MCP 앱이 그 답변의 형태를 변경합니다. 이제 도구는 텍스트 요약과 함께 대화형 UI를 반환할 수 있으며, 호스트(Claude Desktop, Claude.ai, VS Code Copilot, Cursor)는 대화에서 이를 인라인으로 렌더링합니다. 모델은 추론을 위해 간결한 텍스트를 유지합니다. 사용자는 채팅창 바로 옆에 클릭 가능한 실시간 인터페이스를 갖게 됩니다.

세 가지 속성 때문에 이는 "URL을 반환하는 웹훅"과는 다른 유형의 통합 방식입니다.

• 컨텍스트 보존. UI는 대화 안에 존재합니다. 탭 전환이나 핸드오프가 필요 없습니다.

• 양방향 데이터 흐름. UI는 MCP 서버에서 최신 데이터를 위한 도구를 호출할 수 있으며, 호스트는 에이전트에서 새로운 결과를 UI로 다시 푸시할 수 있습니다. 별도의 API 계층이나 인증 구조가 필요하지 않습니다.

• 샌드박스 신뢰 경계. MCP 앱은 호스트가 제어하는 iframe에서 실행됩니다. 상위 페이지에 액세스하거나 쿠키를 읽거나 컨테이너를 벗어날 수 없습니다.

Security 운영은 분류, 조사 그래프 및 Attack Discovery 기능을 기반으로 이루어지며, AI 에이전트는 수백 개의 경고를 몇 가지 공격 경로로 분류합니다. Observability는 분산 추적 및 시계열 드릴다운을 의미합니다. Kibana에서 빌딩이란 대시보드 그리드를 의미합니다. 텍스트로 평탄화하면 그것을 유용하게 만드는 요소를 잃게 됩니다. 저희는 이 세 가지 모두를 위한 MCP 앱을 개발하여 함께 오픈소스로 공개했습니다. 따라서 동일한 대화가 채팅을 벗어나지 않고도 분류 대기열에서 종속성 그래프, 실시간 대시보드로 이동할 수 있습니다.

참조 앱 세 개 각각은 여러 개의 개별 제품이 묶여 있는 것이 아니라, 여러 개의 대화형 뷰를 제공하는 하나의 MCP 서버입니다. 보안 앱만으로도 동일한 서버 셸, 동일한 도구 가시성 모델 및 동일한 호스트 브리지를 공유하는 여섯 개의 대시보드를 제공합니다. 패턴은 작지만, 표면적은 가치가 복합적으로 증가하는 곳입니다.

Elastic Security MCP 앱

SOC에 중요한 이유

에이전트가 SOC 분석가에게 "호스트-314에 47개의 경고가 있습니다. 요약은 다음과 같습니다."라고 말하는 것은 실제로 아무런 작업도 수행하지 않았다는 의미입니다. 작업이 시작되는 곳을 가리키고 있을 뿐입니다. 실제 업무는 경고 목록, 프로세스 트리, 조사 그래프 및 사건 파일에 담겨 있습니다. 한 단락의 텍스트만으로는 할 수 없습니다.

보안 MCP 앱은 워크플로우 자체를 반환합니다. 분석가가 에이전트에게 지시하면, 에이전트는 채팅에서 대화형 대시보드를 반환하여 분석가가 경보를 심층 분석하고, 위협 헌팅을 실행하며, 공격 체인을 상관 관계 분석하고, 사례를 열 수 있습니다. 이 모든 작업은 대화의 흐름을 잃지 않고 수행할 수 있습니다. 조사 결과, 쿼리 및 사례가 모두 Elasticsearch로 다시 전달되므로 동일한 조사가 Kibana에서 대기하고 있으며, 분석가는 대화 종료 후에도 이를 다시 시작할 수 있습니다.

6개의 대화형 대시보드

Elastic Security MCP 앱은 주요 SOC 워크플로우마다 하나씩, 총 6개의 대화형 요소를 제공합니다. 각 요소는 에이전트가 해당 도구를 호출할 때 인라인으로 렌더링되는 React UI입니다.

도구

역할

대화형 UI

경보 분류

보안 알림 가져오기, 필터링 및 분류

심각도 그룹화, AI 판정 카드, 프로세스 트리, 네트워크 이벤트

공격 탐지

AI 연관 공격 체인 분석 및 온디맨드 생성

공격 시나리오 카드(신뢰도 점수, 개체 위험, MITRE 매핑 포함)

사례 관리

조사 사례 생성, 검색 및 관리

알림, 관찰 가능 항목, 댓글 탭, AI 작업이 포함된 사례 목록

탐지 규칙

탐지 규칙 검색, 조정 및 관리

KQL 검색, 쿼리 유효성 검사, 노이즈 규칙 분석 기능을 갖춘 규칙 브라우저

위협 헌팅

엔티티 조사 기능이 있는 ES|QL 워크벤치

쿼리 편집기, 클릭 가능한 엔터티 및 조사 그래프

샘플 데이터

일반적인 공격 시나리오에 대한 ECS 보안 이벤트 생성

사전 구축된 4개의 공격 체인이 포함된 시나리오 선택기

각 도구는 모델이 추론할 수 있는 간결한 텍스트 요약과 분석가가 작업할 수 있는 대화형 UI를 제공합니다. UI는 MCP 호스트 브리지를 통해 백그라운드에서 새 데이터를 가져올 수도 있습니다. 전체 도구 모델 및 브리지 API는 리포지토리의 아키텍처 문서에 포함되어 있습니다.

또한 이 앱은 에이전트에게 각 도구의 사용 시기와 방법을 알려주는 SKILL.md 파일인 Claude Desktop 스킬과 함께 제공됩니다. 미리 작성된 스킬 압축 파일을 최신 릴리스에서 다운로드하세요.

경보에서 사례로

핵심 SOC 프로세스를 구성하는 네 가지 기술이 있습니다. 각 모델은 프롬프트를 받아 도구를 호출하며, 모델이 추론하는 텍스트 요약과 함께 대화형 대시보드를 제공합니다. 분석가의 하루는 일반적으로 경보 대기열로 시작됩니다.

분류 알림. 에이전트에게 호스트, 규칙, 사용자 또는 시간대별로 분류하도록 요청하세요. 알림 분류 스킬은 원시 알림 목록 위에 AI 판정의 대시보드를 반환하며, 탐지 규칙당 하나의 판정이 해당 규칙의 활동을 양성, 의심 또는 악성으로 분류하고 각각 신뢰도 점수와 권장 조치를 함께 표시합니다. 경고를 클릭하면 프로세스 트리, 네트워크 이벤트, 관련 경고 및 MITRE ATT&CK 태그가 포함된 상세 보기를 확인할 수 있습니다. Kibana 내에서 AI 대화와 경고 대시보드 사이를 전환할 필요 없이 모든 작업이 대화 내에서 실시간으로 이루어집니다.

위협 헌팅. 에이전트에게 인덱스 전반에서 헌팅하도록 요청하세요. 위협 헌팅 스킬은 쿼리가 미리 입력되고 자동 실행되는 ES|QL 워크벤치를 반환하며, 결과의 모든 엔티티를 클릭하여 드릴다운할 수 있습니다. 모델은 표 아래에 비정상적인 사항, 연결된 사항, 자세히 살펴볼 가치가 있는 사항 등 짧은 판독값을 기록합니다. 그런 다음 위협 헌팅에 더 깊이 들어가거나 지금까지 수행한 작업을 보완하는 새로운 기술을 MCP 앱 내에서 시작하는 다음 피벗을 제공합니다. 이와 연계하여 Attack Discovery를 실행하여 지금까지 추적한 경보와 위협에 대한 더 많은 컨텍스트를 수집하는 것도 좋은 방법입니다.

