MCP의 현실: AI가 실제 계정과 컴퓨터로 행동하기 시작했다

처음 궁금했던 것은 단순했다. 요즘 사람들이 실제로 어떤 MCP에 몰리고 있는가?

처음 받은 답은 Context7, Blender MCP처럼 공개 개발자 커뮤니티에서 유명하고 GitHub 스타가 많은 프로젝트를 중심으로 정리돼 있었다. 틀린 답은 아니었다. 하지만 내가 알고 싶었던 것은 조금 달랐다.

사람들이 MCP를 어디에 쓰고 싶은지 보려면 편리함만 보면 안 된다. 돈, 자동화, 계정 운영, 영향력, 익명성에 대한 욕구까지 같이 봐야 한다. 공식 API가 막혀 있을 때 사람들은 실제로 어디로 이동하는지, 비공식 브라우저 세션과 쿠키, GUI 자동화, 메신저 사용자 계정 같은 기술이 MCP와 어떻게 붙고 있는지가 더 궁금했다.

그래서 질문의 기준을 바꿨다.

도덕적 찬반을 먼저 판단하지 말고, 현실에서 실제로 무엇이 가능하고 어느 수준까지 확산됐는지를 보자. 다만 구체적인 침해·탈취·우회를 실행할 수 있는 매뉴얼과 코드는 별개로 경계하자.

이 기준으로 2026년 8월 5일을 놓고 다시 조사하자 전혀 다른 그림이 보였다.

이 글은 당시 GPT와 나눈 긴 조사 대화를 읽기 쉬운 하나의 글로 재구성한 것이다. 아래 수치와 사례는 그 대화에서 제시된 공개 자료와 설명을 기준으로 하며, 이 글을 게시하는 시점에 각각을 별도로 다시 검증한 것은 아니다.

가장 중요한 변화는 ‘AI가 더 많이 아는 것’이 아니다

공개 인지도로만 보면 Context7 같은 문서 검색 MCP가 여전히 매우 크다. Blender MCP처럼 AI가 전문 프로그램을 직접 조작하는 프로젝트도 강한 시각적 인상을 남긴다.

하지만 현실적인 수요를 더 넓게 보면 중요한 흐름은 다른 곳에 있었다.

로그인된 브라우저, 개인 계정, 메신저 세션, 소셜미디어, 운영체제를 AI가 직접 조작하는 MCP다.

이 변화의 핵심은 정보가 아니라 행동이다.

예전의 AI 도구가 주로 검색하고 요약하고 코드를 생성했다면, MCP는 모델이 외부 도구를 선택해 실제 행동으로 이어지는 공통 인터페이스를 제공한다. 브라우저에 이미 로그인돼 있다면 검색 결과를 읽는 데서 끝나는 것이 아니라 게시하고, 댓글을 달고, 메시지를 보내고, 파일을 바꾸고, 다른 자동화와 연결할 수 있다.

그래서 당시 조사에서 가장 중요한 전체 흐름은 다음처럼 정리됐다.

AI 모델 → MCP 도구 선택 → 로그인된 브라우저·계정 → 게시·메시지·거래 → 반복 실행 → 여러 계정으로 확장

MCP는 익명화 기술보다 행동 규모화 기술에 가깝다

AI와 MCP가 사용자를 자동으로 익명으로 만들어 주는 것은 아니다.

브라우저 쿠키, OAuth 기록, IP 주소, API 키, Telegram 세션, WhatsApp 연결 기기, 결제 기록, 블록체인 거래는 여전히 남는다. 많은 커스텀 MCP가 오히려 사용자가 평소 쓰던 실제 프로필과 세션을 그대로 사용한다.

대신 MCP가 크게 낮추는 것은 세 가지다.

기술적 숙련도
같은 행동을 반복하는 비용
사람이 작업 하나하나를 직접 수행해야 하는 부담

따라서 더 정확한 표현은 이것에 가깝다.

AI는 사람을 기술적으로 투명인간으로 만들어 주기보다, 한 사람이 훨씬 많은 계정·콘텐츠·행동을 적은 노력으로 운영하게 해 준다.

이 관점에서 보면 브라우저 자동화 프로젝트들이 왜 중요한지 이해하기 쉽다.

BrowserMCP 계열은 사용자가 이미 로그인한 실제 브라우저 프로필을 활용하는 방향으로 발전했고, 조사 대화에서는 실제 브라우저 지문과 세션을 재사용해 일반적인 봇 탐지나 CAPTCHA 장벽을 줄이려는 프로젝트들도 언급됐다. 더 공격적으로 자동화 차단 회피와 네트워크 요청 조작을 전면에 내세운 구현도 존재한다고 정리됐다.

