기술 요약: 에이전트형 결제 프로토콜을 위한 제로 트러스트 런타임 검증

1. 문제 정의

상업적 거래를 실행할 수 있는 자율형 AI 에이전트의 배포는 대화형 세션 기반 권한 부여에서 명령 기반 프로토콜, 구체적으로 유니버설 커머스 프로토콜(UCP) 및 에이전트 결제 프로토콜(AP2)으로의 전환을 필연적으로 요구하게 되었습니다. AP2는 암호학적 무결성, 인증 및 만료 의미론과 같은 명세 수준의 보안 보장을 제공하지만, 이러한 보장은 자율 에이전트의 복잡한 런타임 동작을 추상화하여 제외하는 가정들에 의존합니다.

실제 에이전트 환경에서는 자동 재시도, 병렬 작업 실행, 에이전트 간 위임, 관측성 기반 재생(observability-driven replays)과 같은 동작이 나타납니다. 이러한 역학 관계는 명령(mandate) 사용에 대한 암묵적 가정에 도전하는 시간적 및 맥락적 복잡성을 초개합니다. 특히, 본 논문은 프로토콜 설계와 런타임 현실 사이의 격차를 식별합니다. AP2 명령은 암호학적으로는 유효하지만, 유효 기간 내에 여러 번 소비되거나(재생/replay) 의도하지 않은 실행 컨텍스트로 리다이렉션될 경우(컨텍스트 바인딩 실패/context-binding failure) 오용될 수 있습니다. 저자들은 명세 수준의 정확성이 비동기적이고 고도로 동시적인 에이전트 런타임에서 보안 실행을 보장하지는 않는다고 주장합니다.

2. 방법론 및 시스템 모델

이러한 집행 격차를 해결하기 위해, 저자들은 제로 트러스트 런타임 검증(Zero-Trust Runtime Verification, ZTRV) 프레임워크를 제안합니다. 시스템 모델은 다음 세 가지 엔티티로 구성됩니다:

• 사용자 에이전트 (A): 암호학적 명령을 보유한 자율 엔티티.
• 가맹점 엔드포인트 (M): 거래를 이행하는 서비스 제공자.
• 런타임 검증기 (V): 에이전트와 가맹점 사이에 위치한 신뢰할 수 있는 미들웨어 컴포넌트(보안 게이트웨이 역할).

ZTRV는 최소한의 시간 제한적 상태(time-bounded state)로 보강된 상태가 없는(stateless) 검증 게이트웨이로 작동합니다. 이는 모든 명령 기반 요청이 결제 인프라에 도달하기 전에 명시적인 검사를 통과하도록 하는 엄격한 페일 클로즈드(fail-closed) 검증 파이프라인을 강제합니다.

핵심 메커니즘

본 프레임워크는 두 가지 주요 메커니즘을 통해 보안을 강제합니다:

1. 맥락 인식 바인딩 (Context-Aware Binding):
   각 명령은 특정 런타임 실행 컨텍스트에 암호학적으로 바인딩됩니다. 검증기는 실행 속성(예: task.id, agent.id, merchant.id, scope)을 기반으로 해시($H_{ctx}$)를 계산하고, 이를 명령의 서명에 포함된 해시와 비교합니다. 불일치가 발생하면 즉시 거부되어, 명령이 서로 다른 작업, 에이전트 또는 가맹지에서 재사용되는 것을 방지합니다.

2. 동적 단회 소비 논스 레지스트리 (Dynamic Consume-Once Nonce Registry):
   재생 공격(동일 컨텍스트 및 교차 컨텍스트 모두 포함)을 방지하기 위해, 시스템은 "단회 소비(consume-once)" 의미론을 강제합니다. 각 명령에는 고유하게 생성된 동적 논스(nonce)가 포함됩니다. 검증기는 분산 데이터 구조로 구현된 슬라이딩 윈도우 논스 레지스트리를 유지하여 원자적 체크 앤 셋(atomic check-and-set) 연산을 수행합니다. 논스는 유효 기간($\Delta t$) 내에서 단 한 번만 수락됩니다. 이는 멱등적 실행을 보장하며, 고도의 동시성 환경에서도 동일한 명령이 여러 번 소비되는 것을 방지합니다.

검증 알고리즘은 명령 파싱, 암호학적 서명 및 신선도(freshness) 검증, 컨텍스트 무결성 확인, 원자적 논스 소비, 그리고 최종 요청 승인의 5단계로 진행됩니다.

