스마트 앱 컨트롤 설정 | Windows 보안 방화벽과의 차이 - 에이전티 및 프로그램 실행 안될 때

코딩 에이전트나 개발 도구를 켰는데 터미널에 An Application Control policy has blocked this file 가 뜨면, 방화벽 문제부터 의심하기 쉽다. 실제로는 Windows 방화벽이 아니라 응용 프로그램 제어(Application Control) 쪽인 경우가 많다. 그중 개인용 Windows 11에서 자주 걸리는 기능이 스마트 앱 컨트롤(Smart App Control, SAC) 이다.

스마트 앱 컨트롤은 프로그램이 실행되기 전에 「이 파일을 돌려도 되는가」를 판단한다. 방화벽은 이미 돌아가는 프로그램이 네트워크로 무엇을 주고받는지를 본다. 감시하는 층이 다르니, 한쪽을 꺼도 다른 쪽 보호는 그대로다. 이 문서는 SAC가 무엇인지, 방화벽·SmartScreen·백신·AppLocker와 어떻게 다른지, 설정 방법, 그리고 Cursor Agent 같은 에이전트·네이티브 모듈(.node)이 막힐 때 진단 순서를 정리한다.

1. 스마트 앱 컨트롤이 뭔가

스마트 앱 컨트롤은 Windows 11에만 있는 보안 기능이다. Windows 10에는 없다. Windows 보안 앱의 앱 및 브라우저 컨트롤 아래에 있으며, 악성·원치 않는·신뢰할 수 없는 앱이 실행되기 전에 막는 역할을 한다.

일반 백신(Microsoft Defender Antivirus)과의 차이는 타이밍이다. 백신은 파일·프로세스를 검사하며 알려진 위협을 잡거나 의심 행위를 차단한다. SAC는 그보다 앞에서 「애초에 실행해도 되는 파일인가」를 클라우드 평판과 디지털 서명으로 가른다. 그래서 아직 서명·평판이 쌓이지 않은 개발 도구·오픈소스·자체 빌드 바이너리가 자주 걸린다.

Microsoft 공식 FAQ도 SAC가 기존 안티바이러스를 대체하지 않는다고 명시한다. SAC를 꺼도 Defender·SmartScreen·방화벽은 계속 동작한다.

1.1. 언제 기본으로 켜지나

SAC는 Windows 11 22H2 이후 클린 설치 기기에서 기본으로 쓰일 수 있다. 구버전에서 업그레이드만 한 PC는 처음부터 끄기로 보이는 경우가 많다. Secure Boot와 정상 인증서 체인 등 전제 조건이 맞지 않으면 설정 자체가 안 보이거나 쓸 수 없다.

2. 작동 원리 — 평판과 서명

앱을 실행하려 하면 SAC는 대략 아래 순서로 판단한다. Microsoft 지원 FAQ의 설명과 같은 흐름이다.

1. 클라우드 기반 앱 인텔리전스에 평판을 묻는다. 「안전하다」고 확신되면 허용하고, 「악성·원치 않는 앱」이면 차단한다.
2. 확신이 없으면 유효한 디지털 서명이 있는지 본다. 서명이 있으면 허용한다.
3. 서명도 없고 클라우드도 모르면 신뢰할 수 없음(untrusted) 으로 보고 차단한다.

그림 1. 스마트 앱 컨트롤은 실행 직전에 평판·서명을 보고 막는다

Cursor Agent CLI가 file_service.win32-x64-msvc.node 같은 네이티브 모듈을 로드할 때, 클라우드에 널리 알려진 평판이 없고 서명도 약하면 3단계에서 걸린다. 오류 문구에 Application Control policy 가 보이면 「방화벽 규칙」이 아니라 실행 허용 정책을 의심하는 편이 맞다.

2.1. 개별 앱 예외는 없다

공식 FAQ의 핵심이다. 특정 앱만 통과시키는 우회 설정은 없다. 막힌 앱을 쓰려면 SAC를 끄거나, 개발자에게 유효한 코드 서명을 요청하는 수밖에 없다. MST(Windows Installer Transform)처럼 서명할 수 없는 설치 파일을 다룰 때도 일시적으로 끄는 경우가 있다.