중요한 것은 특정 프로젝트 하나가 아니라 방향이다. 공식 API가 기능을 제공하지 않아도 사람이 웹 화면에서 할 수 있는 작업이라면 브라우저 자동화 계층을 통해 MCP 도구로 바꿀 가능성이 생긴다.

가장 현실적인 회색 자동화 스택

조사에서 특히 눈에 들어온 것은 각각의 MCP보다 여러 도구가 결합될 때의 구조였다.

1. 다계정·안티디텍트 브라우저

AdsPower처럼 계정마다 브라우저 프로필과 지문을 분리해 여러 소셜미디어·광고·전자상거래·암호화폐 계정을 관리하는 산업은 MCP 이전부터 존재했다.

대화에서 주목한 지점은 이런 도구의 공식 GitHub 조직에 Local API를 MCP로 노출하는 서버 구현까지 등장했다는 사실이었다. AdsPower가 주장하는 전체 이용자 수가 곧 MCP 사용자 수라는 뜻은 아니지만, 다계정 운영 산업에 MCP가 자연어 조종 계층으로 붙고 있다는 신호로 볼 수 있다.

2. 로그인된 실제 계정 조작

Telegram MCP 구현들 가운데는 봇 계정이 아니라 실제 사용자 계정의 MTProto 세션을 연결하고, 다중 계정과 프록시, 메시지 예약·수정·삭제·전달, 그룹과 채널 관리, 연락처와 프로필 설정까지 수십 개 이상의 도구로 노출하는 사례가 언급됐다.

Slack MCP에서는 공식 앱과 관리자 승인을 사용하는 방식뿐 아니라 기존 사용자 자격증명을 이용하는 이른바 stealth mode를 제공하는 프로젝트도 조사 대상에 포함됐다.

WhatsApp이나 기타 메신저도 비슷한 방향이다. 핵심은 AI가 별도의 봇이 아니라 사람이 실제로 쓰는 계정 세션에 연결되기 시작했다는 점이다.

3. 콘텐츠 생산과 상호작용

Xiaohongshu MCP는 당시 대화에서 이 흐름을 가장 선명하게 보여 주는 사례로 다뤄졌다.

단순 검색 도구가 아니라 로그인 상태를 유지하면서 게시물 검색, 이미지·영상 게시, 댓글과 답글, 좋아요, 즐겨찾기, 프로필과 상호작용 지표 조회 같은 실제 계정 운영 기능을 제공하는 프로젝트다.

특히 개발자가 README에서 자동 운영 경험과 쿠키 만료, 게시 빈도 같은 운영상 경험을 직접 공유했다는 점이 중요하게 언급됐다. 성과 수치는 개발자의 자체 보고이므로 일반화할 수 없지만, 프로젝트의 지향점이 단순한 API 데모가 아니라 실제 소셜 계정 운영 자동화라는 사실은 읽을 수 있다.

4. 반복 실행과 여러 서비스 연결

여기에 n8n-MCP 같은 워크플로 계층이 붙으면 의미가 달라진다.

n8n은 일정, 웹훅, HTTP 요청, 데이터베이스, Slack, CRM, AI 에이전트 등 서로 다른 서비스를 하나의 반복 가능한 흐름으로 엮는 도구다. MCP가 n8n의 노드와 워크플로를 자연어로 만들고 수정하게 하면 다음과 같은 구조가 가능해진다.

콘텐츠 수집 → AI 변형 → 계정 게시 → 반응 확인 → 결과 기록 → 일정에 따라 반복

각 단계만 놓고 보면 흔한 업무 자동화다. 하지만 여러 계정과 서비스에 연결되면 소수의 사람이 훨씬 많은 계정과 콘텐츠를 운영할 수 있는 규모화 계층이 된다.

가장 강력한 결합은 무엇인가

당시 대화에서 기술적으로 가장 강력한 조합은 이렇게 정리됐다.

안티디텍트 브라우저 + 실제 로그인 세션 + 소셜 MCP + n8n 자동화

이 조합이 해결하는 문제를 표로 옮기면 다음과 같다.

기존 장애물	결합된 도구가 제공하는 것
공식 API에 기능이 없음	실제 웹 화면 조작
여러 계정 운영이 서로 연결됨	계정별 브라우저 프로필과 지문 분리
매번 로그인해야 함	쿠키와 세션 지속
콘텐츠 제작에 사람이 필요함	AI 생성·요약·변형
반복 작업이 많음	일정·조건 기반 자동 실행
플랫폼마다 인터페이스가 다름	MCP를 통한 공통 자연어 명령

여기서 중요한 것은 새로운 ‘비밀 해킹 기술’이 등장했다는 뜻이 아니라는 점이다.

