MCP(Model Context Protocol) 서버가 750개를 넘어섰다. 한 개발자가 GitHub를 매일 크롤링해 구축한 라이브 레지스트리 kiprio.com/mcp-registry 기준으로, 6개월 만에 이 숫자에 도달했다. Python 32%, TypeScript 31%로 언어 분포가 거의 균등하고, 데이터베이스 커넥터·개발자 도구·워크플로우 자동화가 가장 많은 별을 받고 있다. MathWorks는 MATLAB MCP Server를 공개하며 Claude Code, GitHub Copilot, OpenAI Codex, Gemini CLI와 연동 가능한 에이전틱 엔지니어링 환경을 선언했다. 생태계가 성숙하고 있다는 신호는 명확하다.
그런데 나는 이 숫자보다 다른 데이터에 더 눈이 간다. 750개 MCP 서버 중 절반 이상이 README가 빈약하고, 대부분이 "builders building for builders" 단계에 머물러 있다는 점이다. 날 것의 성장이다. 도구는 넘쳐나는데 운영 설계는 아직 없다. 팀이 MCP 서버를 하나씩 연결할 때마다 에이전트의 실행 표면(attack surface)은 넓어진다. 데이터베이스, 파일 시스템, 외부 API, 브라우저 자동화—이 모든 것이 에이전트의 손에 쥐어지는 순간, 실행 환경을 어떻게 격리할 것인가라는 질문은 더 이상 미룰 수 없다.
이 질문에 가장 직접적인 답을 제시한 사례가 최근 공개된 Claude Code 전용 Mac 격리 환경 구성 가이드다(geeknews 경유, ykdojo.github.io). 핵심 아이디어는 단순하다. 여분의 Mac을 개인 데이터와 Apple ID 없이 초기화하고, Claude Code 전용 로컬 계정을 만들어 SSH로만 접근하게 한다. --dangerously-skip-permissions로 실행되는 에이전트가 접근할 수 있는 민감 정보를 물리적으로 없애버리는 방식이다. 컨테이너 격리와 결정적으로 다른 점은 네트워크 요청조차 주 Mac을 통과하지 않는다는 것이다. 장비 분리다.
기술적으로 흥미로운 부분은 GUI 세션 연동 방식이다. SSH 프로세스는 macOS의 화면 기록·손쉬운 사용 권한에 직접 접근할 수 없다. 이를 해결하기 위해 LaunchAgent가 GUI 로그인 세션 안에 tmux 서버를 상주시키고, 그 안에서 Claude Code를 실행해 GUI 세션을 상속받는다. 스크린샷, 마우스·키보드 제어가 가능해지는 구조다. 단, 화면 기록과 손쉬운 사용 권한은 사람이 직접 macOS GUI에서 승인해야 한다. 합성 클릭으로 처리할 수 없다. 이 제약이 의도적 설계 경계다. 에이전트가 스스로 자신의 권한을 확장할 수 없도록 막는 지점이 있다는 의미다.
MATLAB MCP Server 사례는 다른 각도에서 같은 질문을 던진다. MATLAB Agentic Toolkit은 AI 에이전트가 MATLAB 코드를 작성하고, 실행 중인 세션에서 직접 돌리고, 결과와 오류를 분석해 반복 수정하는 루프를 구현한다. 결정론적 계산 엔진(MATLAB)을 에이전트 루프 안에 붙임으로써 LLM의 확률적 추론을 검증 가능한 실행 결과로 전환하는 설계다. 여기서 Human-in-the-Loop는 선택지가 아니라 아키텍처 요소다. 최종 검증과 엔지니어링 판단은 엔지니어가 담당한다고 명시돼 있다. 에이전트에게 실행 권한을 주되, 판단의 경계는 사람이 쥔다.
두 사례를 겹쳐보면 공통 설계 원칙이 드러난다. 에이전트의 실행 반경을 먼저 정의하고, 그 경계 바깥에 사람의 판단 지점을 배치하라. Claude Code 격리 환경은 물리적 장비 분리와 권한 명시적 승인으로 경계를 구현했고, MATLAB Agentic Toolkit은 실행 루프와 검증 루프를 분리함으로써 같은 원칙을 소프트웨어 아키텍처로 구현했다. MCP 생태계가 750개를 넘어서면서 이 원칙의 중요성은 더 커진다. 연결 가능한 도구가 많아질수록 에이전트의 실행 표면은 넓어지고, 격리 설계 없이 MCP 서버를 붙이는 팀은 그만큼 큰 리스크를 조용히 쌓아가는 셈이다.
팀 도입 관점에서 현실적인 시사점을 짚자면 세 가지다. 첫째, MCP 서버를 추가할 때마다 해당 서버가 접근하는 리소스 범위를 명시적으로 문서화해야 한다. kiprio.com/mcp-registry 같은 레지스트리를 참고해 커뮤니티 검증이 된 서버를 우선하되, README 품질과 최근 커밋 이력을 함께 봐야 한다. 둘째, 에이전트 실행 환경은 개발자 로컬과 분리된 전용 환경으로 구성하는 것이 맞다. Claude Code 격리 Mac처럼 물리적 분리가 이상적이지만, 최소한 전용 계정과 제한된 권한 범위라도 먼저 설계해야 한다. 셋째, 자동으로 승인되지 않는 권한 지점을 의도적으로 남겨둬야 한다. 에이전트가 모든 것을 처리하도록 만드는 것이 목표처럼 보이지만, 실제로는 사람이 개입해야 하는 지점을 명확히 설계하는 것이 더 중요하다.
전망은 낙관적이다. MCP가 표준 인터페이스로 자리잡으면서 MATLAB처럼 기존 전문 도구들이 MCP 서버를 통해 에이전트 생태계로 편입되는 속도는 빨라질 것이다. 팀이 연결할 수 있는 도구의 폭이 넓어진다는 의미다. 단, 이 낙관론이 작동하려면 전제 조건이 있다. 도구를 연결하기 전에 실행 환경의 격리 설계가 먼저 완성돼야 한다. 생태계가 성숙할수록 경계 설계의 부재는 더 크게 드러난다. AI 에이전트 실행 환경을 설계하는 것은 보안 작업이 아니다. 팀이 에이전트를 신뢰하고 사용할 수 있는 구조를 만드는 작업이다.