3. 세 가지 모드 — 켬·평가·끄기

Windows 보안 → 앱 및 브라우저 컨트롤 → 스마트 앱 컨트롤 설정에서 상태를 고른다.

그림 3. 켬은 차단, 평가는 관찰, 끄기는 관여하지 않는다

평가는 대략 한 달 안팎 사용 패턴을 본 뒤 켬/끄기를 고르는 식이다. 한 번 평가를 벗어나면 평가 모드로 되돌리기는 어렵다. 다만 켬↔끄기(껐다 켜기)는 가능하다. 2026년 4월 업데이트(KB5083769) 이후 지원 PC에서는 Windows 보안 앱에서 재설치 없이 토글할 수 있다. 「평가 복귀」와 「껐다 켜기」는 다른 이야기다.

4. 껐다 켜기 — 재설치 신화와 2026년 변경

오랫동안 알려진 규칙은 이랬다. 끔 → 켬은 Windows 재설치(또는 초기화) 없이는 불가능하다. 그래서 「개발 도구 때문에 잠깐 끄면 보호를 영구히 잃는다」는 인식이 퍼졌다.

2026년 4월 누적 업데이트(KB5083769) 이후, Microsoft 공식 FAQ 문구도 바뀌었다. Recent Windows updates allow Smart App Control to be enabled without requiring a clean installation. 즉, 지원되는 기기에서는 Windows 보안 앱에서 재설치 없이 켬↔끄기를 할 수 있다. Computerworld 등 기술 매체도 같은 시점을 기준으로 업데이트했다.

그림 4. 2026년 4월 업데이트부터 재설치 없이 껐다 켤 수 있다

다만 주의할 점이 있다.

1. 기능은 단계적 배포라 기기마다 토글이 열리는 시점이 다를 수 있다.
2. 원래 SAC를 쓸 수 있었던 조건(클린 설치 계열·Secure Boot 등)이 없으면 토글이 의미 없거나 설정이 안 보일 수 있다.
3. 구버전 문서·블로그에는 여전히 「재설치 필수」가 남아 있다. 지금 PC에서 켬/끄기가 되면 그 기기는 새 동작이 적용된 상태다.

5. 방화벽과의 차이

둘은 이름이 「보안」으로 묶여도 감시 대상이 완전히 다르다.

그림 2. 실행 문지기와 네트워크 게이트는 감시하는 층이 다르다

비유하면 방화벽은 건물 경비 게이트다. 누가 드나드는지(네트워크 입출입)를 본다. 이미 건물 안에 있는 사람이 무엇을 하는지는 기본 관심사가 아니다. SAC는 채용 심사관에 가깝다. 신원(서명)·평판이 애매하면 애초에 건물(실행)에 들이지 않는다.

그래서 SAC를 꺼도 방화벽 보호는 유지된다. 반대로 방화벽만 강하게 잡아도, SAC가 켠 상태면 실행 자체가 막힐 수 있다. Cursor Agent 오류처럼 「파일이 정책에 의해 차단됐다」는 메시지는 방화벽 로그보다 Code Integrity / AppLocker / SAC 쪽을 먼저 본다.

5.1. 인바운드와 아웃바운드

방화벽 규칙을 나눌 때:

1. 인바운드 — 바깥에서 내 PC로 들어오려는 접속(원격 침입 시도 등)
2. 아웃바운드 — 내 PC 프로그램이 밖으로 나가는 통신(데이터 유출·C2 통신 등)

개발자가 로컬 서버 포트를 열거나 Docker를 쓸 때는 방화벽 규칙이 필요할 수 있다. 그건 SAC와 별개다.

6. SmartScreen·백신·AppLocker와의 차이

Windows에는 「막는」 기능이 여러 겹이다. 오류 문구만 보고 한 기능으로 단정하지 않는 편이 낫다.

SmartScreen은 「위험한가?」에 가깝고, SAC·WDAC·AppLocker는 「승인된 실행인가?」에 가깝다. 같은 클라우드 평판 인프라를 일부 공유해도 강제력과 UI가 다르다.

회사·학교 PC라면 개인이 SAC만 끄고도 WDAC/AppLocker가 남아 같은 .node를 막을 수 있다. 개인 PC라도 예전에 AppLocker DLL 규칙을 켠 적이 있으면 같은 증상이 난다.

