“지난번처럼 주간 리포트 정리해 줘. 매체별 비용, 클릭, 전환을 먼저 보고 이상치가 있으면 따로 표시해 줘. 공유 전에 확인할 체크리스트도 잊지 말고 붙여 줘.”
에이전트에게 일을 맡기다 보면 이런 설명을 반복하게 되는 순간이 있습니다. 처음에는 대화창에 직접 적어도 괜찮습니다. 그런데 같은 양식, 같은 검수 기준, 같은 작업 순서를 세 번째쯤 설명하고 있다면 조금 아깝게 느껴지기 시작합니다. 설명이 어려워서가 아니라, 이미 우리 안에서는 정리된 절차를 매번 새로 꺼내 말하고 있기 때문입니다.
이 고민은 개발·코딩 업무에서만 생기는 것이 아닙니다. 문서 작성, 데이터 정리, 리서치, 광고 리포트처럼 에이전트에게 맡기는 일이 넓어질수록 “내 업무 절차를 어디에 보관할 것인가”가 중요해집니다. 이때 사용할 수 있는 방법 중 하나가 에이전트 스킬(Agent Skills)입니다. 이 글에서는 스킬이 무엇이고, 프롬프트나 규칙 파일, MCP와는 무엇이 다른지, 어떤 작업을 스킬로 만들면 좋은지 정리해 보려고 합니다.
에이전트 스킬이란?
에이전트 스킬은 특정 작업의 절차와 참고 자료를 담아두는 폴더라고 할 수 있습니다. 폴더의 중심에는 SKILL.md라는 마크다운 파일이 있습니다. 여기에 이 작업을 언제 해야 하는지, 어떤 순서로 진행해야 하는지, 결과물을 어떤 기준으로 확인해야 하는지를 적어둡니다. 필요하다면 예시 문서, 체크리스트, 실행 스크립트도 같은 폴더 안에 함께 넣을 수 있습니다.
쉽게 말하면 에이전트에게 주는 업무 매뉴얼에 가깝습니다. 새로 온 팀원에게 “우리 팀 주간 리포트는 이렇게 정리합니다”라고 설명하듯, 에이전트에게도 반복 업무의 기준을 파일로 건네는 것이죠. 사람이 읽고 따라 할 수 있는 절차서로 정리할 수 있다면, 스킬의 기본 형태도 만들 수 있습니다.
지난 글에서 채팅창과 프로젝트 폴더의 차이를 이야기한 적이 있습니다. 채팅창에서는 설명이 대화 안에 남지만, 프로젝트 폴더에서는 작업 규칙과 참고 자료가 파일로 쌓입니다. 스킬은 그중에서도 “일하는 순서”를 담당하는 파일 묶음이라고 볼 수 있습니다. 관련 글은 아래 링크에서 확인할 수 있습니다.
스킬은 어떻게 동작하나요?
스킬은 크게 세 층으로 나뉩니다. SKILL.md 맨 위에 적는 스킬의 이름과 설명, 그 아래 이어지는 SKILL.md 본문의 실제 지침, 그리고 필요할 때 참고할 자료나 스크립트입니다. 여기서 중요한 점은 에이전트가 이 모든 내용을 처음부터 전부 읽고 시작하지 않는다는 것입니다.
먼저 SKILL.md 맨 위의 이름과 설명만 보고 지금 요청과 관련이 있는지 판단합니다. 관련이 있다고 판단되면 그때 SKILL.md 본문을 열어보고, 참고 문서나 스크립트는 실제로 필요할 때 확인합니다. 이런 방식을 점진적 공개(Progressive Disclosure)라고 부릅니다. 두꺼운 매뉴얼을 처음부터 전부 읽는 것이 아니라, 책등의 제목과 설명을 보고 필요한 매뉴얼만 꺼내 읽는 방식에 가깝습니다.
그래서 스킬을 만들 때는 본문만큼이나 설명(description)이 중요합니다. 설명이 모호하면 스킬이 있어도 불려오지 않을 수 있고, 반대로 너무 넓게 쓰면 필요 없는 상황에 끼어들 수 있습니다. “광고 리포트 작성에 사용”이라고만 쓰는 것보다 “주간 광고 리포트에서 매체별 비용, 클릭, 전환 지표를 같은 양식으로 정리할 때 사용”처럼 쓰는 편이 에이전트가 판단하기 쉽습니다.
