💻 computer science

PAuth - Precise Task-Scoped Authorization For Agents

이 논문은 기존 OAuth 와 같은 광범위한 권한 부여 모델의 한계를 극복하고, 사용자의 자연어 태스크에 필요한 구체적인 작업만 암묵적으로 승인하는 정밀한 작업 범위 기반 권한 부여 모델인 PAuth 를 제안하고 AgentDojo 를 통해 그 정확성을 검증했습니다.

원저자: Reshabh K Sharma, Linxi Jiang, Zhiqiang Lin, Shuo Chen

게시일 2026-03-19

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Reshabh K Sharma, Linxi Jiang, Zhiqiang Lin, Shuo Chen

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

1. 문제: "열쇠를 너무 많이 주는 현상" (기존 방식의 한계)

지금까지 우리가 AI 비서에게 일을 시킬 때 (예: 은행 앱, 쇼핑 사이트), OAuth라는 방식을 썼습니다. 이를 비유하자면 다음과 같습니다.

상황: 당신이 AI 비서에게 "내 통장에서 밥 친구인 '철수'에게 1 만 원을 보내줘"라고 요청했다고 가정해 봅시다.
기존 방식 (OAuth): 은행은 AI 비서에게 **"어떤 금액이든, 누구에게든 보낼 수 있는 '송금 열쇠' (전체 권한)"**를 줍니다.
문제점: AI 비서가 이 '송금 열쇠'를 가지고 있기에, 만약 AI 가 해킹당하거나 실수를 해서 "철수" 대신 "나쁜 사람"에게 1 억 원을 보낸다면, 은행은 **"아, 이 열쇠는 송금할 수 있는 권한이 있으니 통과시켜야지"**라고 생각하며 그대로 실행해버립니다.
결과: AI 는 우리가 원치 않는 일을 하더라도 막을 수 없는 **'과도한 권한 (Overprivileged)'**을 갖게 됩니다.

2. 해결책: PAuth (정확한 작업 범위 권한)

이 논문은 PAuth라는 새로운 시스템을 제안합니다. 핵심은 **"작업의 맥락 (Context) 을 이해하고, 그 안에서만 허용한다"**는 것입니다.

🍳 비유: "명확한 레시피와 재료를 가진 요리사"

PAuth 는 AI 비서를 **"명확한 레시피만 보고 요리하는 요리사"**로 바꿉니다.

사용자의 요청 (레시피):
- 당신은 AI 에게 "통장 잔고가 1,000 달러를 넘으면, 그 4 분의 1 을 철수에게 보내줘"라고 말합니다.
- 이 요청은 AI 가 아니라, 서버 (은행) 가 직접 분석합니다.
NL 슬라이스 (NL Slice) - "예상되는 행동 청사진":
- 서버는 당신의 요청을 분석해서 **"내가 기대하는 정확한 행동"**을 수학적으로 정의합니다.
- 예시: "철수에게 보내는 금액 = (잔고 ÷ 4) 이고, 잔고는 1,000 달러를 넘어야 한다."
- 서버는 AI 가 이 '청사진'과 다른 행동을 하면 즉시 막습니다.
봉투 (Envelope) - "신분증과 출처가 찍힌 영수증":
- AI 가 "잔고가 1,200 달러입니다"라고 말하면, 서버는 그냥 믿지 않습니다.
- 대신 AI 는 **"1,200 달러라는 숫자가 어떻게 나왔는지 증명하는 봉투"**를 가져와야 합니다.
- 이 봉투에는 **"은행이 직접 계산한 1,200 달러"**라는 내용과 **"서명"**이 들어있습니다.
- 만약 AI 가 임의로 "1,200 달러"라고 거짓말하거나, "철수" 대신 "나쁜 사람"에게 보내려고 하면, 봉투 속의 계산 과정이 레시피 (청사진) 와 맞지 않아서 서버가 "거부!"라고 외칩니다.

3. 실제 작동 원리 (간단한 시나리오)

상황: "내 카카오톡 잔고가 1,000 원 이상이면, 250 원만 친구 A 에게 보내줘."