기존에 따로 존재하던 브라우저 자동화, 프록시, 다계정 관리, 콘텐츠 생성, 메신저 세션, 워크플로 자동화가 비전문가도 자연어로 조합할 수 있는 형태로 가까워지고 있다는 것이 더 정확한 설명이다.

돈과 직접 연결되는 영역

돈과 가장 직접 연결되는 축으로는 업무 자동화와 암호화폐가 언급됐다.

n8n 계열은 마케팅, 고객 응대, 데이터 수집, CRM, 메시징, 결제 같은 반복 가능한 사업 프로세스와 바로 연결된다. 별도의 MCP 마켓플레이스에서는 일회성 판매, 월 구독, 로컬 라이선스 키, 원격 서버 구독 같은 수익 모델도 등장했다고 조사됐다. 다만 이 가격과 시장 규모는 플랫폼 운영자가 제시한 자료가 많아 전체 MCP 시장의 객관적인 실거래 통계와는 구분해야 한다.

암호화폐 쪽에서는 Pump.fun 관련 MCP처럼 AI가 토큰 정보 조회를 넘어 토큰 생성과 매수·매도, 지갑 잔액 확인까지 수행하게 하는 공개 프로젝트가 언급됐다. 더 확장된 구현에서는 토큰 스캐너, 자동 거래 봇, Telegram 인터페이스와 MCP를 묶는 형태도 관찰됐다.

그러나 당시 결론은 신중했다.

MCP 기반 암호화폐 자동화가 독립된 대규모 시장으로 성장했다고 단정할 공개 증거는 부족하다. 기존 봇, SDK, Telegram 봇 생태계가 이미 성숙해 있기 때문에 MCP는 그것을 대체한다기보다 자연어로 조종하는 상위 인터페이스로 흡수되는 단계에 가깝다는 판단이었다.

실제 악성 MCP는 이미 등장했다

여기서부터는 단순한 가능성이 아니라 대화에서 실제 사건으로 다룬 영역이다.

정상 MCP처럼 신뢰를 쌓은 뒤 악성 업데이트

postmark-mcp라는 npm 패키지는 정상적인 이메일 MCP처럼 동작하며 여러 버전 동안 신뢰를 쌓은 뒤, 특정 버전에서 사용자가 보내는 이메일을 외부 주소로 몰래 복사하는 동작이 발견된 사례로 언급됐다.

중요한 점은 공격 방식이 특별히 복잡하지 않았다는 것이다.

정상 오픈소스 코드를 복제하고, 공식처럼 보이는 이름을 사용하고, 정상 버전을 여러 번 배포해 신뢰를 만든 뒤 나중에 악성 동작을 넣는 방식이었다.

MCP가 특별한 취약점을 새로 만든 것이라기보다 사용자가 MCP 설치 과정에서 높은 권한을 자발적으로 부여한다는 특성을 공급망 공격이 이용한 사례로 보는 편이 정확하다.

명령 실행 MCP를 가장한 원격 접근

정상적인 명령 실행 MCP처럼 보이지만 외부 공격자에게 별도의 원격 접근을 제공하는 악성 패키지도 조사 대화에 포함됐다.

이 역시 핵심은 같다. 사용자는 AI에게 터미널 권한을 준다고 생각하지만, 공급망이 변조되면 그 권한이 제3자에게까지 넘어갈 수 있다.

악성 MCP가 정상 MCP를 가리는 문제

2026년 연구 사례 가운데는 악성 MCP가 도구 이름과 설명 같은 메타데이터를 설계해 모델의 도구 선택을 가로채는 confused deputy 유형의 공격도 언급됐다.

또 연구자들이 악성 MCP를 실제 집계 플랫폼에 등록하고 사용자들이 이를 제대로 구별할 수 있는지 시험한 연구, 악성 논리를 도구 설명·반환 데이터·리소스 등에 분산하면 단일 지점 공격보다 탐지가 어려워질 수 있음을 살펴본 연구도 소개됐다.

이 흐름이 시사하는 것은 단순하다.

MCP 보안은 소스 코드에서 이상한 명령 한 줄을 찾는 문제로 끝나지 않는다. 어떤 도구가 선택되는지, 도구 설명을 신뢰해도 되는지, 설치 이후 업데이트가 어떻게 바뀌는지, 여러 서버가 한 에이전트 안에서 어떤 권한을 공유하는지까지 봐야 한다.

원격 MCP 서버와 레지스트리도 아직 성숙 단계다

대화에서는 2026년 측정 연구를 바탕으로 인터넷에서 수천 개의 작동 중인 원격 MCP 서버가 발견됐고, 상당수가 인증 없이 도구를 노출하고 있었다는 내용도 다뤄졌다.