Attack Discovery 실행. Attack Discovery 스킬은 Attack Discovery API를 호출하여 발견된 정보의 순위 목록을 반환합니다. 각 발견 항목은 관련 경보를 하나의 공격 체인으로 통합한 것으로, MITRE 전술, 위험 점수, 신뢰도 레이블, 그리고 영향을 받은 호스트 및 사용자가 먼저 표시됩니다. 에이전트의 요약은 동일한 순위 순서로 결과 아래에 표시되며, 이제 대화에는 다음 단계를 위해 준비된 헌트 쿼리, 분류 결정, 상관 관계 체인 등 행동에 필요한 모든 것이 담겨 있습니다.

채팅을 떠나지 않고 사례 열기. 결과를 대량으로 승인하거나 에이전트에게 특정 경고에 대한 사례를 열도록 요청하세요. 사례 관리 스킬은 승인된 발견(소스 경고 첨부, 공격 체인에서 상속된 MITRE 전술)당 하나의 사례를 생성하고 실시간 사례 목록을 인라인으로 렌더링합니다. 사례 요약, 다음 단계 제안, IOC 추출, 타임라인 생성 등 AI 작업 버튼이 줄로 포함된 세부 정보 보기를 보려면 사례를 클릭하세요. 각각 구조화된 프롬프트를 채팅에 다시 표시하기 때문에 상담원이 다시 소개할 필요 없이 사례 컨텍스트를 파악할 수 있습니다. 에이전트의 요약은 사례 목록 아래에 있으며 방금 접수된 사례와 아직 필요한 이전 조사 결과를 포함하여 전체 IR 대기열을 다룹니다.

이 워크스루의 모든 단계는 프롬프트가 들어오고, 스킬이 이를 선택하고, 도구가 모델이 추론할 수 있는 간결한 텍스트 요약과 함께 분석가가 작업할 수 있는 대화형 UI를 반환하는 동일한 루프가 실행됩니다. 이러한 기술을 서로 연결하면 모든 단계에서 세션 컨텍스트를 전달하는 모델을 통해 엔드투엔드 SOC 흐름(헌팅, 분류, 상관관계, 케이스 열기, 다음 피벗 추진)으로 구성할 수 있습니다. 대시보드 중 하나를 단독으로 호출해도 데이터의 어떤 부분을 가리키든 전체 대시보드가 됩니다. 어느 쪽이든 탭 전환, 복사/붙여넣기, 핸드오프 없이 작업 내용이 대화 안에 축적됩니다.

노이즈가 많은 규칙을 조정하기 위한 탐지 규칙 브라우저와 새로운 클러스터에 대해 실제 ECS 이벤트를 실행하기 위한 샘플 데이터 생성기 등 두 가지 추가 스킬이 앱을 완성합니다. 후속 포스팅에서는 조사 그래프, 공격 흐름 캔버스, 엔드투엔드 워크스루 등 여섯 가지에 대해 자세히 다룰 예정입니다.

참여 방법

각 MCP 앱은 모델에 대한 간결한 텍스트 요약과 호스트가 인라인으로 렌더링하는 React UI를 모두 반환하는 도구가 있는 작은 Node.js 서버입니다. 개방형 MCP 앱 사양을 기반으로 구축되었기 때문에 호환되는 모든 호스트에서 동일한 서버가 실행됩니다. 전체 설계는 리포지토리의 아키텍처 문서를 참조하세요.

직접 사용해 보기

Elasticsearch 9.x 및 활성화된 Security가 필요하며, 사례, 규칙 및 Attack Discovery를 위해 Kibana가 필요합니다. 가장 빠른 경로는 최신 릴리즈의 원클릭 .mcpb 번들입니다. Claude Desktop에서 이 번들을 두 번 클릭하면 Elasticsearch URL과 API 키를 입력하라는 메시지가 표시됩니다. Cursor, VS Code, Claude Code, Claude.ai 및 소스에서 빌드하기 위한 설정 가이드는 리포지토리에 있습니다.

Elastic Search MCP 앱: 대화로 구축된 대시보드

모든 Kibana 사용자는 대시보드 우회 방법을 알고 있습니다. 작업 중인 작업을 종료하고, Kibana를 열고, 인덱스를 선택하고, 필드를 선택하고, 시각화를 선택하고, 조정하고, 저장하는 것입니다. 하나의 차트가 화면에 표시되기까지 5번의 컨텍스트 전환을 거칩니다.

새로운 example-mcp-dashbuilder 참조 앱은 이를 프롬프트로 축소됩니다. 에이전트에게 "수익 메트릭, 주문 추세 및 카테고리 분류가 포함된 대시보드를 만들어 줘"라고 요청하면 탭을 전환할 필요 없이 대화 내에서 대시보드가 제공됩니다.

이 프롬프트 뒤에서 에이전트는 ES|QL을 통해 Elasticsearch 데이터를 탐색하고 데이터에 맞는 차트 유형(비교용 막대, 추세용 선, KPI용 메트릭 카드, 2차원 패턴용 히트맵)을 선택합니다. Elastic UI Borealis 테마를 사용해 Kibana의 48열 그리드에 패널을 배치하며, 채팅에서 바로 패널을 끌어서 크기를 조정하고 접을 수 있는 섹션으로 그룹화할 수 있는 완전한 대화형 결과물을 제공합니다. 대시보드가 올바르게 보이면, 한 번의 도구 호출로 ES|QL 쿼리와 사용자 정의 색상을 유지하면서 Kibana로 내보냅니다. AI 지원 편집을 위해 기존 Kibana 대시보드를 채팅으로 다시 가져올 수 있습니다.

이 원칙은 Security 앱의 원리와 동일합니다. 결과물이 제품일 경우, 대화 내에서 해당 결과물을 반환함으로써 원하는 것을 설명하는 것과 그것을 보는 것 사이의 연결 고리가 완성됩니다.

내부적으로는 동일한 MCP 앱 패턴을 따릅니다. Node.js 서버는 view_dashboard 모델 관련 도구와 UI가 직접 호출하는 앱 전용 도구 세트(데이터 가져오기, 레이아웃 지속, 시간 필드 탐지, 내보내기/가져오기)를 등록합니다. 대시보드 보기 자체는 vite-plugin-singlefile 에 번들로 제공되는 하나의 독립된 HTML 파일로, MCP 앱 리소스로 제공됩니다. 리포지토리를 포크하는 빌더는 Security 앱에 표시되는 것과 동일한 서버 셸과 호스트 브리지가 다른 작업을 가리키게 됩니다. example-mcp-dashbuilder README에는 전체 아키텍처 및 차트 유형 참조가 있습니다.

Elastic Observability MCP 앱

세 번째 참조 앱인 Elastic Observability MCP 앱은 동일한 형태 문제의 SRE 버전을 다루고 있습니다. 프로덕션에서 문제가 발생할 때 당직 엔지니어가 필요로 하는 답은 차트가 아니라 K8s 메트릭, APM 토폴로지, ML 이상 징후, 그리고 위험 평가로 구성된 진단입니다. 답변의 형태는 무엇이 실패했는지, 왜 실패했는지, 그에 따라 무엇이 달라지는지, 다음에 무엇을 해야 하는지 등 인과 관계에 대한 이야기입니다.