서버 (은행) 의 준비:
- 서버는 "친구 A 에게 250 원 보내기"라는 명령이 나올 때, **"잔고가 1,000 원 이상이어야 하고, 금액은 잔고의 4 분의 1 이어야 한다"**는 규칙 (SLICE) 을 미리 만들어 둡니다.
AI 의 행동:
- AI 가 은행에 "잔고 조회"를 요청합니다. 서버는 **"1,200 원"**이라고 답하고, 이 숫자가 어디서 왔는지 증명하는 서명된 봉투를 줍니다.
- AI 가 친구 A 에게 300 원을 보내려 합니다. (해킹당했거나 실수한 경우)
서버의 검증 (PAuth 의 마법):
- 서버는 AI 가 가져온 "300 원"이라는 숫자를 봉투에서 확인합니다.
- "1,200 원의 4 분의 1 은 300 원이 맞나?" -> 아니요, 300 원은 1,200 원의 4 분의 1 이 아닙니다 (정확히는 300 원이어야 하는데, AI 가 300 원이라고 했지만 계산식이 안 맞거나, 혹은 301 원이라면 더 안 맞음).
- 결과: 서버는 **"이건 내가 기대한 레시피와 다르다!"**라고 판단하고 요청을 거부합니다.

4. 왜 이것이 중요한가요?

기존 방식: "이 비서에게 모든 권한을 줘라. 믿어라." (위험함)
PAuth 방식: "이 비서는 오직 '이 특정 작업'을 할 때만, '이 특정 조건'이 맞을 때만 권한을 준다." (안전함)

이 시스템은 AI 가 해킹당하거나, AI 가 스스로 착각해서 (할루시네이션) 엉뚱한 일을 하려 해도, 서버가 "이건 사용자가 원한 일이 아니야"라고 자동으로 막아줍니다.

5. 결론

이 논문은 AI 시대에 **"과도한 권한을 주지 않고, 오직 필요한 순간에만 필요한 만큼의 권한을 주는 정교한 시스템"**을 만들 수 있음을 증명했습니다.

마치 **현금 인출기 (ATM)**가 "카드만 있으면 무조건 돈을 뽑을 수 있는 게 아니라, 비밀번호와 잔고 확인이라는 '작업 범위'를 통과해야만 돈을 뺄 수 있는 것"처럼, AI 도 우리의 작업을 할 때 정확한 맥락과 조건을 통과해야만 실행되도록 만드는 것입니다.

이 기술이 보편화되면, 우리는 AI 비서에게 은행 계좌나 중요한 데이터를 맡겨도 훨씬 더 안심할 수 있게 될 것입니다.

1. 문제 정의 (Problem)

최근 등장한 **에이전트 웹 (Agentic Web)**은 AI 에이전트가 자연어 (NL) 기반의 작업을 수행하기 위해 기존 웹 서비스와 상호작용하는 환경을 지향합니다. 그러나 현재의 권한 부여 모델은 이러한 비전에 적합하지 않습니다.

기존 모델의 한계 (OAuth): 현재 표준인 OAuth 는 '연산자 (Operator) 스코프' 기반 권한 부여를 사용합니다. 즉, 에이전트에게 특정 도구 (예: transfer 함수) 를 사용할 수 있는 광범위한 권한을 부여합니다.
과도한 권한 (Overprivilege): 사용자가 "$100 을 Bob 에게 송금하라"는 구체적인 작업을 요청하더라도, 에이전트는 임의의 금액을 임의의 수신자에게 보낼 수 있는 광범위한 TRANSFER 권한을 갖게 됩니다.
보안 위험: 에이전트가 프롬프트 인젝션 (Prompt Injection) 공격이나 환각 (Hallucination) 으로 인해 의도치 않은 작업 (예: $10000 송금) 을 수행하더라도, 서버는 이를 차단할 수 있는 정밀한 권한 검증 메커니즘이 부재합니다.

2. 제안된 방법론 (Methodology)

저자들은 **정밀 작업 범위 암시적 권한 부여 (Precise Task-Scoped Implicit Authorization, PAuth)**라는 새로운 모델을 제안합니다. 이는 사용자가 구체적인 자연어 작업을 제출하면, 에이전트가 이를 충실히 실행하는 데 필요한 구체적인 작업만 암시적으로 승인되는 방식입니다.

PAuth 의 핵심 구성 요소는 다음과 같습니다.

2.1. NL Slice (자연어 슬라이스)

정의: 사용자가 제출한 작업 (Task) 과 상위 단계의 결과물을 바탕으로, 각 서버가 기대하는 호출의 상징적 (Symbolic) 명세를 생성합니다.
기능: 이는 단순한 함수 호출이 아니라, let (값 바인딩) 과 assert (조건부) 절을 포함하는 명세입니다.
예시: "Citi 카드 잔고가 1000 달러를 초과하면, Chase 계좌에서 그 1/4 을 Citi 에게 송금하라"는 작업의 경우, Chase 서버는 Chase.transfer(sender, recipient, Citi.getBalance()/4)와 같은 구체적인 계산 로직과 조건 (balance > 1000) 을 포함하는 슬라이스를 생성합니다.
작동 원리: 에이전트가 서버에 실제 호출을 보낼 때, 그 호출이 생성된 슬라이스와 일치하는지 검증합니다. 일치하지 않으면 (예: 금액이 다름, 수신자가 다름) 명시적인 사용자 확인을 요구합니다.