OAuth를 사용하는 서버에서도 여러 인증 결함이 확인됐고, MCP Registry나 게이트웨이 같은 기반시설에서도 소유권 검증 우회, SSRF, SQL 인젝션 같은 문제가 보고됐다고 정리됐다.

그러나 숫자는 조심해서 읽어야 한다.

MCP 서버 수를 집계하는 서비스마다 결과가 크게 달랐고, 복제 저장소, 같은 서버의 여러 배포 방식, 자동 생성 프로젝트, 작동하지 않는 예제 때문에 단순 합계는 시장 규모를 뜻하지 않는다.

보안 스캐너의 경고 역시 과탐이 많다는 연구 결과가 함께 소개됐다. 따라서 “MCP의 거의 전부가 위험하다”는 식의 결론도 근거가 약하다.

현실은 두 문장이 동시에 맞다.

실제 악성 MCP와 심각한 취약점은 존재한다.

그러나 자동 스캐너의 위험 경고 상당수는 과탐일 수 있다.

가장 위험한 MCP는 악성 MCP가 아닐 수도 있다

조사에서 흥미로웠던 결론 가운데 하나다.

Desktop Commander, Windows-MCP, Blender MCP 같은 정상적인 고권한 도구는 그 자체로 악성 프로그램이 아니다. 오히려 생산성을 위해 파일, 터미널, PowerShell, GUI, Python 실행 같은 강한 기능을 제공한다.

문제는 이 정상 도구가 악성 웹페이지, 문서, 메시지의 프롬프트 인젝션과 결합될 때다.

악성 개발자가 별도의 ‘해킹 MCP’를 만들지 않아도 이미 설치된 정상 고권한 MCP가 공격의 실행 수단으로 사용될 수 있다.

그래서 실제 위험을 이해하려면 ‘악성 MCP 목록’을 찾는 것보다 에이전트가 어떤 실제 권한을 한곳에 모아 갖고 있는가를 보는 것이 더 중요하다.

2026년 8월 5일 기준 현실적인 우선순위

당시 대화의 결론을 그대로 정리하면 다음과 같다.

현실성	영역	판단
매우 높음	로그인된 브라우저·계정 자동화	여러 완성도 높은 프로젝트가 이미 존재
매우 높음	정상 MCP 사칭·공급망 변조	실제 악성 패키지 사건이 확인됨
높음	소셜·메신저 다계정 운영	실제 사용자 계정·다중 계정·프록시 지원 사례 존재
높음	워크플로 규모화	n8n과 연결해 지속·조건·반복 실행 가능
중간~높음	기업 데이터 유출 위험	Slack·이메일·파일·DB 권한이 한 에이전트에 결합될 수 있음
중간	암호화폐 자동 실행	거래 MCP는 존재하지만 공개 규모는 제한적
중간	역공학·보안 작업 자동화	GhidraMCP 같은 도구가 성숙 중
확인 불가	대규모 지하 MCP 판매시장	공개 자료만으로 독립된 암시장 규모를 확인하기 어려움

결론: 범죄 전용 MCP보다 평범한 MCP의 조합이 더 중요하다

처음에는 어딘가에 ‘가장 위험한 MCP’나 ‘지하에서 유행하는 비밀 MCP’가 따로 있을 것처럼 생각하기 쉽다.

하지만 당시 조사에서 나온 결론은 오히려 반대였다.

2026년 8월 현재 공개 자료에서 대규모 범죄 전용 MCP 시장이 독립된 산업으로 형성됐다는 신뢰할 만한 통계는 확인되지 않았다. 기존의 봇, 스크래퍼, 프록시, 악성코드, 계정 판매 산업이 훨씬 오래되고 성숙하다.

MCP의 의미는 그 산업을 새로 발명하는 데 있지 않다.

기존 도구들을 AI가 조종할 수 있는 공통 인터페이스로 연결하는 데 있다.

평범한 AI 모델이 평범한 커뮤니티 MCP 여러 개를 이용해 실제 브라우저, 메신저, 운영체제, 지갑에 접근하고, 그 행동을 반복하고 대량화한다. 별도의 범죄 전용 MCP를 만들지 않아도 필요한 구성 요소 상당수가 이미 공개 생태계에 존재할 수 있다.

그래서 내가 이 대화에서 가장 인상적으로 받아들인 문장은 이것이다.

화제의 중심은 ‘AI가 더 많이 아는 것’에서 ‘AI가 실제 계정과 컴퓨터로 행동하는 것’으로 이동하고 있다.

MCP를 이해할 때 이제는 서버 개수나 GitHub 스타만 볼 수 없다. 어떤 세션에 연결되는지, 어떤 권한을 갖는지, 몇 번 반복할 수 있는지, 다른 자동화 계층과 어떻게 결합되는지까지 봐야 현실이 보인다.