7. 설정 방법

7.1. 스마트 앱 컨트롤 켜기·끄기

1. Windows 보안 앱을 연다 (시작 메뉴에서 「Windows 보안」 검색).
2. 왼쪽 앱 및 브라우저 컨트롤을 고른다.
3. 스마트 앱 컨트롤 설정으로 들어간다.
4. 켬 / 평가 / 끄기 중 하나를 선택한다. 끄기로 바꿀 때 확인 창이 뜨면 내용을 읽고 확인한다.

그림 6. Windows 보안의 앱 및 브라우저 컨트롤에서 스마트 앱 컨트롤을 켬·평가·끄기로 선택하는 실제 화면

관리자 권한이 필요할 수 있다. 토글이 회색이면 (a) 아직 KB5083769 계열 롤아웃 전, (b) SAC 미지원 구성, (c) 조직 정책으로 잠김 중 하나다.

7.2. 방화벽 설정 위치 (혼동 방지)

방화벽은 같은 Windows 보안 앱의 방화벽 및 네트워크 보호에 있다. SAC 화면과 메뉴가 다르다. 인바운드/아웃바운드 고급 규칙은 wf.msc(고급 보안이 포함된 Windows Defender 방화벽)에서 본다.

8. 에이전트·프로그램이 실행 안 될 때

대표 증상은 터미널에서 이런 식이다.

• Error: An Application Control policy has blocked this file.
• 경로 예: C:/Users/.../AppData/Local/cursor-agent/versions/.../file_service.win32-x64-msvc.node

.node 파일은 Windows에서 DLL과 비슷하게 로드된다. AppLocker를 쓰는 환경이면 DLL 규칙이 영향을 줄 수 있다.

그림 5. .node 차단이면 SAC부터 보고, 끄져도 막히면 이벤트 뷰어로 간다

8.1. 진단 순서

1. 스마트 앱 컨트롤 상태를 확인한다. 켬이면 끄고 같은 명령을 다시 실행해 본다. (2026년 4월 이후 업데이트 PC는 나중에 다시 켤 수 있는 경우가 많다.)
2. 이미 끄기인데도 막히면 SAC가 아니다. 이벤트 뷰어를 연다 (eventvwr.msc).
3. AppLocker: 응용 프로그램 및 서비스 로그 → Microsoft → Windows → AppLocker → EXE and DLL
4. WDAC / Code Integrity: 응용 프로그램 및 서비스 로그 → Microsoft → Windows → CodeIntegrity → Operational
5. 차단 이벤트에 파일 경로와 정책/규칙 이름이 나온다. 그 이름에 맞춰 AppLocker 허용 규칙을 추가하거나, 회사 PC면 IT에 경로를 전달한다.

개인 PC에서 AppLocker를 직접 켠 적이 있다면 secpol.msc → 응용 프로그램 제어 정책 → AppLocker → DLL 규칙에서 감사만으로 바꾸거나, cursor-agent 폴더 허용 규칙을 검토한다. 회사 관리형이면 관리자 권한으로도 정책을 못 바꾸는 경우가 많다.

8.2. 꺼도 되는가 — 개인 개발 PC

개발·에이전트·자체 빌드가 많은 개인 PC에서는 SAC가 생산성을 자주 깎는다. 공식도 「개별 예외 없음」이므로, 실무적으로는 끄는 선택이 흔하다. 대신 아래는 유지하는 편이 낫다.

1. Microsoft Defender(실시간 보호)
2. SmartScreen(다운로드·피싱 경고)
3. Windows 방화벽

SAC 하나 없다고 보안이 「전부 꺼진」 상태는 아니다. 다만 실행 전 자동 차단 층은 빠지므로, 출처 불명 실행 파일은 더 조심하는 게 맞다.

9. 상황별 선택표

10. 마무리

앞에서 다룬 스마트 앱 컨트롤과 방화벽의 핵심만 짧게 정리한다.