2.2. Envelope (봉투)

정의: 구체적인 값 (Concrete Value) 과 그 값이 생성된 **상징적 출처 (Symbolic Provenance)**를 바인딩하는 데이터 구조입니다.
목적: 에이전트가 조작하거나 환각한 값을 서버가 신뢰할 수 없으므로, 각 매개변수 (Operand) 값이 작업에 의해 유도된 계산의 결과임을 증명해야 합니다.
구조: <구체적 값, 상징적 계산식> 형태로 구성되며, 해당 값을 생성한 서버가 서명 (Signature) 합니다.
검증: 서버는 수신된 호출의 Envelope 을 확인하여, 구체적인 값이 슬라이스에 정의된 상징적 계산식과 일치하는지, 그리고 그 계산식이 이전 단계의 신뢰할 수 있는 데이터 (서명된 Envelope) 에서 유래했는지 검증합니다.

3. 주요 기여 (Key Contributions)

새로운 권한 부여 패러다임: 에이전트 웹을 위한 '연산자 중심'이 아닌 **'작업 중심 (Task-Scoped)'**의 정밀 권한 부여 모델을 처음 제안했습니다.
구현 메커니즘 (NL Slice & Envelope): 서버가 에이전트의 실행을 검증할 수 있도록, 자연어 작업을 상징적 코드로 변환하고 데이터 흐름을 추적하는 두 가지 핵심 기법을 설계했습니다.
프로토타입 및 평가:
- 에이전트 보안 평가 프레임워크인 AgentDojo와 멀티 호스트 환경에서 PAuth 를 구현했습니다.
- 100 개의 정상 작업과 634 개의 강제 주입 (Forced Injection) 공격 시나리오를 포함하는 734 번의 테스트를 수행했습니다.

4. 평가 결과 (Results)

정밀도 (Precision): 모든 테스트에서 거짓 양성 (False Positive) 0 개, 거짓 음성 (False Negative) 0 개를 기록했습니다.
- 정상 작업은 추가 권한 요청 없이 성공적으로 실행되었습니다.
- 공격 시나리오 (의도치 않은 연산자나 값이 포함된 호출) 에서는 PAuth 가 정확하게 권한 위반을 감지하고 차단했습니다.
LLM 의 역할: 작업에서 명령형 코드 (Imperative Code) 를 생성하는 단계 (A1) 에 LLM 이 사용되었으며, GPT-4.1 등 최신 모델들이 복잡한 작업도 정확하게 코드화할 수 있음을 확인했습니다. 슬라이스 생성 및 규칙 검증은 결정론적 (Deterministic) 으로 수행됩니다.
비용: 작업당 토큰 비용은 $0.002 ~$ 0.038 수준으로, 향후 LLM 발전에 따라 더욱 감소할 것으로 예상됩니다.

5. 의의 및 결론 (Significance)

보안 원칙의 재정의: 에이전트 웹에서 '최소 권한의 원칙 (Least Privilege)'을 달성하기 위해, 광범위한 토큰 권한 대신 작업의 의도 (Intent) 에 기반한 정밀한 검증이 필수적임을 입증했습니다.
실용성: PAuth 는 에이전트가 악성 코드나 인젝션 공격에 의해 조작되더라도, 서버가 개별 호출의 정합성을 검증함으로써 사용자의 자산을 보호할 수 있음을 보여줍니다.
미래 전망: OAuth 와의 점진적 통합 (고감도 서비스는 PAuth 적용, 저감도 서비스는 OAuth 유지) 과 대화형 컨텍스트에서의 자연어 모호성 해결을 위한 추가 연구가 필요함을 제시했습니다.

요약하자면, PAuth 는 AI 에이전트가 사용자의 복잡한 작업을 수행할 때, 에이전트에게 광범위한 권한을 부여하는 대신 각 서버가 작업의 논리적 흐름 (Slice) 과 데이터 출처 (Envelope) 를 실시간으로 검증하여, 오직 의도된 작업만 허용하는 정밀한 보안 프레임워크입니다.