OpenPort Protocol: AI 에이전트 도구 접근을 위한 보안 거버넌스 사양

1. 문제 정의 (Problem Statement)

현대 AI 에이전트는 외부 시스템의 데이터 읽기 및 제어된 쓰기 작업을 수행하기 위해 구조화된 도구 (Tool) 를 호출합니다. 그러나 초기 배포는 브라우저 자동화나 일회성 내부 API 에 의존하는 경우가 많아, 실제 프로덕션 환경에서 다음과 같은 치명적인 거버넌스 결함을 노출하고 있습니다.

• 권한 관리의 부재: 최소 권한 (Least Privilege) 원칙이 적용되지 않아 불필요한 데이터 접근이나 위험한 작업이 발생할 수 있습니다.
• 예측 불가능한 실패 처리: 에이전트가 잘못된 도구를 호출하거나, 잘못된 인자로 호출할 때 일관된 오류 처리 및 복구 메커니즘이 없습니다.
• 쓰기 작업의 위험성: 승인 없이 직접적인 쓰기 (Write) 작업이 수행되어 데이터 손상이나 악의적인 조작이 발생할 수 있습니다.
• 감사 (Auditability) 의 부족: 어떤 결정이 내려졌는지, 어떤 토큰이 사용되었는지, 어떤 부작용이 발생했는지에 대한 명확한 기록이 부족합니다.
• 악용 및 오버로드: 토큰 유출이나 프롬프트 인젝션 (Prompt Injection) 으로 인한 도구 악용, 과도한 호출로 인한 서비스 거부 (DoS) 위험이 존재합니다.

기존의 도구 발견 (Discovery) 메커니즘은 충분하지만, **"도구를 안전하게 노출하는 것"**을 보장하는 거버넌스 계층이 부재한 것이 핵심 문제입니다.

2. 방법론 (Methodology)

OpenPort Protocol (OPP) 은 AI 에이전트와 애플리케이션 간의 상호작용을 제어하는 **서버 측 게이트웨이 (Server-side Gateway)**를 기반으로 한 거버넌스 중심의 프로토콜 사양입니다.

핵심 설계 원칙

1. 거버넌스 우선 (Governance-First): 클라이언트 (에이전트) 가 정직하다고 가정하지 않고, 모든 권한 부여, 정책 제약, 위험 제어는 서버 측에서 강제합니다.
2. 권한 의존적 발견 (Authorization-Dependent Discovery): /manifest 엔드포인트를 통해 에이전트가 볼 수 있는 도구 목록은 현재 부여된 권한 (Scope) 과 정책에 따라 동적으로 결정됩니다. 권한이 없는 도구는 아예 노출되지 않습니다.
3. 안정적인 응답 및 오류 코드: 에이전트 런타임이 예측 가능하게 복구할 수 있도록 일관된 응답 구조와 agent.* 접두사를 가진 기계 판독 가능한 오류 코드 (Reason Codes) 를 정의합니다.
4. 위험 게이트를 통한 쓰기 (Risk-Gated Writes): 쓰기 작업은 기본적으로 초안 (Draft) 생성으로 처리되며, 자동 실행은 명시적으로 허용된 경우에만 제한된 시간 내에 가능합니다.

주요 기술 메커니즘

• Draft-First Write Pipeline: 모든 쓰기 요청은 먼저 검토 가능한 초안 (Draft) 으로 저장됩니다. 고위험 작업의 경우 관리자 (Human-in-the-loop) 의 승인 과정을 거친 후 실행됩니다.
• Preflight Hash Binding: 고위험 작업의 경우, 실행 전 preflight 단계를 거쳐 영향도 요약 (Impact Summary) 과 해시 값을 생성합니다. 실제 실행 시 이 해시 값이 일치해야만 허용되며, 이는 시간 간격 (TOCTOU) 문제와 무결성을 보장합니다.
• Idempotency (멱등성): (appId, idempotencyKey) 쌍을 사용하여 동일한 요청이 중복 실행되는 것을 방지하고, 에이전트의 재시도 (Retry) 를 안전하게 처리합니다.
• State Witness (선택적): 승인 지연 동안 시스템 상태가 변경될 수 있는 경우, 실행 시점에 사전 조건 (Precondition) 을 재검증하여 상태 불일치 시 실행을 차단합니다.
• Admission Control (입력 제어): 토큰 유출 시 피해를 제한하기 위해 키/IP 기반의 엄격한 속도 제한 (Rate Limiting) 을 적용하며, 거부된 요청은 초안이나 부작용을 생성하지 않습니다.
• Audit-First Governance: 허용/거부/실패 모든 경로에서 구조화된 감사 이벤트 (Audit Event) 를 생성하여 사고 대응 및 규정 준수를 지원합니다.