여기서부터가 스킬 관리의 시작입니다. 좋은 스킬은 지침을 길게 적어둔 파일이라기보다, 언제 꺼내야 하는지가 분명한 매뉴얼에 가깝습니다.
개념 정리: 스킬, 프롬프트, 규칙 파일, MCP
스킬을 이해하려면 비슷한 것들과 구분해 보는 것이 좋습니다. 이번 한 번만 쓰는 프롬프트, 항상 적용되는 규칙 파일, 외부 서비스에 연결하는 MCP가 모두 비슷해 보일 수 있기 때문입니다.
| 구분 | 쓰는 경우 | 비유 |
|---|---|---|
| 프롬프트 | 단발성 요청: 이번 한 번만 작업이 필요할 때 | 그때그때 말로 설명 |
| 규칙 파일 | 항상 적용할 기본 원칙 | 회사 규정 |
| 스킬 | 반복되는 업무 요청 또는 절차 | 업무 매뉴얼 |
| MCP | 외부 시스템 접근 | 출입증 |
- 프롬프트는 지금 이 대화에서만 필요한 지시입니다. “이 문단만 더 짧게 고쳐 주세요”처럼 한 번 쓰고 끝나는 요청이라면 굳이 파일로 만들 필요가 없습니다. 매번 달라지는 요청은 대화창에 바로 쓰는 편이 더 빠릅니다.
- 규칙 파일(예를 들어
CLAUDE.md와 같은)은 성격이 조금 다릅니다. 글의 문체, 보안상 금지해야 할 행동, 프로젝트에서 지켜야 할 개발 규칙처럼 모든 작업에 항상 적용되어야 하는 내용은 규칙 파일에 두는 편이 맞습니다. 반면 특정 업무가 들어왔을 때만 펼쳐 보면 되는 절차는 스킬에 두는 편이 자연스럽습니다. 회사 규정과 업무 매뉴얼의 차이라고 보면 이해가 쉽습니다. - MCP는 외부 시스템에 접근하기 위한 연결에 가깝습니다. 광고 플랫폼에서 데이터를 가져오거나, 노션·슬랙·CRM 같은 외부 서비스와 연결하는 것이 MCP의 역할입니다.
- 스킬의 역할은 (1) 가져온 데이터를 정해진 순서로 정리하고 (2) 정해진 기준으로 검수하고 (3) 정해진 양식으로 공유할지 판단하는 것이라고 할 수 있습니다.
스킬은 방법을 가르치고, MCP는 접근 권한을 줍니다. 예를 들어 광고 플랫폼에서 데이터를 불러오는 일은 MCP가 맡을 수 있습니다. 하지만 불러온 데이터를 주간 리포트 양식에 맞춰 정리하고, 전환율이 튄 캠페인을 따로 표시하고, 공유 전 체크리스트를 붙이는 일은 스킬을 활용하는 것이 좋습니다.
어떤 작업을 스킬로 만들면 좋을까요?
그러면 어떤 작업부터 스킬로 만들어야 할까요? 개인적으로 아래의 세 가지 조건을 생각해 봤습니다.
- AI에게 같은 설명을 두세 번 이상 반복할 때
- 작업 진행 절차를 명확하게 알고 있을 때
- 팀에서, 또는 내가 활용 중인 여러 AI 세션에서 같은 방식이 계속 필요할 때
이 중 두 번째 조건, ‘작업 진행 절차를 명확하게 알고 있을 때’라는 내용이 특히 중요하다고 생각합니다. 작업 프로세스가 사전에 명확하게 기획되어 있어야 더 유용하고 좋은 스킬을 만들 수 있습니다. (이 기획 작업 또한 AI와 함께 할 수도 있는 것은 물론입니다.) “개별 질문으로는 잘 안 되니까 스킬로 만들자”는 접근은 조금 조심해야 합니다. 사람이 작업해도 아직 결과가 들쭉날쭉한 일이라면, 스킬로 만드는 결과물 또한 비슷할 수밖에 없기 때문입니다.