통합 가시성 조사 워크플로우를 지원하는 6가지 도구

도구

종속성

역할

통합 가시성

범용

일시적인 ES|QL + ML 이상 징후 액세스 기본 요소 - 쿼리를 한 번 실행하거나, 메트릭을 라이브 샘플링하거나, 임계값이나 이상 징후가 발생할 때까지 차단합니다.

경보 관리

범용

Kibana 사용자 지정 임계값 경보 규칙을 생성, 나열, 조회 및 삭제합니다. Kibana URL을 생략하여 읽기 전용으로 실행합니다.

ml-anomalies

ML 작업

ML 이상 징후 기록을 쿼리하고 인라인 이상 징후 설명자 보기를 엽니다.

apm-health-summary

Elastic APM

APM 원격 분석을 통한 클러스터 수준 상태 롤업, 사용 가능한 경우 K8 및 ML 컨텍스트의 레이어.

apm-service-dependencies

Elastic APM

서비스 종속성 그래프 - 업스트림/다운스트림, 프로토콜, 호출량.

k8s-blast-radius

Kubernetes 메트릭

Node 중단 영향 — 전체 중단, 성능 저하, 영향 없음, 일정 조정 가능성.

클러스터 상태 롤업

"뭐가 고장났어?" 또는 "상태 보고서를 줘"라고 요청하면 한 번에 모든 정보를 확인할 수 있습니다. 전반적인 상태 배지, 문제가 있는 서비스와 그 이유, 최상위 포드 메모리 소비자, 이상 심각도 분석, 서비스 처리량 등 모두 하나의 인라인 뷰에서 확인할 수 있습니다. 뭔가 이상하다고 느껴지지만 어디부터 살펴봐야 할지 모를 때 시작점이 바로 여기입니다. 보기는 배포에서 지원하는 항목에 따라 조정됩니다. APM은 서비스 상태를 제공합니다. Kubernetes 메트릭에 Pod 및 Node 컨텍스트가 추가됩니다. ML 작업은 이상 징후를 탐지합니다.

서비스 종속성 그래프

"무엇이 체크아웃을 호출해?" 또는 "토폴로지를 보여줘"라고 물어보면, 업스트림 호출자, 다운스트림 종속성, 프로토콜, 호출량, 에지별 지연 시간 등이 포함된 계층형 종속성 그래프를 확인할 수 있습니다. Claude에게 "프론트엔드의 서비스 의존성을 보여 줘"라고 요청해 봅시다.

확대/축소, 이동, 마우스오버를 통해 복잡한 서비스 관계를 이해하는 데 필요한 모든 세부 정보를 확인할 수 있습니다.

영향 범위로 위험 평가

"내 K8s 노드가 다운되면 어떻게 될까?"라고 물어보면 방사형 영향도 다이어그램이 표시됩니다. 중앙에는 대상 노드가 위치하고, 완전 중단되는 배포는 빨간색, 성능 저하되는 배포는 주황색, 영향을 받지 않는 배포는 회색으로 표시됩니다. 플로팅 요약 카드는 위험에 처한 파드와 일정 변경 가능성을 보여줍니다. 단일 복제본 배포는 단일 장애 지점으로 플래그가 지정됩니다. 

Observe

Elastic에 대한 에이전트의 기본 액세스 기본 요소 - 하나의 도구로 세 가지 다른 요구 사항에 맞는 세 가지 모드. "지금 CPU가 무엇을 하고 있어?" 라고 하면 ES|QL 쿼리를 한 번 실행하고 테이블을 반환합니다. "다음 60초 동안 프론트엔드 지연 시간을 보여줘"라고 말하면 메트릭을 실시간으로 샘플링하며 차트를 실시간으로 업데이트합니다. "메모리가 80MB 이하로 떨어지면 알려줘" 또는 "다음 10분 동안 이상한 일이 없는지 지켜봐"라고 말하면 조건이 실행되거나 기간이 만료될 때까지 차단됩니다. 보기는 원샷 쿼리를 위한 결과 테이블, 샘플링 및 임계값 조건에 대한 현재/최고/기준선 통계가 포함된 실시간 트렌드 차트, 이상 징후 모드를 위한 심각도 점수 트리거 카드 등 모드에 맞게 조정됩니다.

참여 방법

동일한 MCP 앱 패턴은 Security 및 Search 앱과 같습니다. Node.js 서버, 6개의 모델 대면 도구가 6개의 단일 파일 보기 리소스에 연결됩니다. 도구는 배포 백엔드(범용, APM 종속, K8s 종속, ML 종속)별로 그룹화되므로 에이전트와 사용자 모두 통화 중에 기능 격차를 발견하는 대신 특정 배포에 적용되는 도구를 사전에 알 수 있습니다. MCP 앱에는 Agent Builder 워크플로우 예시도 포함되어 있는데, k8s-crashloop-investigation-otel Kubernetes 알림에서 트리거되어 대시보드를 열기 전에 구조화된 근본 원인 요약을 반환할 수 있습니다.

에이전틱 스택, 인터랙티브

이 패턴에 대한 세 가지 속성을 직접 언급할 가치가 있습니다. 첫째, 도구 결과는 더 이상 작업의 끝이 아니라 시작입니다. 대화는 행동해야 하는 요약이 아니라 행동할 수 있는 인터페이스를 반환합니다. 둘째, 이제 동일한 에이전트, 동일한 모델 컨텍스트, 동일한 대화 스레드가 대화에서 벗어나지 않고 Security, Search, Observability 표면을 이동할 수 있습니다. 셋째, 이것이 작동하는 이유는 Elasticsearch와 Kibana가 이미 API를 노출하고 있기 때문입니다. MCP 앱은 기존에 출시된 제품 기능 위에 얇은 대화형 레이어를 덧씌운 것입니다.

Attack Discovery는 이미 이 앱 안의 상관관계 조사 결과 보기를 지원합니다. 스택 내부에서 동일한 에이전틱 패턴이 더 나아갑니다. Elastic Workflows는 결정론적 단계(엔티티 강화, 사례 생성, 호스트 격리)를 자동화하고, Agent Builder는 데이터를 추론하여 이러한 워크플로우를 도구로 호출합니다. MCP 앱은 동일한 보안 영역을 외부 대화에 제공하고, 워크플로우 및 에이전트 빌더는 스택 내부에서 보안을 더욱 강화합니다. 다른 진입점, 그 아래에는 동일한 Elastic API가 있습니다.

사용해 보기:

• Security: example-mcp-app-security

• Search 및 대시보드: example-mcp-dashbuilder

• Observability: example-mcp-Observability

아직 Elasticsearch 클러스터가 없으신가요? 무료 Elastic Cloud 무료 체험판을 시작해 보세요. 보안 앱의 기본 구성 요소에 대한 자세한 내용은 Elastic Workflows와 에이전트 빌더, 에이전트 스킬, 공Attack Discovery에 대한 관련 Security Labs 포스팅을 참조하세요.

