지금까지 기업들은 AI 로봇에게 일을 시켰지만, **"이 로봇이 정말 내 명령대로만 했는지, 중간에 해커가 끼어들어 엉뚱한 일을 하지 않았는지"**를 확인하는 확실한 방법이 없었습니다.
비유: 마치 아기에게 집 열쇠를 주고 "집에 가라"고 시킨 것과 같습니다. 아기가 (혹은 AI 가) 길을 잃거나, 나쁜 사람이 아기를 속여서 엉뚱한 곳으로 데려가도, 부모님 (기업) 은 그 사실을 나중에 알 수 있을 뿐, 막을 수 없습니다.
현재의 한계: 기존 보안 시스템 (RBAC, 제로 트러스트 등) 은 '사람'이 로그인할 때만 작동합니다. 하지만 AI 로봇은 사람이 아니므로, "누가 시켰는지", "어떤 권한을 가졌는지"를 실시간으로 검증하는 새로운 시스템이 필요했습니다.
🛡️ 2. ACP 는 무엇인가요? (해결책)
ACP 는 **AI 로봇이 일을 하기 직전에 통과해야 하는 '엄격한 보안 검색대'**입니다.
비유:공항의 보안 검색대를 생각해보세요.
신원 확인: "당신은 정말 그 항공사 직원인가요?" (신원 증명)
권한 확인: "당신은 이 비행기를 탈 수 있는 티켓을 가지고 있나요?" (능력 토큰)
위험 평가: "지금 비행기 탑승이 위험한 상황은 아닌가요?" (리스크 평가)
승인: 위 세 가지가 모두 맞아야만 **탑승권 (실행 토큰)**을 주고 비행기 (시스템) 에 탑승시킵니다.
ACP 는 이 과정을 암호학적으로 완벽하게 기록합니다. 만약 AI 가 실수를 하거나 해킹당하면, 검색대에서 바로 막아냅니다.
🔑 3. 핵심 원리 3 가지 (어떻게 작동할까요?)
① "내 이름은 내 손으로 증명해" (암호학적 신원)
이해: AI 는 "나는 회사 A 의 로봇이야"라고 말만 하는 게 아닙니다. 디지털 서명이라는 고유한 도장을 찍어서 증명해야 합니다.
비유: 은행에서 돈을 찾을 때, "저는 김철수입니다"라고 말하는 게 아니라 본인 명의의 신분증과 도장을 보여줘야 하는 것과 같습니다. ACP 는 이 도장을 위조할 수 없도록 만듭니다.
② "권한은层层으로 전달되지만, 원래 권한을 넘을 수 없다" (위임 체인)
이해: 사장님이 팀장에게 권한을 주고, 팀장이 직원에게 권한을 줄 수 있습니다. 하지만 직원이 사장님보다 더 큰 권한을 가질 수는 없습니다.
비유:가족 카드를 생각해보세요. 아빠가 아이에게 카드를 빌려주면, 아이는 아빠가 설정한 한도 (예: 5 만 원) 까지만 쓸 수 있습니다. 아이가 10 만 원을 쓰려고 하면 카드가 거절됩니다. ACP 는 이 '한도'가 중간에 변조되지 않았는지 수학적으로 확인합니다.
③ "한 번만 쓰는 티켓" (실행 토큰)
이해: AI 가 일을 하려고 할 때, 시스템은 "좋아, 이 일만 해"라고 한 번만 쓸 수 있는 티켓을 줍니다. 그 티켓을 다시 쓰려고 하면 거절됩니다.
비유:테마파크의 단일 이용권과 같습니다. "공룡 놀이기구"를 타려고 티켓을 냈는데, 그 티켓으로 "유리잔 놀이기구"를 타려고 하면 안 되고, 이미 탔던 놀이기구에 다시 타려고 해도 안 됩니다.
🌍 4. 회사끼리도 믿을 수 있게 (기업 간 협력)
이제 AI 로봇은 한 회사 안에서만 일하지 않고, 다른 회사의 시스템과도 일을 합니다. (예: A 은행의 AI 가 B 은행의 시스템에서 송금을 처리하는 경우)
문제: A 은행은 B 은행의 내부 시스템을 모릅니다. 어떻게 믿을 수 있을까요?
ACP 의 해결: A 은행은 B 은행의 AI 가 가진 디지털 서명만 확인하면 됩니다. B 은행의 내부 시스템이 해킹당했든 말든, 그 AI 가 가진 서명이 A 은행의 규칙과 맞으면 통과시킵니다.
비유:여권과 같습니다. 내가 외국에 갔을 때, 그 나라 경찰은 내가 가진 여권 (신원 증명) 만 보고 입국을 허가합니다. 내 나라의 내부 시스템이 어떻게 돌아가는지 알 필요 없이, 여권의 진위만 확인하면 되는 것입니다.