3. 주요 기여 (Key Contributions)

이 논문은 세 가지 주요 공헌을 제시합니다:

1. 프로토콜 수준의 사양: AI 에이전트에게 안전한 도구 노출을 위한 엔드포인트, 응답 구조, 도구 메타데이터, 오류 분류 체계를 정의했습니다.
2. 보안 거버넌스 모델:
   • 스코프 (Scope) 와 ABAC(속성 기반 접근 제어) 정책의 결합.
   • 초안 우선 쓰기 파이프라인과 고위험 작업에 대한 안전 장치 (Preflight, 멱등성, 상태 증인).
   • 강제 감사 이벤트 및 속도 제한/할당량 (Quota) 관리.
3. 안전한 오픈소스 진화를 위한 엔지니어링 방법론:
   • 준수 테스트 (Conformance Tests), 퍼징/악용 회귀 테스트, 릴리스 게이트 스캔을 포함한 실행 가능한 거버넌스 도구 체인.
   • 프로토콜 불변량 (Invariants) 을 외부에서 검증 가능한 형태로 정의하여 릴리스 시 보안이 약화되지 않도록 보장합니다.

4. 결과 및 평가 (Results & Evaluation)

저자들은 OpenPort 의 참조 런타임 (Reference Runtime) 을 구현하고, v0.1.0 태그를 기준으로 외부에서 재현 가능한 검증을 수행했습니다.

• 검증 방법: 블랙박스 준수 테스트, 부정적 보안 테스트 (Negative Security Tests), 퍼징/악용 회귀 테스트를 결합했습니다.
• 주요 결과:
  • 불변량 준수: 권한 의존적 발견, 즉시 취소 (Revocation), 초안 우선 쓰기, 멱등성 매핑 등 핵심 프로토콜 불변량이 테스트를 통과했습니다.
  • 오류 처리 안정성: malformed 입력이나 악의적인 요청에 대해 5xx 오류가 발생하지 않고, 일관된 4xx 오류 코드와 응답 구조를 반환함을 확인했습니다.
  • 보안 통제: 토큰 유출 시 즉시 차단, 권한이 없는 도구 숨김, 고위험 작업에 대한 승인 흐름이 정상 작동함을 입증했습니다.
  • 감사 추적: 모든 허용/거부/실패 경로에서 상관관계 ID 를 포함한 구조화된 감사 로그가 생성됨을 확인했습니다.

5. 의의 및 중요성 (Significance)

OpenPort Protocol 은 AI 에이전트 생태계의 성숙도를 높이는 데 중요한 역할을 합니다.

• 거버넌스 표준화: 에이전트 도구 접근을 단순한 API 호출이 아닌, 엄격한 거버넌스 하에 있는 프로세스로 재정의합니다.
• 실제 프로덕션 환경 대응: 이론적인 모델이 아닌, 토큰 유출, 프롬프트 인젝션, 악의적인 오용 등 실제 발생할 수 있는 위협 시나리오에 대응할 수 있는 구체적인 메커니즘을 제공합니다.
• 검증 가능성: "안전하다"는 주장이 아닌, 외부에서 실행 가능한 테스트와 불변량을 통해 보안 속성을 검증할 수 있게 하여, 오픈소스 프로토콜의 신뢰성을 높입니다.
• 모델 및 런타임 중립성: 특정 AI 모델이나 런타임에 종속되지 않고, 기존 도구 생태계와 쉽게 통합될 수 있도록 설계되었습니다.

결론적으로 OpenPort 는 AI 에이전트가 실제 비즈니스 시스템과 안전하게 상호작용할 수 있도록 필요한 최소 권한, 통제된 쓰기, 예측 가능한 실패 처리, 완전한 감사를 보장하는 필수적인 거버넌스 레이어를 제공합니다.