MCP 자동 변환, 경계는 사람이 그린다

구글 클라우드 API 게이트웨이가 최근 발표 글에서 강조한 대목은 표시 하나입니다. 이 표시는 오픈API 명세(OpenAPI specification) 파일에 붙습니다. 오픈API 명세란 REST API의 구조를 표준 형식으로 정리해 둔 문서입니다.

표시 하나를 추가하면, 그 API 전체가 모델 콘텍스트 프로토콜(Model Context Protocol, MCP)의 도구로 등록됩니다.¹ 모델 콘텍스트 프로토콜이란 에이전트가 외부 도구를 호출할 때 따르는 공통 규격입니다. 예전에는 이 규격에 맞추려면 중간 서버를 직접 짜고 유지보수해야 했습니다. 이번 발표는 그 단계를 생략하겠다는 선언입니다.

비슷한 시기 나온 클로드 코드 갱신 하나도 결이 비슷합니다. 버전 2.1.286에는 권한 요청 창(permission prompt)에 순서를 매겨 보여주는 기능이 추가되었습니다.² 권한 요청 창이란 에이전트가 도구를 쓰기 전 사람에게 허락을 구하는 화면입니다. 요청이 다섯 개 쌓였다면 지금 보는 것이 몇 번째인지 화면에 바로 표시됩니다. 두 소식 모두 사람이 매번 손대던 단계 하나를 덜어냈습니다.

주석 한 줄의 무게

자동 변환 기능을 실제로 써보면 편리함의 크기가 먼저 느껴집니다. 명세 파일을 열어 표시 하나를 넣는 순간, 게이트웨이가 알아서 엔드포인트를 도구 목록으로 바꿔 줍니다.¹ 문제는 그 목록에 무엇을 넣을지 정하는 일까지 자동으로 넘어가지는 않는다는 점입니다.

오픈API 명세서 한 장을 펴고 어떤 경로에 그 표시를 붙일지 표시해보는 작업을 해봅니다. 표시가 하나 늘어날 때마다 에이전트가 드나들 수 있는 문이 하나씩 열립니다. 문 뒤에 결제 정보가 있는지, 읽기 전용 데이터만 있는지는 그 표시 자체가 알려주지 않습니다. 그 구분은 명세서를 작성한 사람, 혹은 지금 표시를 추가하는 사람의 판단으로만 남습니다.

번호가 매겨진 창

클로드 코드의 순서 표시 기능도 같은 방향의 개선입니다. 권한 요청이 다섯 개 쌓였을 때 지금 보는 것이 두 번째인지 바로 알 수 있다면, 실무자는 남은 요청 수를 가늠하며 작업 흐름을 조절할 수 있습니다.² 확인 자체를 없애지는 않지만, 확인에 드는 심리적 부담은 확실히 줄어듭니다.

그런데 이 창에 뜨는 목록은 이미 정해진 재료 위에서 움직입니다. 어떤 도구가 에이전트에 노출되어 있는지, 어떤 API 경로가 애초에 등록되어 있는지는 이 창이 열리기 훨씬 전에 결정된 사안입니다. 순서를 매겨 보여주는 화면은 그 결정을 재확인하는 자리가 아니라, 이미 내려진 결정을 빠르게 통과시키는 자리에 가깝습니다.

접근 경로 자체를 넓히는 도구도 같은 시기에 올라왔습니다. 폰이나 브라우저에서 채팅과 터미널 작업을 그대로 이어가게 해주는 웹 UI가 그런 예입니다.³ 다만 이 도구는 경로를 넓히는 데 초점이 있을 뿐, 그 경로 뒤에 무엇을 얼마나 열어둘지 정하는 문제와는 결이 다릅니다.

설계가 먼저, 확인은 나중

승인 창이 매끈해지고 변환 과정이 자동화될수록, 실무자가 노출 범위를 매번 재확인할 필요 자체가 줄어든다는 반론도 가능합니다. 요청 개수가 눈에 보이고 처리 속도가 빨라지면, 경계를 의심할 여유도 자연스레 줄어듭니다. 실제로 게이트웨이의 자동 변환과 승인 창의 순서 표시는 둘 다 반복 확인의 횟수를 줄이는 방향으로 설계되었습니다.¹²

다만 이 반론이 놓치는 지점이 있습니다. 최초 설계 단계에서 노출 범위를 한 번 잘못 잡으면, 이후에 빠르게 통과되는 모든 승인은 같은 실수를 그대로 반복해 통과시킵니다. 확인이 빨라진다고 경계가 사라지지는 않습니다. 확인 빈도가 낮아지는 만큼 오류를 되짚어 발견할 기회도 함께 줄어들기 때문입니다.

한 번 잘못 그은 선은 돌아오지 않습니다.

그래서 이 판단의 무게는 승인 화면을 몇 번 더 들여다보느냐가 아니라, 명세서에 표시를 붙이는 바로 그 순간에 훨씬 크게 실립니다. 변환 기능과 순서 표시 기능은 그 순간 이후의 반복을 빠르게 해줄 뿐, 그 순간 자체를 대신 판단해주지는 않습니다.

열기 전에 긋는 선

이 구분을 실무에 옮기려면 순서를 정해두는 편이 낫습니다.

먼저, 오픈API 명세에 MCP 표시를 붙이기 전에 엔드포인트 목록을 전부 펼쳐 놓습니다. 어떤 경로가 읽기 전용인지, 어떤 경로가 데이터를 바꾸거나 결제를 일으키는지 나눠 적어봅니다. 표시는 이 구분이 끝난 다음에만 붙입니다.

다음으로, 권한 요청 창에서 순서 번호를 확인할 때는 번호보다 목록에 오른 도구 이름을 먼저 읽습니다. 처음 보는 이름이 섞여 있다면, 그 이름이 어느 단계에서 노출 범위에 들어갔는지 거슬러 올라가 확인합니다.

마지막으로, 이 두 단계를 한 번 거친 뒤에는 같은 명세서에 새 엔드포인트를 추가할 때마다 그대로 반복합니다. 자동 변환과 순서 표시 기능은 이 반복의 속도를 높여 줄 뿐이고, 반복 자체를 없애 주는 일은 여전히 사람의 몫으로 남습니다.

각주

1. Turn your REST APIs into MCP tools with Google Cloud API Gateway — developers.googleblog.com, 2026-09-30 발행, 2026-10-01 접속 확인. ↩ ↩² ↩³

2. v2.1.286 — github.com, 2026-09-30 발행, 2026-10-01 접속 확인. ↩ ↩² ↩³

3. Show GN: herdr web ui - 폰이나 브라우저에서 herdr 사용하는 플러그인 — news.hada.io, 2026-09-30 발행, 2026-10-01 접속 확인. ↩