이것이 바로 Elastic이 Elastic Agent Skills를 오픈 소스로 공개하는 이유입니다. 이는 Elasticsearch, Kibana, Elastic Observability 및 Elastic Security를 위한 네이티브 플랫폼 전문 지식입니다. 현재 사용 중인 에이전트 런타임에 이 스킬들을 추가해 보세요. 수많은 구문을 추측만 하던 '범용' 수준의 에이전트를 Elastic 엔지니어링 팀만큼의 아키텍처 표준을 구사하는 전문가로 업그레이드할 수 있습니다. 이번 초기 기술 프리뷰 버전은 Elastic Cloud Serverless와 최상의 호환성을 갖춘 스킬을 중심으로 제공됩니다. 하지만 빠른 시일 내에 이전 스택 버전에 대한 지원도 넓혀나갈 예정입니다.

또한 Elastic은 이 문제를 양방향에서 해결하고 있습니다. 우선 Elastic 플랫폼 내의 에이전트를 위해, 이제 정식 버전으로 출시된 Elastic Agent Builder를 제공합니다. 이를 통해 데이터 접근 권한을 상속받고 내장된 검색 및 분석 도구를 사용하며 대시보드, 알림 및 조사와 연동되는 AI 에이전트를 생성하고 대화할 수 있습니다. Elastic은 플랫폼 내에서 최상의 에이전트 중심 경험을 구현하기 위해 전력을 다하고 있습니다. 하지만 모든 에이전트가 Elastic 내부에서만 활동하는 것은 아닙니다. 여러분의 팀은 이미 Cursor, Claude Code 또는 다른 런타임을 사용하고 있을 것이며 이 에이전트들 역시 Elastic을 제대로 활용할 수 있어야 합니다. 바로 그 지점에서 Agent Skills가 핵심적인 역할을 수행합니다.

AI 에이전트가 전문 플랫폼에서 어려움을 겪는 이유

대규모 언어 모델(LLM)은 다방면에 능한 팔방미인과 같습니다. 학습 데이터의 예제가 풍부하다 보니 Python을 작성하거나 Kubernetes 매니페스트를 설명하고 React 컴포넌트를 리팩토링하는 일을 능숙하게 해냅니다. 그러나 전용 쿼리 언어와 방대한 API 체계 그리고 해당 도메인의 특수한 설계 원칙을 준수해야 하는 전문 플랫폼 작업에서는 예외 없이 한계를 드러내고 맙니다.

Elasticsearch의 경우 이러한 간극은 다음과 같이 구체적으로 나타납니다.

• Elasticsearch 쿼리 언어(ES|QL)는 새로운 영역입니다. LLM은 SQL 위주로 집중 학습되었지만 ES|QL은 구문과 함수, 의미 체계가 전혀 다른 파이프 기반의 쿼리 언어입니다. 이 때문에 에이전트는 겉보기엔 그럴듯하지만 실제로는 구문 분석이 되지 않는 쿼리를 작성하는 경우가 많습니다. WHERE을 | WHERE으로 착각하거나 존재하지 않는 함수를 임의로 만들어내고 파이프 중심의 쿼리 구성 방식을 완전히 놓치기도 합니다.

• API 체계는 방대하고 복잡합니다. Elasticsearch, Kibana 및 Elastic Security는 검색, 수집, 알림, 탐지 규칙, 케이스 관리, 대시보드 등 전반에 걸쳐 수백 개의 API를 제공합니다. 보편적인 학습 데이터만 갖춘 에이전트는 어떤 엔드포인트를 호출할지, 요청 본문은 어떻게 구성할지, 응답은 어떻게 처리할지를 추측에 의존할 수밖에 없습니다. 그리고 이러한 추측이 빈번하게 빗나가면서 결국 사용자의 신뢰를 떨어뜨리게 됩니다.

• 학습 데이터에는 실무 노하우가 반영되어 있지 않습니다. 언제 semantic_text를 사용하고 언제 커스텀 임베딩 파이프라인을 구축할지, 10GB 크기의 CSV 수집 파이프라인은 어떻게 구성해야 할지, 혹은 MITRE ATT&CK 기술에 적합한 탐지 규칙 구문은 무엇인지와 같은 고민은 학습 데이터만으로 해결하기 어렵습니다. 범용 에이전트에는 잘 정리되고 신뢰할 수 있는 구조를 갖춘 Elastic 전용 지식이 기본적으로 탑재되어 있지 않기 때문입니다. 에이전트가 직접 정보를 찾아낸다 하더라도 가공되지 않은 문서는 숙련된 전문가가 가진 상황별 판단이나 실무 노하우까지 모두 담아내지는 못합니다.

그 결과 개발자는 직접 코드를 짤 때보다 에이전트의 결과물을 수정하는 데 더 많은 시간을 허비하게 됩니다. 이는 우리가 기대했던 경험이 전혀 아닙니다.

에이전트 스킬: 에이전트를 위해 패키징된 플랫폼 지식

Agent Skills는 에이전트 런타임이 동적으로 로드할 수 있는 지침, 스크립트 및 참조 자료가 포함된 독립적인 디렉터리입니다. 스킬이 활성화되면 에이전트는 적절한 시점에 적절한 컨텍스트(쿼리 구문, API 패턴, 검증 논리, 실제 실행 사례 등)에 접근할 수 있게 되며 이를 통해 첫 시도만으로도 작업을 정확하게 완료할 수 있습니다.

각 스킬은 오픈 소스인 agentskills.io 사양을 따릅니다. 이는 메타데이터와 구조화된 지침이 담긴 SKILL.md 파일이 포함된 폴더 형태입니다. 독자적인 포맷도 벤더 종속성도 없습니다. 스킬은 Cursor, Claude Code, GitHub Copilot, Windsurf, Gemini CLI, Cline, Codex를 비롯하여 다양한 에이전트 런타임에 걸쳐 작동합니다.

초기 v0.1.0 릴리스 포함 내용

첫 번째 스킬 세트는 Elastic Stack의 다섯 가지 영역을 아우릅니다.

• Elasticsearch API와 상호 작용(검색, 인덱싱, 클러스터 관리)

• Kibana 콘텐츠 구축 및 관리(대시보드, 알림, 커넥터 등)

• Elastic Observability를 위한 도메인 전문성

• Elastic Security를 위한 도메인 전문성

• Agent Builder 내에서 효과적인 에이전트 만들기

스킬의 결합성

스킬은 거대한 단일 구조가 아닙니다. 설계 단계부터 모듈화되어 있습니다. 에이전트는 현재 수행 중인 작업에 필요한 스킬만 로드합니다. ES|QL 쿼리를 작성 중인가요? ES|QL 스킬이 활성화됩니다. 그 결과로 대시보드를 만들어야 하나요? 대시보드 스킬이 작업을 넘겨받습니다. 애플리케이션의 상태를 평가 중인가요? 서비스 상태 스킬이 작동합니다. 보안 알림을 조사 중인가요? 분석 스킬이 조사의 진행 단계에 따라 케이스 관리 및 대응 스킬로 이어집니다.

이러한 결합성은 모든 것을 한꺼번에 해결하려는 거대한 단일 프롬프트가 필요 없음을 의미합니다. 각 스킬은 해당 도메인에 필요한 만큼의 컨텍스트만을 담고 있으며 그 이상도 그 이하도 아닙니다.

검색 및 AI 애플리케이션을 구축하는 개발자를 위한 스킬

Elasticsearch에 데이터를 로드하거나 쿼리를 작성하고 인덱스를 마이그레이션할 때 에이전트 스킬은 코드를 생성하고 오류에 부딪힌 뒤 원인을 찾기 위해 문서를 검색해야 하는 과정을 줄여줍니다.