3. 주요 기여

본 논문은 다음과 같은 구체적인 기여를 합니다:

• 위협 모델링: AP2 명령 실행에 대한 체계적인 위협 모델을 제시하여, 동일 컨텍스트 재생(T1), 교차 컨텍스트 재생(T2), 컨텍스트 누출 유발 오용(T3), 관측성 기반 재생(T4)과 같은 특정 위협을 식별했습니다.
• 집행 격차 식별: 저자들은 AP2 명세가 실제 에이전트의 재시도 및 오케스트레이션에 필요한 검증기 측의 상태 기반 실행 의미론(예: 단회 소비 강제 및 엄격한 실행 시점 컨텍스트 바인딩)에 대한 규범적 정의가 부족함을 입증했습니다.
• 프레임워크 설계: 정적 발행 속성을 넘어 실행 시점에 명시적 컨텍스트 바인딩과 단회 소비 의미론을 강제하는 ZTRV 프레임워크를 도입했습니다.
• 경험적 평가: 시뮬레이션 기반 평가를 통해, 컨텍스트 인식 바인딩과 단회 소비 강제가 각각 독립적이면서도 상호 보완적임을 입증했습니다. 즉, 어느 하나만으로는 모든 클래스의 명령 오용을 방지하기에 충분하지 않습니다.

4. 실험 결과

프레임워크는 표준 AP2 체크(서명 및 만료)만 수행하는 베이스라인 검증기와 비교하여 고도의 동시성 조건(최대 초당 10,000건의 트랜잭션)에서 평가되었습니다.

• 보안 효과성: ZTRV는 평가된 모든 공격 시나리오(재생 및 컨텍스트 리다이렉션 공격)에서 100% 차단율을 달 기록했습니다. 반면, 베이스라인 검증기는 테스트된 공격을 전혀 차단하지 못했습니다.
• 성능 오버헤드: 프레임워크는 피크 처리량에서도 약 3.8 ms의 안정적인 검증 지연 시간을 유지했습니다. 오버헤드는 주로 암호학적 서명 검증에서 발생했으며, 컨텍스트 바인딩 및 논스 레지스트리 연산은 무시할 만한 추가 비용만을 발생시켰습니다.
• 확장성: 저장소 오버헤드에 대한 연구 결과, 요구되는 런타임 상태는 누적 트랜잭션 이력이 아닌 피크 동시성에 의해 제한됨을 보여주었습니다. 10,000 TPS에서 60초의 논스 윈도우를 적용하더라도 메모리 풋프린트는 약 12 MB로 매우 적게 유지되어, 클라우드 네이티브 배포에 적합함을 나타냈습니다.
• 절제 연구 (Ablation Studies): 메커니즘을 분리하여 수행한 실험을 통해, 컨텍스트 바인딩만으로는 교차 컨텍스트 공격을 방지할 수 있지만 동일 컨텍스트 재생에는 실패하며, 단회 소비 강제만으로는 재생은 방지할 수 있지만 컨텍스트 리다이렉션에는 실패한다는 점을 확인했습니다. 두 메커니즘의 결합만이 포괄적인 보호를 제공했습니다.

5. 의의 및 주장

본 논문은 제안된 프레임워크가 에이전트 결제 시스템의 프로토콜 가정과 런타임 현실 사이의 결정적인 격차를 메운다고 주장합니다. 실행 시점에 권한 부여 속성을 강제함으로써, ZTRV는 상당한 성능 오버헤드를 부과하지 않으면서도 재생 및 컨텍스트 바인딩 실패를 완화합니다.

저자들은 자신들의 접근 방식이 휴리스틱 기반의 부정 결제 탐지 시스템(오탐 및 미탐에 취약함)과 달리 결정론적 보안 보장을 제공한다는 점을 강조합니다. 또한, 런타임 보안 강화를 통해 예측 가능한 최소한의 오버헤드로 견고한 에이전트 결제 실행을 달성할 수 있다고 주장합니다.

본 연구는 런타임 강제가 자율 시스템을 위한 보안 엔지니어링의 기초적인 구성 요소로 간주되어야 한다고 결론짓습니다. ZTRV가 실행 계층의 오용은 해결하지만, 에이전트의 의도를 조작하는 시맨틱 공격(예: 프롬프트 인젝션)은 방지하지 못하며, 기반이 되는 암호학적 프리미티브가 침해되지 않았음을 전제로 한다는 점을 명시합니다. 향후 연구로는 검증기를 더욱 강화하기 위한 신뢰 실행 환경(TEE)의 통합이 제안되었습니다.