우저’는 공식 분류가 아니다. AI가 작업의 중심에 있는 제품을 편의상 이렇게 부른다.

02. AI 브라우저는 요청을 어떻게 처리할까?

“호텔을 찾아 줘”라는 요청은 검색 한 번으로 끝나지 않는다. 웹 에이전트는 목표를 작은 단계로 쪼갠 뒤 화면을 읽고, 행동 하나를 실행하고, 결과가 목표에 맞는지 확인하고 나서야 다음 행동을 고른다.

03. 기억 기능: 지난 작업을 다음 작업에 살린다

일을 맡길 때마다 같은 설명을 처음부터 되풀이해야 한다면 비서라고 부르기 민망하다. 어사이드가 기억 기능을 앞세우는 이유다. 공식 설명에 따르면 어사이드는 작업을 마친 뒤 관련 인물, 회사, 결정 사항을 추려 다음 작업에 쓴다. 어느 웹사이트에서 막혔다가 뚫어 낸 경로도 저장해 둔다. 이렇게 작업의 핵심을 추리는 과정을 어사이드는 드리밍(Dreaming)이라고 부른다.^[1]

기억은 사용자 기기에 마크다운(Markdown) 파일로 저장된다. 무엇이 저장됐는지, 어디서 온 정보인지 직접 확인하고 틀린 부분은 고칠 수 있다. 기억이 얼마나 많이 쌓이느냐보다, 내가 들여다보고 고칠 수 있느냐가 더 중요하다.^[2]

## 일정 선호
- 회의는 오전 시간대를 먼저 제안
- 초대장은 보내기 전에 확인 요청## 사이트 경로
- 사내 대시보드: 보고서 → 월별 → CSV## 근거: 2026-09-18 일정 조정 작업

다만 기억이 기기에 있다고 AI 처리까지 전부 기기 안에서 끝나지는 않는다. 어사이드는 외부 AI 모델에도 연결되니, 기억이 저장되는 곳과 모델이 데이터를 처리하는 곳은 나눠서 봐야 한다.^[6]

04. 로그인과 권한: 비밀번호 보호와 작업 승인은 별개의 문제다

로그인이 필요한 일을 맡기려면 AI가 계정에 들어갈 방법이 있어야 한다. 그렇다고 비밀번호를 AI 손에 쥐여 줄 필요는 없다.

어사이드 공식 도움말에 따르면 내장 비밀번호 관리자가 저장된 정보를 로그인 화면에 채우고, 비밀번호 값은 AI 에이전트에게 보여 주지 않는다. 자동으로 채우기 전에는 비밀번호 접근 정책과 대상 주소도 확인한다. 에이전트가 쓰는 도구마다 허용, 사전 확인, 차단 중 하나를 정해 둘 수 있다.^[3][4]

새 작업은 아래 세 가지 권한 모드 가운데 하나로 시작한다. 도구별 규칙이 서로 겹치면 차단이 사전 확인과 허용보다 앞선다.^[4]

핵심은 이것이다. 로그인을 허락하는 것과 로그인한 뒤의 모든 행동을 허락하는 것은 다르다. 집 열쇠를 맡겼다고 금고까지 열어 보라는 뜻은 아니다. 비밀번호를 숨기는 것과는 별개로, 계정 안에서 무엇을 읽고 무엇을 실행할지도 선을 그어 둬야 한다. 중요한 작업은 실행 전에 사용자가 확인하게 해 두는 편이 안전하다.

05. 브라우저 이용료와 AI 모델 비용은 어떻게 나뉠까?

AI 브라우저 비용은 두 갈래다. 브라우저 기능 이용료, 그리고 AI 모델을 쓰는 비용이다. 요금제에 어떤 기능과 사용량이 들어 있는지, 따로 연결한 AI 서비스에 별도 요금이나 한도가 붙는지 함께 확인하자.

브라우저 요금제부터 보자. 어사이드는 플랜에 따라 크레딧, 자동화 루틴, 심층 조사, 원격 제어에 차이를 둔다. 아래는 2026년 10월 6일에 다시 확인한 공식 요금표다.^[5]

AI 모델을 쓰는 길은 세 가지다. 요금제에 포함된 모델을 쓰거나, 이미 결제 중인 AI 구독을 연결하거나, 내 API 키를 등록한다. 뒤의 두 방식은 조건이 다르다. 구독을 연결하면 그 서비스의 사용 한도와 약관이 그대로 따라오고, API 키를 등록하면 쓴 만큼 공급자에게 직접 돈을 낸다.^[6]

그러니 챗GPT 구독을 연결했다고 브라우저 기능까지 전부 공짜로 따라오지는 않는다. 크레딧이나 루틴 개수처럼 브라우저 요금제에 묶인 한도는 모델을 어떻게 연결하든 그대로다.