에이전트에게 CSV 파일 로드를 요청하면 에이전트는 백프레셔를 처리하고 데이터에서 매핑을 추론하는 스트리밍 수집 도구를 사용합니다. 이는 대용량 파일을 처리하자마자 메모리 부족을 일으키는 임시방편의 수동 _bulk 루프가 아닙니다. ES|QL로 쿼리하도록 요청하면 에이전트는 실제 인덱스 이름과 필드 스키마를 찾아낸 뒤 정확한 구문, 적절한 집계, 버전별 기능을 반영한 유효한 파이프 쿼리를 작성합니다. 세 번씩 디버깅을 반복해야 하는 SQL의 흉내만 낸 추측성 답변이 아닙니다. 클러스터 간 재인덱싱을 요청하면 에이전트는 명시적 매핑으로 대상 인덱스를 생성하고 처리량 최적화를 위한 설정 튜닝까지 수행합니다. 또한 작업을 비동기로 실행하고 완료 후 운영 설정을 복구하는 전체 운영 워크플로우를 따릅니다. 숙련된 운영자가 수행할 단계들을 절반이나 건너뛰는 단순한 _reindex 호출이 아닙니다.

사용자가 직접 수정해야 하는 그럴싸한 시작점만 제공하는 에이전트 대신 운영 방식을 내재화하여 실행 가능한 결과물을 만드는 에이전트를 얻게 됩니다.

Elastic Agent Skills 사용에 따른 주요 변화 예시

Eval

스킬 적용 시 변화된 내용

es-audit-query-failed-logins

일반적인 검색 대신 스킬에 정의된 감사 로그 쿼리 패턴을 사용함

es-authz-role-mapping-ldap

정확한 역할 매핑 API 호출 구조를 출력함

esql-기본 쿼리

쿼리 DSL을 통한 ES|QL 파이프 구문 작성

esql 오류 처리

필드 이름을 추측하는 대신 스키마를 우선적으로 확인함

esql-schema-discovery

인덱스 이름을 절대 임의로 추측하지 않음

es-ingest-csv-with-infer

--infer-mappings를 단독 사용하고 빈 인덱스를 유발하는 --source-format csv와의 조합을 피함

es-ingest-json-file

대용량 파일을 처리할 수 있는 견고한 수집 방식을 사용함

es-reindex-local-async

복제본: 0 및 refresh_interval: "-1" 설정으로 대상 인덱스를 먼저 생성한 뒤 비동기 재인덱싱 수행함. 기본 모델은 준비 단계를 건너뜀

es-security-403-privileges

일반적인 조언 대신 권한 오류에 대한 스킬의 진단 워크플로우를 따름

보안 팀을 위한 스킬

보안 팀은 매일 알림 심사, 탐지 규칙 최적화, 케이스 관리와 같은 동일한 운영 워크플로우를 반복합니다. Agent Skills는 이러한 절차적 지식을 내재화하여 AI 에이전트가 정확한 필드 이름으로 적절한 API를 올바른 순서에 따라 호출하며 워크플로우를 수행할 수 있게 합니다. IDE를 벗어나지 않고 초기 설정부터 실제 데이터가 완비된 Elastic Security 환경을 구축하는 실습 과정은 AI 에이전트로 Elastic Security 시작하기 가이드를 참조하세요.

통합 가시성 및 운영 팀을 위한 스킬

Elastic Observability를 위한 새로운 Agent Skills는 복잡한 시스템의 계측, SLO 관리, 복잡한 데이터 선별, 서비스 상태 평가 등에 드는 운영상의 수고를 줄여줍니다. AI 에이전트에 Elastic의 네이티브 전문 지식을 직접 내재화함으로써 운영 팀은 간단한 자연어만으로도 복잡한 통합 가시성 워크플로우를 실행할 수 있습니다. 이를 통해 SRE 및 운영 팀은 장애를 더 빠르게 해결하고 시스템의 신뢰성을 더욱 쉽게 유지할 수 있습니다. 자세한 내용은 블로그에서 확인해 보세요.

오픈 소스, 오픈 사양, 커뮤니티 중심

Elastic은 에이전트의 지식이 공개되어야 한다고 믿기에 Agent Skills를 Apache 2.0 라이선스로 출시합니다. 각 스킬이 따르는 agentskills.io 사양은 Elastic의 독자적인 포맷이 아닌 오픈 표준입니다. Elastic은 에이전트 스킬이 폐쇄적인 환경이 아닌 커뮤니티가 함께 만들어가는 노력이 되기를 바랍니다.

더 큰 그림의 일부

Agent Skills는 Elasticsearch를 현존하는 가장 에이전트 친화적인 데이터 플랫폼으로 만들기 위한 광범위한 이니셔티브의 일환입니다. Elasticsearch 플랫폼 기반의 에이전트를 위해 Agent Builder는 데이터 액세스 제어 및 권한을 상속받아 한 단계 더 진화된 기능을 제공합니다. 또한 검색 및 분석을 위한 내장 및 커스텀 도구를 제공하며 사용자가 대시보드, 알림 및 조사 워크플로우와 함께 컨텍스트에 맞게 에이전트와 상호 작용할 수 있도록 지원합니다. 마지막으로 Agent Builder에 스킬 지원 기능이 곧 추가될 예정입니다. 이를 통해 개발자는 Elastic Agent Skills뿐만 아니라 다른 소스의 스킬까지 유연하게 활용하여 Elasticsearch 플랫폼에서 보안이 강화되고 컨텍스트가 풍부한 채팅 및 자동화를 구현할 수 있게 됩니다.

Elastic 외부의 다양한 환경에서 운영되는 에이전트를 위해 Elastic은 다음과 같은 오픈 생태계에 투자하고 있습니다.

• 모델 컨텍스트 프로토콜(MCP) 서버 확장: 현재의 검색, ES|QL, 인덱스 작업을 넘어 더 많은 도구를 사용할 수 있도록 Agent Builder의 MCP 엔드포인트를 확장합니다.

• 인증 방식 개선: 수동으로 API 키를 복사하고 붙여넣는 과정을 없애는 것을 목표로 에이전트가 더욱 쉽고 안전하게 연결할 수 있도록 개선합니다.

• LLM이 이해하기 쉬운 문서: 에이전트가 스스로 Elastic API를 탐색하고 이해할 수 있도록 llms.txt 및 AGENTS.md 파일을 게시합니다.

• 에이전트 워크플로우용 명령줄 인터페이스(CLI): 연결 관리 및 일반적인 작업을 에이전트 친화적으로 만들어 주는 명령줄 도구를 제공합니다.

스킬은 현재 바로 사용할 수 있는 계층이며 나머지도 곧 추가될 예정입니다.

시작하기

시작하기 전에: AI 코딩 에이전트는 실제 자격 증명과 실제 셸 액세스 권한으로 작동하며 대개 에이전트를 실행하는 사용자의 모든 권한을 가집니다. 이러한 에이전트가 보안 워크플로우에 투입될 경우 그 위험성은 더욱 커집니다. 탐지 로직, 대응 조치 및 민감한 텔레메트리에 대한 접근 권한을 자동화된 시스템에 넘겨주는 셈이기 때문입니다. 조직마다 위험 수용 범위는 다릅니다. AI 기반 보안 워크플로우를 활성화하기 전에 에이전트가 어떤 데이터에 접근할 수 있는지, 어떤 작업을 수행할 수 있는지 그리고 예기치 않게 동작할 경우 어떤 영향을 미칠지 평가해야 합니다.