📝 5. 왜 중요한가요? (결론)
이 논문은 **"AI 를 믿고 맡기는 게 아니라, AI 를 통제할 수 있는 시스템을 만들자"**고 주장합니다.
감시와 책임: AI 가 무엇을 했는지, 왜 했는지, 누가 시켰는지 **변조할 수 없는 기록 (블록체인 같은 장부)**이 남습니다. 나중에 문제가 생기면 이 기록을 통해 누구의 잘못인지 명확히 밝힐 수 있습니다.
안전한 성장: 이 규격이 있어야만 기업들은 AI 를 더 과감하게 도입할 수 있습니다. "AI 가 미쳐 날뛰면 어떡하지?"라는 두려움 대신, "ACP 가 지켜주고 있으니 안심하고 일시켜라"라는 믿음이 생기기 때문입니다.
💡 한 줄 요약
"ACP 는 AI 로봇이 일을 할 때, '누가 시켰는지', '권한이 있는지', '위험하지 않은지'를 암호로 검증하고 기록하는, AI 를 위한 '안전한 교통법규'입니다."
이 기술은 2026 년 3 월 기준으로 초안 (Draft Standard) 단계이며, 이미 Go 언어로 만들어진 테스트 버전과 문서가 공개되어 있어 기업들이 이를 도입해 볼 수 있는 준비가 되어 있습니다.
Agent Control Protocol (ACP) v1.13 기술 요약
1. 개요 (Overview)
ACP (Agent Control Protocol) 는 B2B 기관 환경에서 자율 에이전트 (Autonomous Agents) 의 거버넌스를 위한 공식 기술 사양입니다. 에이전트의 의도 (Intent) 와 시스템 상태 변경 (State Mutation) 사이에 입문 제어 (Admission Control) 계층을 도입하여, 모든 에이전트 행동이 실행되기 전에 암호학적 검증, 권한 범위 확인, 위임 체인 검증, 정책 준수 여부를 동시에 통과해야만 하도록 설계되었습니다. 이는 기존 RBAC(역할 기반 접근 제어) 나 Zero Trust 모델이 해결하지 못한 "자율 에이전트의 행동 통제 및 감사" 문제를 해결하기 위해 고안되었습니다.
2. 해결하려는 문제 (The Problem)
구조적 공백 (Structural Gap): 현재 자율 에이전트는 의사결정과 실행이 동일한 사건으로 처리됩니다. 인간이 수행하는 경우 책임 소재가 명확하지만, 에이전트의 경우 실행 전 검증 단계가 부재하여 권한을 초과하거나 악성화된 행동이 시스템에 직접 적용될 수 있습니다.
기존 기술의 한계:
RBAC: 인간 사용자를 위한 정적 역할 권한에 적합하며, 동적인 에이전트 위임과 실행 증명을 지원하지 못합니다.
Zero Trust: 네트워크 접근 제어에 중점을 두며, 에이전트의 행동 범위와 위험 평가, 기관 간 감사 추적성을 제공하지 못합니다.
구체적 시나리오: 금융 에이전트가 권한 없는 에이전트로부터 지시를 받아 자금을 이체할 경우, 이를 차단하거나 실행 경로를 재구성할 수 있는 기술적 메커니즘이 부재합니다.
3. 방법론 및 핵심 메커니즘 (Methodology & Key Mechanisms)
ACP 는 Kubernetes 의 Admission Controller 패턴을 에이전트 행동에 적용하여, 실행 전 6 단계의 암호학적 검증을 수행합니다.
3.1 아키텍처 및 검증 흐름
신원 확인 (Identity Check): 에이전트가 주장하는 신원이 맞는지 확인 (ACP-AGENT, ACP-HP).
역량 확인 (Capability Check): 해당 행동을 수행할 유효한 토큰을 보유하고 있는지 확인 (ACP-CT, ACP-DCMA).
정책 확인 (Policy Check): 현재 정책 하에서 허용 가능한 행동인지 위험 평가 (ACP-RISK).
승인/거부/상향 (Admit/Deny/Escalate): 검증 결과에 따른 결정.
실행 토큰 발급 (Execution Token): 승인된 단일 사용 (Single-use) 암호학적 증명 발급 (ACP-EXEC).
감사 원장 기록 (Audit Ledger): 모든 결정과 결과를 불변의 서명된 원장에 기록 (ACP-LEDGER).
3.2 주요 기술 구성 요소
암호학적 신원 (Cryptographic Identity): 에이전트 ID 는 base58(SHA-256(Ed25519_public_key))으로 생성되며, 사용자명이나 임의 ID 를 사용하지 않습니다.