06. 주요 AI 브라우저의 특징과 현재 제공 상태

AI 브라우저는 나왔다 사라지는 속도가 워낙 빨라서, 제품 상태를 말할 때는 날짜를 꼭 붙여야 한다. 아래는 2026년 10월 6일에 공식 자료로 다시 확인한 내용이다. 이 글의 중심은 어사이드이고, 다른 제품은 공식 페이지에서 확인되는 기능과 제공 상태만 정리했다.

오픈AI는 브라우저 기반 에이전트 기능을 ChatGPT 데스크톱 앱과 Codex로 옮기고, 크롬(Chrome) 사용자에게는 ChatGPT 확장 프로그램과 사이드바를 안내했다.^[12]

이어 9월 29일 데브데이에서는 자체 클라우드 컴퓨터와 브라우저로 일하는 상시 에이전트 dots를 공개하고, 지원 지역의 Pro와 Business Premium 사용자부터 열어 주기 시작했다. 오픈AI 설명에 따르면 dots는 지원되는 사이트에 로그인할 때 저장된 비밀번호를 모델에 노출하지 않고, 사용자는 작업별로 허용, 승인 요구, 차단 규칙을 정할 수 있다. 어사이드와 같은 방향의 설계다. 그래도 오픈AI 역시 dots가 실수할 수 있으니 중요한 작업은 항상 검토하라고 당부한다.

07. 성공률 99%, 어떤 조건에서 나온 결과일까?

300개 중 297개. 어사이드가 공개한 Online-Mind2Web 결과이고, 성공률로는 99.0%다. 단, 작업은 GPT-5.5가, 채점은 GPT-5.4가 자동으로 맡은 어사이드 자체 실행 결과다.^[8] Online-Mind2Web은 오하이오 주립대 연구진이 실제 웹사이트에서 에이전트를 시험하려고 만든 벤치마크다.^[17][18]

그렇다고 이 숫자를 내 업무의 성공률로 읽으면 곤란하다. 어떤 모델을 썼는지, 어떤 과제를 골랐는지, 성공을 누가 어떻게 판정했는지에 따라 숫자의 의미가 달라진다.

벤치마크는 제품이 어디까지 할 수 있는지 가늠하는 참고 자료로만 쓰자. 도입 여부는 내가 실제로 맡길 일로 직접 시험해 보고 정하면 된다. 잘못되면 되돌리기 어려운 작업이라면 성공률뿐 아니라 승인 절차와 복구 방법까지 따져야 한다.

08. WebMCP: 웹사이트가 AI에게 기능 사용법을 알려준다

화면을 직접 조작하는 에이전트는 버튼과 입력란을 하나하나 보고 용도를 짐작해야 한다. 웹 모델 컨텍스트 프로토콜(Web Model Context Protocol, WebMCP)은 순서를 뒤집는다. 웹사이트가 먼저 ‘이런 기능이 있고, 이런 값을 넣으면 된다’고 정해진 형식으로 알려 준다. 에이전트는 화면을 매번 눈치껏 추측할 필요 없이 사이트가 정해 둔 도구를 부르면 된다.^[19]

개발자는 자바스크립트로 도구를 등록하거나 HTML 폼에 설명을 덧붙여 도구로 만들 수 있다. Chrome 공식 문서는 WebMCP를 ‘제안된 웹 표준’으로 소개하고, Chrome 149부터 오리진 트라이얼(Origin Trial, 정식 출시 전에 사이트가 신청해 미리 써 보는 제도)로 시험할 수 있다고 안내한다. 10월 6일 현재도 이 단계라, 아무 브라우저나 사이트에서 쓸 수 있는 기능은 아니다.^[20][22]

// 되돌리기 어려운 행동이라고 표시한다
await document.modelContext.registerTool({
  name: 'book_flight',
  description: 'Book a flight with confirmed details.',
  inputSchema: { type: 'object', properties: { flightId: {…}, passengers: {…} } },
  annotations: { readOnlyHint: false, consequentialHint: true },
  execute: async ({ flightId, passengers }) => { /* 예약 처리 */ },
});

도구에는 꼬리표도 붙일 수 있다. 읽기만 하는 도구인지, 외부 데이터를 돌려주는지, 실행하면 큰 결과가 생기는지를 표시하는 식이다. Chrome 문서는 consequentialHint가 붙은 도구라면 브라우저나 에이전트가 실행 전에 사용자 확인을 요청할 수 있다고 설명한다. 꼬리표는 신호일 뿐이고, 실제로 승인을 받는지는 브라우저와 에이전트의 구현에 달렸다.^[21]

한계도 있다. Chrome 문서는 WebMCP가 사람이 함께 지켜보는 브라우저 작업을 위해 설계됐고, 화면 없이 돌리는 헤드리스(headless) 자동화는 주된 용도가 아니라고 설명한다. 다른 사이트가 끼워 넣은 iframe에서는 기본적으로 도구를 등록할 수 없고, 에이전트는 사이트를 직접 방문해야 어떤 도구가 있는지 알 수 있다.^[19]

09. AI 브라우저가 넘어야 할 과제: 봇 차단과 보안

기능이 좋아져도 넘어야 할 벽이 두 개 남는다. 하나는 자동화된 접속을 막는 웹사이트이고, 다른 하나는 웹페이지에 숨겨 둔 악성 지시다.