더불어 스킬로 만들 작업 범위도 가능한 한 작게 잡는 편이 좋다고 생각합니다. 예를 들어 ‘마케팅 업무 전반을 잘 처리하는 스킬’보다 ‘주간 Meta 광고 데이터 인사이트 정리 스킬’이 더 잘 작동할 가능성이 높습니다. 주간 광고 리포트라면 매체별 데이터를 어떤 순서로 확인하는지, 어떤 지표를 같은 단위로 맞추는지, 공유 전에 무엇을 검수하는지를 구체적으로 적을 수 있기 때문입니다.
반대로 스킬을 활용한 작업이 답이 아닌 경우도 있습니다.
- 한 번 하고 끝날 작업은 프롬프트로 충분합니다. 앞으로 다시 쓸 가능성이 낮은 지시까지 파일로 만들면, 나중에는 어떤 스킬이 왜 있는지 관리하는 비용이 더 커집니다.
- 모든 작업에 적용되어야 하는 기준도 스킬과 잘 맞지 않습니다. 글의 문체, 보안 기준, 프로젝트 전반의 규칙처럼 늘 적용되어야 하는 내용은 규칙 파일에 두는 편이 자연스럽습니다. 스킬은 필요할 때 꺼내 쓰는 절차에 더 가깝기 때문입니다.
- 외부 데이터나 서비스 연결이 핵심이라면 MCP가 먼저입니다. 스킬은 “접속하는 방법”이 아니라 “접속한 뒤 어떻게 일할 것인가”에 가깝습니다. 구글 애즈에서 데이터를 가져오지 못하는 상황에서 광고 리포트 스킬만 잘 써둔다고 문제가 해결되지는 않습니다.
- 절차가 아직 흔들리는 업무도 마찬가지입니다. 리포트 양식이 매주 바뀌고, 검수 기준도 계속 바뀌고 있다면 지금 필요한 것은 스킬이 아니라 절차 정리입니다. 스킬은 정리가 끝난 뒤에 만드는 편이 좋습니다.
스킬을 쓸 때 주의할 점
잘 만든 스킬은 우리 업무 효율을 눈에 띄게 올려줄 수 있지만, 외부 라이브러리에서 스킬을 받아올 때는 잘 아시는 바와 같이 조심 또 조심해야 합니다. 한 예로, 2026년 6월 AIR Security가 공개한 실험에서는 가짜 스킬이 스킬 마켓플레이스와 광고를 통해 퍼진 뒤 약 2만 6천 개의 에이전트에 도달한 것으로 보고됐습니다(AIR 자체 집계 기준). 여러 보안 스캐너가 이 스킬을 안전하다고 판정했는데, 스킬 파일 자체는 깨끗했고 심사 시점에는 외부 링크가 정상 사이트로 연결되었기 때문입니다. 그런데 심사를 통과한 뒤 AIR는 그 링크 너머의 문서 내용을 바꿔버렸습니다. 새 문서는 에이전트에게 스크립트를 내려받아 실행하라고 지시했고요. 파일을 아무리 검사해도, 파일 바깥의 링크가 나중에 무엇으로 바뀔지는 알 수 없다는 뜻입니다.
Fake AI Agent Skill Passed Security Scans and Reportedly Reached 26,000 Agents - The Hacker News
이렇듯 스킬 관련 보안 체계는 아직 공식적으로 정해진 바가 없고, 개인이 만든 스킬은 보안에 취약하거나 알 수 없는 악성 요소를 가지고 있을 위험성이 있습니다. 따라서 외부에서 가져오는 스킬은 동료가 작성한 코드를 리뷰하듯 SKILL.md와 포함된 스크립트, 외부 링크, 설치 지침까지 열어 확인한 뒤 쓰시기를 권합니다.
반복 요청을 스킬로 만들기
지금 에이전트에게 반복해서 붙여넣고 있는 설명이 있으신가요? 그렇다면 그중 가장 작고 자주 쓰는 절차 하나부터 SKILL.md로 옮겨 보시길 권해 드립니다. 반복 설명이 줄어드는 것만으로도 에이전트와 일하는 감각이 꽤 달라질 테니까요. 에이전트와 함께 일하는 방식을 고민하는 분들께 이 글이 조금이나마 도움이 되기를 바랍니다.