역량 토큰 (Capability Token, CT): 에이전트가 무엇을, 언제, 어디에서 할 수 있는지를 정의하는 서명된 JSON 객체입니다. 만료 시간, 위임 깊이, 부모 해시 등을 포함합니다.
소유권 증명 (Proof-of-Possession, PoP): 토큰 소지자가 실제 개인키를 보유하고 있음을 매 요청마다 암호학적 챌린지로 증명해야 합니다 (세션 없이 상태 비저장).
결정론적 위험 평가 (Deterministic Risk Evaluation): ML 이 아닌 결정론적 함수를 사용하여 위험 점수 (0100) 를 산출합니다. 에이전트의 자율성 레벨 (04) 에 따라 승인, 상향 검토, 거부가 결정됩니다.
검증 가능한 위임 체인 (Verifiable Chained Delegation): 위임은 위임자의 권한을 초과할 수 없으며 (Privilege Escalation 방지), 위임 깊이 제한과 전파적 취소 (Transitive Revocation) 를 지원합니다.
기관 간 신뢰 (Inter-Institutional Trust):ITA (Institutional Trust Anchor) 를 통해 기관별 공개키를 등록하고, MRA (Mutual Recognition Agreement) 를 통해 기관 간 상호 신뢰를 구축합니다.
감사 원장 (Audit Ledger): 모든 이벤트 (생성, 승인, 거부, 실행 등) 를 이전 이벤트 해시를 포함하는 체인 형태로 기록하여 변조 불가능성을 보장합니다.
4. 주요 기여 (Key Contributions)
공식 기술 사양 (Formal Specification): ACP v1.13 은 36 개의 기술 문서로 구성된 Draft Standard 로, 5 개의 준수 수준 (L1~L5) 을 정의합니다.
참조 구현 (Reference Implementation): Go 언어로 작성된 22 개의 패키지를 포함한 완전한 참조 구현체와 51 개의 서명된 준수 테스트 벡터 (Ed25519 + SHA-256) 를 제공합니다.
기관 간 상호 운용성 (B2B Interoperability): 서로 다른 기관의 에이전트가 상호작용할 때, 내부 인프라를 신뢰하지 않고도 암호학적 증명만으로 접근을 통제하고 감사할 수 있는 프로토콜을 정의했습니다.
금지된 행동 (Prohibited Behaviors) 정의: 12 가지의 금지된 행동 (예: 서명 검증 생략, 실행 토큰 재사용, 원장 수정 등) 을 명시하여 준수성을 명확히 구분합니다.
OpenAPI 3.1.0 사양: 모든 HTTP 엔드포인트에 대한 표준 API 명세를 제공합니다.
5. 결과 및 성과 (Results)
보안 속성 보장: Ed25519 서명과 JCS(Jose Canonicalization) 를 통해 무결성, 부인 방지 (Non-replay), 위임에 의한 권한 상승 방지를 수학적으로 보장합니다.
STRIDE 위협 모델 대응: 스푸핑, 변조, 부인, 정보 유출, DoS, 권한 상승 등 주요 위협에 대해 구체적인 완화 전략을 제시합니다.
실제 적용 시나리오: 금융 (기관 간 결제), 디지털 정부 (문서 처리), 기업 AI (다중 기업 오케스트레이션), 핵심 인프라 (모니터링) 등 다양한 분야에서 ACP 를 적용한 구체적인 사용 사례를 제시했습니다.
준수성 검증: Go 참조 구현체의 모든 패키지가 go test를 통과했으며, 51 개의 테스트 벡터를 통해 L1~L4 수준의 기능이 검증되었습니다.
6. 의의 및 중요성 (Significance)
자율 에이전트의 거버넌스 표준화: 에이전트의 "능력"을 높이는 것이 아니라, 기관 환경에서 "통제 가능 (Governable)"하게 만드는 첫 번째 공식 기술 표준입니다.
감사 및 책임 소재 명확화: 모든 행동에 대한 불변의 감사 로그를 생성하여 외부 감사 및 규제 준수 (Compliance) 를 용이하게 합니다.
기존 보안 모델과의 공존: RBAC 나 Zero Trust 를 대체하지 않고, 그 위에 에이전트 특화 거버넌스 레이어를 추가하여 기존 인프라를 보호합니다.
확장성: 중앙 집중식 ITA 에서부터 분산형 (L5) 까지 확장 가능한 아키텍처를 제공하며, 양자 내성 암호화 등 미래 기술로의 전환을 고려한 로드맵을 제시합니다.
결론적으로, ACP 는 자율 에이전트가 기관 환경에서 대규모로 배포되기 위해 필수적인 "입문 제어" 계층을 제공하며, 암호학적 증명과 결정론적 검증을 통해 에이전트 행동의 투명성, 안전성, 그리고 책임성을 확보하는 핵심 프로토콜입니다.