봇 차단: 탐지를 피하는 대신 신원을 확인하는 방식

많은 웹사이트가 웹 방화벽(WAF)과 봇 탐지로 자동화된 접속을 걸러 내고, 수상해 보이는 접속에는 캡차(CAPTCHA)를 띄운다. 에이전트는 대개 여기서 발이 묶인다. 대응 방법은 크게 두 가지다.

사원증이 있다고 아무 사이트나 드나들 수 있는 것은 아니다. 사이트 운영자는 여전히 봇을 모두 막거나, 검증된 봇만 들이거나, 특정 봇에게 특정 경로만 열어 줄 수 있다. 서명 방식은 IETF 초안 단계라 앞으로 바뀔 수 있다.^[24][26]

간접 프롬프트 인젝션: 웹페이지에 숨긴 악성 지시

간접 프롬프트 인젝션(indirect prompt injection)은 공격자가 웹페이지, 문서, 이메일에 악성 지시를 숨겨 두고 AI가 그 글을 읽는 순간 행동을 바꾸게 만드는 공격이다. 사람 눈에는 안 보이는 글자도 모델은 읽는다. 오픈 월드와이드 웹 애플리케이션 보안 프로젝트(OWASP)는 2026년 8월 내놓은 대형 언어 모델(LLM) 애플리케이션 10대 위험 목록에서 프롬프트 인젝션을 첫 번째 항목(LLM01:2026)으로 꼽았다.^[27]

두 인용문이 말하는 바는 같다. 모델이 악성 지시를 알아서 걸러 주리라 믿지 말 것. 자동으로 실행할 범위는 설정으로 좁히고, 영향이 큰 작업 앞에는 사람의 승인을 둘 것. 다음 장 끝에서 이 원칙을 실제 설정 예시로 옮겨 본다.

10. 어떻게 시작할까: 제품 고르기와 권한 설정 예시

처음부터 다 맡기지 말고, 권한을 좁힌 채 결과를 확인하기 쉬운 일부터 시켜 보자. 아래 진단은 어떤 제품으로 시작할지 고를 때, 체크리스트는 회사에서 무엇부터 정할지 따질 때 쓰면 된다. 맨 아래에는 실제 권한 설정 예시를 하나 담았다.

제품을 고를 때는 이런 구분을 실제 설정으로 켤 수 있는지, 승인 기록을 나중에 다시 볼 수 있는지부터 확인하자. AI 브라우저에게 일을 맡기는 건 이미 가능하다. 남은 숙제는 어디서 멈추고 나에게 물어보게 할지 정하는 일이다.

자주 묻는 질문

AI 브라우저와 브라우저에 붙은 챗봇은 무엇이 다를까?

챗봇은 주로 페이지를 요약하고 질문에 답한다. AI 네이티브 브라우저는 사용자의 목표에 맞춰 여러 사이트를 오가며 검색, 입력, 비교 같은 행동까지 직접 해 보려 한다. 제품마다 권한과 승인 방식이 크게 다르니, 기능 이름보다 실제 승인 절차를 확인하자.

어사이드(Aside)는 완전히 오프라인으로 작동할까?

그렇게 단정하기는 어렵다. 어사이드는 기억을 마크다운 파일로 기기에 저장한다고 설명하지만, 요금제 모델, ChatGPT와 Claude 구독, API 키 같은 외부 모델 연결도 지원한다. 어떤 요청이 모델 공급자에게 가는지는 선택한 모델과 설정에 따라 다르다.

ChatGPT Atlas는 아직 쓸 수 있을까?

오픈AI는 2026년 7월 9일 Atlas 종료를 발표하고, 약 30일 뒤인 8월 9일을 작동 중단 예정일로 안내했다. 그 뒤로는 Atlas가 열리지 않거나 브라우징과 에이전트 작업을 지원하지 않을 수 있다고 적었다. 브라우저 에이전트 기능은 ChatGPT 데스크톱 앱과 Codex로 옮겼고, Chrome 사용자에게는 ChatGPT 확장 프로그램이나 사이드바를 권한다.

WebMCP를 쓰면 프롬프트 인젝션이 사라질까?

아니다. WebMCP는 웹사이트가 에이전트에게 도구와 입력 형식을 알려 주는 제안 단계의 표준이다. 도구에 위험도 표시를 붙여 확인을 유도할 수는 있지만, 외부 데이터에 숨은 악성 지시까지 막아 주지는 못한다. 최소 권한과 사람의 승인이 함께 가야 한다.

함께 읽으면 좋은 글