Elastic Agent Skills를 에이전트 런타임에 설치합니다.

npx skills add elastic/agent-skills

이 명령은 설치된 에이전트 런타임을 자동으로 감지하여 올바른 구성 디렉터리에 스킬을 배치합니다. 이후 에이전트는 해당 스킬을 자동으로 인식합니다.

또한 스킬 카탈로그를 직접 탐색하여 스킬 폴더를 에이전트의 구성 디렉터리에 복사함으로써 개별 스킬을 수동으로 설치할 수도 있습니다.

아직 Elasticsearch 클러스터가 없으신가요? Elastic Cloud 무료 체험판을 시작해 보세요. 약 1분이면 모든 설정이 완료된 환경을 준비할 수 있습니다.

프로젝트 살펴보기:

• Agent Skills 저장소

• agentskills.io 사양

• Elasticsearch 문서

• Elastic Cloud 무료 체험판

우리는 모두 AI 에이전트의 부상을 목격했습니다. AI는 텍스트를 요약하고, 코드 스니펫을 작성하고, 문서를 기반으로 질문에 답하는 데 탁월합니다. 하지만 DevOps 및 사이트 안정성 엔지니어링(SRE) 담당자에게는 답답한 한계가 있었습니다. 대부분의 에이전트는 콜센터 패러다임에 갇혀 있어 읽고, 생각하고, 채팅할 수는 있지만, 관리해야 할 인프라에 직접 접근하여 조작할 수는 없다는 것입니다.

최근 해커톤 프로젝트에서 Elastic은 이러한 한계를 뛰어넘기로 결정했습니다.

이에 Augmented Infrastructure를 구축했습니다. 이는 단순히 조언만 제공하는 것이 아니라 실시간 환경을 생성, 배포, 모니터링 및 수정하는 인프라 코파일럿입니다.

문제: 복사, 형식 변경, 붙여 넣기

표준 에이전트는 독립적으로 작동합니다. 앱이 다운되어 회사에 5백만 달러의 손실이 발생하면 표준 에이전트는 문제를 해결하는 방법에 대한 런북을 읽어줄 수 있습니다. 하지만 실제 작업은 여전히 사용자가 직접 해야 합니다. 코드를 복사하고, 환경에 맞게 형식을 변경한 다음, 터미널에 붙여 넣어야 합니다.

Kubernetes에 대해 이야기하는 것과 Kubernetes를 구성하는 것의 차이를 이해하는 에이전트가 필요했습니다.

엔진: Elastic Agent Builder란 무엇입니까?

이를 구축하기 위해 처음부터 모든 것을 새로 시작한 것은 아닙니다. Elastic Agent Builder를 기반으로 구축했습니다. Elastic Agent Builder는 에이전트를 신속하게 개발할 수 있도록 설계된 프레임워크로, 대규모 언어 모델(LLM)(데모에서는 Google Gemini를 사용)과 Elasticsearch에 저장된 개인 데이터 간의 연결 고리 역할을 합니다.

Agent Builder는 문서나 로그와 같은 내부 데이터를 기반으로 대화형 AI를 구현하는 데 사용할 수 있습니다. 하지만 Agent Builder의 가장 강력한 기능은 도구를 할당할 수 있다는 점입니다. 이러한 도구를 통해 LLM은 채팅 인터페이스를 벗어나 특정 작업을 수행할 수 있습니다. 이 기능을 최대한 활용하면 Agent Builder를 강력한 자동화 도구로 탈바꿈시킬 수 있다는 사실을 깨달았습니다.

작동시키기: 첫 번째 버전 구축

프로젝트를 시작할 때 에이전트가 외부 세계를 변화시킬 수 있도록 만들고 싶었습니다. 그래서 이런 아이디어를 떠올렸습니다. (에이전트가 호스트에서 생각할 수 있는 모든 명령을 실행하는) '실행기' 소프트웨어를 구축하면 어떨까? 그리고 만약 실행기, Elastic Agent Builder, 그리고 사용자가 3자 호출을 하면 어떨까?

먼저 Augmented Infrastructure 실행기라는 Python 프로젝트를 구축했는데, 이는 기본적으로 Elastic Agent Builder 대화 API를 매초마다 쿼리하고 당사가 만든 특수 구문을 확인하는 while(true) 루프였습니다.

그런 다음 새로운 도구 호출 구문에 대해 알려주도록 프롬프트를 업데이트했습니다. Bill은 Python으로 모델 컨텍스트 프로토콜(MCP) 서버를 구축하는 데 가장 많이 사용되는 프레임워크인 FastMCP의 유지 관리자입니다. Bill은 FastMCP 클라이언트와 이 새로운 실행기 소프트웨어를 사용하여 MCP 서버를 마운트하고 실행기에서 해당 도구를 사용할 수 있도록 하는 작업을 시작했습니다. 에이전트가 이를 확인하면 도구 호출을 실행하고 마치 사용자가 결과를 보낸 것처럼 결과가 대화창에 다시 POST됩니다. 이렇게 하면 LLM이 결과에 응답하게 되고, 그렇게 진행이 가능해집니다!

매우 훌륭했지만 다음과 같이 두 가지 주요 문제가 있었습니다.

1. 에이전트가 이 모든 JSON을 사용자와의 대화로 바로 내보냅니다.

2. 대화 API를 통해 메시지를 볼 수 있는 가장 빠른 시점이 대화 라운드가 완료된 시점(즉, LLM이 응답한 시점)입니다.

그래서 이를 백그라운드로 옮기는 방법을 파악하기 위해 노력했습니다.

그다음, 에이전트에 call_external_tool이라는 도구를 제공하고 tool_name과 문자열화된 JSON 도구 인수라는 두 개의 인수를 전달하도록 변경했습니다. 이 외부 도구 호출은 아무것도 반환하지 않지만, 중요한 것은 대화 API에 대한 GET 요청에서 확인할 수 있다는 점입니다. 그런 다음 실행기에 Elasticsearch에 직접 문서를 작성할 수 있는 권한을 부여했고, Elastic Agent Builder 에이전트는 필요에 따라 해당 문서를 검색할 수 있습니다. 에이전트는 항상 사용자 메시지에 응답하여 작동하므로, 에이전트가 결과를 찾고 처리를 계속할 수 있도록 사용자 메시지로 에이전트를 시작해야 합니다. 그래서 다음과 같이 에이전트가 채팅에 간단한 메시지를 삽입하여 대화를 재개하도록 했습니다.

이제 외부 도구 호출이 가능해졌습니다. 하지만 위에서 언급한 두 번째 문제 때문에 마지막 시작 단계를 없애야 했습니다. 그렇지 않으면 외부 도구를 호출할 때마다 결과를 얻기 위해 전체 대화 라운드를 거쳐야 했기 때문입니다.

효율적으로 만들기: 워크플로우 소개

Agent Builder 에이전트는 Elasticsearch 쿼리 언어(ES|QL) 및 인덱스 검색 도구 호출 외에도 Elastic 워크플로우 기반 도구를 호출할 수 있습니다. Elastic 워크플로우는 임의의 작업 순서와 로직을 실행할 수 있는 유연하고 관리하기 쉬운 방법을 제공합니다. 본 예시에서는 워크플로우가 외부 도구에 대한 Elasticsearch 요청을 저장하고 결과를 폴링할 ID를 반환하기만 하면 됩니다. 따라서 다음과 같은 간단한 워크플로우 정의가 생성됩니다.