• SAC는 실행 전 문지기, 방화벽은 네트워크 게이트다. 서로 대체하지 않는다.
• 차단 기준은 평판·서명이고, 앱별 예외는 없다.
• 켬 / 평가 / 끄기 중 고르며, 평가 복귀는 어렵다.
• 2026년 4월(KB5083769) 이후 많은 PC에서 재설치 없이 껐다 켜기가 된다. 기기마다 롤아웃 시점이 다르다.
• Application Control policy has blocked this file 는 방화벽보다 SAC → 이벤트 뷰어(AppLocker/WDAC) 순으로 본다.
• 개인 개발 PC는 SAC를 꺼도 Defender·SmartScreen·방화벽이 남는다. 정책·메뉴 문구는 Windows 업데이트로 바뀔 수 있으니, 최종 확인은 Windows 보안 앱과 Microsoft 지원 FAQ를 본다.

「막히는 건 통신이 아니라 실행인 경우가 많다」 — 오류에 Application Control이 보이면 방화벽 규칙부터 만지지 말고, 스마트 앱 컨트롤 상태와 이벤트 뷰어부터 확인하면 시간을 줄일 수 있다.

자주 묻는 질문

• 스마트 앱 컨트롤과 Windows 방화벽은 같은 기능인가요?

  아닙니다. 스마트 앱 컨트롤은 프로그램이 실행되기 전에 평판과 서명으로 허용 여부를 가리고, 방화벽은 이미 실행된 프로그램의 네트워크 통신(포트·IP·규칙)을 통제합니다. 한쪽을 꺼도 다른 쪽은 그대로입니다.

• 스마트 앱 컨트롤을 끄면 다시 못 켜나요?

  예전에는 끄면 Windows 재설치·초기화 없이는 다시 켜기 어려웠다. 지금은 지원 PC에서 껐다 켜기가 된다. 2026년 4월 누적 업데이트(KB5083769) 이후 Microsoft FAQ도 클린 설치 없이 다시 켤 수 있다고 안내한다. 기기마다 단계적 배포라 토글이 아직 안 열리는 PC도 있다. 평가 모드로 되돌리는 것과는 별개다.

• Cursor Agent에서 Application Control policy has blocked this file 가 뜹니다. 방화벽인가요?

  대부분 방화벽이 아닙니다. Application Control은 실행 허용 정책(스마트 앱 컨트롤, AppLocker, WDAC) 쪽입니다. 먼저 Windows 보안에서 스마트 앱 컨트롤이 켬인지 확인하고, 끄기인데도 막히면 이벤트 뷰어의 AppLocker·CodeIntegrity 로그를 봅니다.

• 막힌 앱만 예외로 허용할 수 있나요?

  스마트 앱 컨트롤에는 개별 앱 예외가 없습니다. Microsoft 공식 FAQ도 끄거나 개발자에게 코드 서명을 요청하라고 안내합니다. AppLocker/WDAC는 관리자가 경로·게시자 규칙을 넣을 수 있지만, 그건 SAC와 다른 정책입니다.

• 평가 모드는 무엇인가요?

  평가(Evaluation)는 차단하지 않고 사용 패턴을 관찰하는 모드입니다. 적합하면 켬으로, 방해가 크면 끄기로 바뀌는 경우가 많습니다. 한 번 켬/끄기로 고정되면 평가 모드로 되돌리기는 어렵다고 알려져 있습니다.

• 스마트 앱 컨트롤을 끄면 백신이 꺼지나요?

  아니요. Microsoft는 SAC가 안티바이러스를 대체하지 않는다고 명시합니다. 끈 뒤에도 Microsoft Defender, SmartScreen, Windows 방화벽은 독립적으로 동작합니다. 다만 실행 전 자동 차단 층은 빠지므로 출처 불명 실행 파일은 더 조심하는 편이 좋습니다.

• Windows 10에도 스마트 앱 컨트롤이 있나요?

  없습니다. 스마트 앱 컨트롤은 Windows 11 기능입니다. Windows 10에서는 SmartScreen·Defender·방화벽·(필요 시) AppLocker 등으로 실행·다운로드를 관리합니다.

• .node 파일이 막히면 AppLocker에서 어디를 보나요?

  .node 네이티브 모듈은 DLL처럼 로드되는 경우가 많아 AppLocker의 DLL 규칙이 영향을 줄 수 있습니다. 이벤트 뷰어의 AppLocker → EXE and DLL 로그와, secpol.msc의 AppLocker DLL 규칙 강제/감사 여부를 확인합니다.