이를 통해 도구 호출 요청이 대화에 기록되는 것에 의존하는 대신, 실행기는 새로운 외부 도구 요청에 대해 Elasticsearch distributed-tool-requests 인덱스를 폴링하고 제공된 execution.id를 사용하여 결과를 다른 Elasticsearch 인덱스에 보고할 수 있습니다.

이는 다음과 같이 위에서 언급한 두 가지 주요 문제를 해결합니다.

1. 대화 기록이 더 이상 외부 도구 호출에 위한 페이로드로 인해 복잡해지지 않습니다.

2. 실행기는 대화 기록 대신 Elasticsearch 인덱스를 폴링하므로, 외부 도구 요청을 표시하기 위해 대화 라운드가 완료될 때까지 차단되지 않습니다.

두 번째는 외부 도구 호출 처리가 대화 라운드가 완료된 시점이 아니라 에이전트의 사고 단계 내에서 시작된다는 큰 장점이 있습니다. 이를 통해 시스템 프롬프트에서 LLM에 외부 도구 결과가 나올 때까지 지속적으로 폴링하도록 지시할 수 있으며, 시작 메시지를 표시할 필요가 없습니다. 전반적으로 이러한 방식은 대화 흐름을 더욱 자연스럽게 만들어 줍니다. LLM은 단일 대화 라운드 내에서 여러 외부 도구 요청을 처리할 수 있으므로(도구 요청당 별도의 대화 라운드가 필요하지 않음), 더 복잡한 사용자 요청을 한 번에 처리할 수 있습니다.

한곳에 모으기

LLM과 서버 랙 간의 격차를 해소하기 위해 다음과 같이 Agent Builder의 도구 기능을 사용하여 특정 아키텍처를 개발했습니다.

1. Augmented Infrastructure 실행기: 대상 환경(서버, Kubernetes 클러스터, 클라우드 계정) 내부에 경량 실행기를 배포했습니다. 이러한 실행기는 각 실행기만 접근 가능한 보안 엔드포인트와 보안 정보를 사용하여 Elastic에 직접 연결됩니다.

2. ES|QL 검색: 코파일럿은 Elastic의 ES|QL을 사용하여 하이브리드 검색을 수행합니다. 단순히 지식을 검색하는 것이 아니라 기능을 검색합니다. 연결된 실행기에 쿼리하여 사용 가능한 도구(예: list_ec2_instances, install_helm_chart)를 확인합니다.

3. 워크플로우 실행: 에이전트가 작업 과정을 결정하면 구조화된 워크플로우를 생성합니다.

4. 피드백 루프: 실행기는 로컬에서 명령을 실행하고 그 결과를 다시 Elasticsearch에 보고합니다. 코파일럿은 인덱스에서 결과를 읽고 다음 단계를 결정합니다.

데모: 중단에서 통합 가시성으로

이 동영상에서는 이 아키텍처의 강력한 성능을 보여주는 두 가지 서로 다른 시나리오를 소개했습니다.

시나리오 1: DevOps 지원

Kubernetes 클러스터의 사각지대 때문에 5백만 달러 규모의 장애가 발생하여 패닉 상태에 빠진 사용자의 이야기로 시작했습니다.

• 요청: "이런 일이 다시 발생하지 않도록 하려면 어떻게 해야 하나요?"

• 작업: 에이전트는 단순히 튜토리얼만 제공하지 않았습니다. 클러스터 식별, 필요한 네임스페이스 생성, Kubernetes 보안 정보 생성, OpenTelemetry Operator 설치, 실시간 APM 대시보드에 대한 링크 즉시 제공을 수행했습니다.

• 결과: 사용자가 단 한 줄의 YAML도 작성하지 않고도 완전한 Kubernetes 통합 가시성과 애플리케이션 인사이트를 얻을 수 있습니다.

시나리오 2: 보안 인계

인프라 보안의 기본 원칙은 보이지 않는 것은 보호할 수 없다는 것입니다. DevOps 복구 작업을 수행하는 동안 에이전트는 환경의 보안을 개선할 기회를 포착합니다.

이전 Elastic Observability 관련 조사에서 발생한 경보를 통해 보안 담당자가 인프라와 직접 소통하는 방법을 시연합니다. 첫째, 클라우드 환경의 자산과 리소스를 열거하고, 둘째, 환경 보안을 보장하는 데 필요한 도구를 배포하는 방법을 보여줍니다.

• 탐색: 코파일럿은 보안 담당자를 위해 AWS 리소스를 열거하고 중요한 문제점을 발견했습니다. 해당 문제점은 엔드포인트 보호가 누락된 공용 엔드포인트가 있는 Amazon Elastic Compute Cloud(EC2) 인스턴스와 Amazon Elastic Kubernetes Service(EKS) 클러스터입니다.

• 조치: 간단한 승인으로 코파일럿은 Elastic Security 확장 탐지 및 응답(XDR), 클라우드 탐지 및 응답(CDR)을 취약한 자산에 배포하여 환경을 실시간으로 보호했습니다.

• 결과: 완벽한 런타임 보안을 통해 배포된 AWS 자산 및 리소스를 보호합니다.

미래: 모든 것이 증강되는 세상

이 프로젝트는 Elastic Agent Builder가 분산 운영의 핵심 역할을 할 수 있음을 입증합니다. 이는 인프라에만 국한되지 않습니다. 실행기 기술은 다음과 같은 분야에서도 활용될 수 있습니다.

• 증강 합성: 글로벌 실행기 전반의 TLS 오류 진단.

• 증강 개발: 풀 리퀘스트 생성 및 프론트엔드 서비스에서 CAPTCHA 구현.

• 증강 운영: 중단 발생 시 DNS 리졸버 자동 재구성.

직접 사용해 보기

AI의 미래는 단순히 채팅 지원에 그치는 것이 아니라, Augmented Infrastructure에 관한 것이라고 생각합니다. 즉, 고객과 함께 배포, 수정, 관찰, 보호할 수 있는 파트너를 확보하는 것입니다.

지금 바로 코드를 확인하고 분산 실행기(GitHub)와 Elastic Agent Builder를 Elastic Cloud Serverless 에서 직접 사용해 보세요!

• Elastic Cloud에서 서버리스 프로젝트를 생성하세요.

• 실행기에 코드를 배포하세요.

• 실행기를 설정하세요.

• mcp.json을 구성하세요.

• 실행기를 시작하면 에이전트와 그 도구가 자동으로 생성됩니다.

• 분산 실행기에 대한 추론, 계획 및 실행을 수행할 수 있는 에이전트와 채팅하세요!

팀: 알렉스, 빌, 길, 그레이엄, 노리

하지만 대부분의 시간을 보내는 환경에 이러한 맞춤형 데이터 인식 도구를 도입할 때 진정한 마법이 일어납니다. 코드 편집기 에이전트가 조직의 비공개 지식창고에 안전하게 액세스할 수 있다면 어떨까요?

이것이 바로 모델 컨텍스트 프로토콜(MCP) 이 필요한 이유입니다. Elastic 에이전트 빌더는 플랫폼의 도구에 대한 액세스를 제공하는 기본 제공 MCP 서버와 함께 제공됩니다.

Elastic 에이전트 빌더 MCP 서버를 사용하는 이유는 무엇인가요?

AI 에이전트는 매우 강력하지만, 일반적으로 학습된 데이터와 공개 인터넷에서 적극적으로 검색할 수 있는 정보로 지식이 제한되어 있습니다. 그들은 회사의 내부 디자인 문서, 팀의 특정 배포 런북 또는 애플리케이션 로그의 고유한 구조에 대해 알지 못합니다.

문제는 AI 어시스턴트에게 필요한 전문 컨텍스트를 제공하는 것입니다. 이것이 바로 MCP가 해결하고자 하는 문제입니다. MCP는 AI 모델이나 에이전트가 외부 도구를 검색하고 사용할 수 있도록 하는 개방형 표준입니다.

이를 가능하게 하기 위해 Elastic 에이전트 빌더는 기본적으로 기본 제공 MCP 서버를 통해 사용자 정의 도구를 노출합니다. 즉, Elastic 에이전트 빌더로 구축한 전문화된 데이터 인식 도구로 Cursor, VS Code 또는 Claude Desktop과 같은 모든 MCP 호환 클라이언트를 쉽게 연결할 수 있습니다.

MCP를 사용해야 할 때(그리고 사용하지 말아야 할 때)

Elastic 에이전트 빌더에는 다양한 통합 패턴을 지원하기 위한 여러 프로토콜이 포함되어 있습니다. 효과적인 AI 워크플로우를 구축하려면 올바른 것을 선택하는 것이 중요합니다.

• MCP를 사용하여 전문화된 도구로 AI 에이전트(예:커서 또는 VS 코드)를 보강할 수 있습니다. 개인 데이터에 대한 안전한 액세스를 통해 이미 사용 중인 어시스턴트를 개선하는 "가져오기(" ) 방식입니다. 도구만 MCP 서버를 통해 노출되며, Elastic의 에이전트는 이와는 별개입니다.

• A2A 프로토콜을 사용하여 완전한 사용자 정의 Elastic 에이전트가 다른 자율 에이전트와 협업할 수 있도록 하세요(Google의 Gemini Enterprise에서처럼). 상담원 간 위임은 각 상담원이 동료로서 문제를 해결하는 데 사용됩니다.

• 처음부터 사용자 지정 애플리케이션을 구축할 때에이전트 빌더 API를 사용하여 완전한 프로그래밍 방식으로 제어할 수 있습니다.

IDE를 벗어나지 않고도 내부 문서에서 답을 얻고자 하는 개발자에게 MCP는 완벽한 솔루션입니다.

예: 에이전트 빌더 MCP 서버를 사용하는 커서의 사용자 지정 도구

제가 매일 사용하는 실제 사례를 살펴보겠습니다. 먼저, 내부 엔지니어링 문서를 크롤링하여 elastic-dev-docs 이라는 Elasticsearch 인덱스로 색인화했습니다. 상담원 빌더에서 제공되는 일반적인 기본 제공 툴을 사용할 수도 있지만, 이 특정 지식창고를 쿼리하기 위한 자체 사용자 지정 툴을 만들겠습니다.

사용자 지정 도구를 구축하는 이유는 간단합니다: 제어와 정밀도입니다. 이 접근 방식을 사용하면 elastic-dev-docs 인덱스에 대해 직접 빠른 시맨틱 쿼리를 실행할 수 있습니다. 당사는 정확히 어떤 인덱스를 대상으로 하고 데이터를 검색하는 방법을 완전히 제어할 수 있습니다.

이제 커서와 같은 AI 기반 코드 편집기에서 이 사용자 지정 지식창고를 사용하는 방법은 다음과 같습니다.

1단계: 상담원 빌더에서 사용자 지정 지식창고 툴 만들기

먼저 상담원 빌더에서 새 도구를 만듭니다. 명확하고 구체적인 도구 설명은 내부 Elastic 에이전트든 MCP를 통해 연결되는 Cursor와 같은 외부 도구든 모든 AI 에이전트가 올바른 작업을 위해 도구를 검색하고 선택하는 방식이기 때문에 중요합니다.

강력한 설명은 명시적이어야 합니다. 예를 들어 "내부 엔지니어링 문서, 런북, 릴리즈 절차를 찾기 위해 elastic-dev-docs 인덱스에서 시맨틱 검색을 수행합니다."

이를 통해 특정 인덱스에 대해 시맨틱 검색을 수행하도록 도구를 구성했습니다. 저장하면 즉시 사용할 수 있습니다.

외부에 연결하기 전에 UI에서 직접 테스트해 볼 수 있습니다. 테스트 버튼을 클릭하여 매개변수를 수동으로 입력하여 LLM이 수행하는 작업을 에뮬레이션하고 결과를 검사하여 모든 것이 올바르게 작동하는지 확인하기만 하면 됩니다.

2단계: 커서를 Elastic MCP 서버에 연결하기

Elastic 에이전트 빌더는 안전한 MCP 엔드포인트를 통해 사용 가능한 모든 도구를 자동으로 노출합니다. Kibana 내의 도구 UI에서 고유한 서버 URL을 찾을 수 있습니다.

Cursor에 연결하려면 이 URL을 구성 파일에 인증용 Elastic API 키와 함께 추가하기만 하면됩니다(ES API 키 생성 방법 알아보기). 모든 접근 제어 규칙을 준수하면서 사용자가 부여한 권한으로만 도구가 실행되도록 보장하기 때문에 권한 부여를 위해 API 키를 사용합니다.

Cursor의 ~/.cursor/mcp.json 의 MCP 구성은 다음과 같습니다:

구성이 저장되면, Cursor에 Elastic 에이전트 빌더 MCP 서버 도구가 표시됩니다.

3단계: 물어보세요!

연결이 설정되면 이제 커서 상담원이 사용자 지정 도구를 호출하여 질문에 답하거나 코드 생성 프로세스를 안내할 수 있습니다.

구체적인 질문을 해보겠습니다:

"탄력적 검색 조직의 엔지니어링 내부 문서에서 크롤러 서비스를 릴리즈하기 위한 조회 단계"

무대 뒤에서는 마법이 일어납니다:

1. 커서 상담원은 질문에 가장 적합한 방식으로 답변하는 방법을 결정한 후 engineering_documentation_internal_search

2. 자연어 쿼리로 도구를 호출합니다.

3. 이 도구는 elastic-dev-docs 인덱스에 대해 시맨틱 검색을 실행하여 가장 관련성이 높은 최신 절차를 반환합니다.

코드 편집기를 벗어나지 않고도 내부 문서를 기반으로 정확하고 신뢰할 수 있는 답변을 얻을 수 있습니다. 원활하고 강력한 경험을 제공합니다.

빌드할 차례

이제 Elastic 에이전트 빌더의 기본 제공 MCP 서버를 사용하여 개인 데이터에 대한 안전한 액세스로 AI 어시스턴트를 확장하는 방법을 살펴보셨습니다. 모델을 진정으로 유용하게 활용하려면 자신의 정보에 근거를 두는 것이 중요합니다.

핵심 단계를 다시 한 번 정리해 보았습니다:

• 필요에 맞는 프로토콜 선택하기(MCP).

• 사용자 지정 지식창고 툴 구축하기

• 해당 도구를 커서와 같은 IDE 보조 도구에 연결합니다.

더 이상 상담원과 툴이 가장 중요한 컨텍스트에서 분리될 필요가 없습니다. 이 가이드가 보다 효과적이고 데이터를 인식하는 워크플로를 만드는 데 도움이 되길 바랍니다. 행복한 건물!