ZitPit: Consumer-Side Admission Control for Agentic Software Intake

1. 문제 정의 (Problem)

AI 기반 IDE 와 코딩 에이전트 (Agentic Development) 의 등장으로 소프트웨어 도입 (Intake) 프로세스가 급격히 변화했습니다.

• 통합된 위험 루프: 개발자가 AI 에게 "이 저장소를 설정해 줘"라고 요청하면, 에이전트는 저장소 복제, 메모리 파일 열기, 의존성 설치, 빌드 훅 실행, 스크립트 호출 등을 인간이 검토할 수 있는 영구적인 체크포인트에 도달하기 전에 즉시 수행합니다.
• 관측 가능성의 부재: 기존 보안 도구들 (출처 증명, 패키지 방화벽, 런타임 보호, 도구 승인 프롬프트 등) 은 이 과정의 일부만 커버할 뿐, **최종 소비자가 실행을 결정하는 단계 (Consumer-side execution decision)**에서는 여전히 사각지대가 존재합니다.
• 핵심 질문: "이 외부 아티팩트가 이 보호된 호스트에서 실행될 자격을 얻었는가?"에 대한 명확하고 영구적인 정책 결정이 결여되어 있습니다.

2. 방법론 및 아키텍처 (Methodology & Architecture)

ZitPit 는 100% 오픈소스 Rust 기반 시스템으로, 외부 아티팩트가 보호된 개발자 또는 CI 호스트에서 실행 권한을 얻기 전에 **영구적인 정책 이벤트 (Policy Event)**로 변환되어야 한다는 철학을 따릅니다.

• 핵심 개념:

  • First-Seen (최초 관측): ZitPit 가 관리하는 신뢰 도메인에서 처음 관찰된 외부 아티팩트 (Git ref, 패키지, 설치 파일 등).
  • 정책 이벤트 (Policy Event): 선택자가 해결되고 평가된 후 생성되는 영구 기록. 실행 권한 부여 여부와 그 근거를 남깁니다.
  • 보호된 호스트 (Protected Host): ZitPit 에 의해 실행 권한이 통제되는 개발자 또는 CI 환경.

• 4 단계 승인 파이프라인:

  1. Acquire (획득): 외부 요청을 가장 강력한 불변 식별자 (Immutable Identity) 로 해결합니다.
  2. Build (빌드): 단순 획득과 빌드/설치 시 실행을 분리합니다.
  3. Execute (실행): 호스트 실행 환경에 포괄적인 신뢰가 아닌, **기능 범위 (Capability-scoped)**에 따른 권한을 부여합니다.
  4. Publish (게시): 출시 아티팩트 및 워크플로우 출력을 선택적으로 검사합니다.

• 기능 범위별 판단 (Capability-Scoped Verdicts): 단순 허용/차단 이분법을 넘어 세분화된 결정을 내립니다.

  • FETCH_ONLY: 다운로드만 허용, 실행 차단.
  • UNPACK_ONLY: 압축 및 정적 검사만 허용.
  • BUILD_NO_NETWORK: 네트워크 접근 없이 빌드만 허용.
  • RUN_DEV / RUN_CI: 승인된 의존성에 대해 보호된 호스트에서 실행 허용 (최신성/신원 확인 조건부).
  • BLOCKED: 악성 또는 지원되지 않는 입력 차단.

• 증거 및 검증:

  • Mirage Lab: 동적 분석을 통해 증거를 생성하고 운영자가 검토할 수 있도록 돕지만, 안전성을 보장하는 오라클 (Oracle) 은 아님.
  • Provenance Consumption: TUF, Sigstore, in-toto, SLSA 등 기존 표준 신호를 대체하지 않고 소비하여 정책 결정에 활용합니다.

3. 주요 기여 (Key Contributions)

• 새로운 경계 설정: 에이전트 워크플로우를 위한 **소비자 측 승인 제어 (Consumer-side Admission Control)**라는 새로운 보안 경계를 정의했습니다.
• 통합 아키텍처: 아티팩트 승인, 저장소 개방 상태 (Repo-open state), 기능 범위 실행, 영구 정책 기록을 하나의 경계에서 통합합니다.
• 실용성 증명: "전체 생태계를 차단한다"는 과장된 주장 대신, **구현 가능한 부분 (Git 스마트-HTTP, 보호 세션, 통제된 외부 송신)**에 대한 구체적인 증거를 제시합니다.
• 오픈소스 시스템: ZitPit 자체를 오픈소스로 공개하여 투명성과 검증을 가능하게 합니다.

4. 결과 및 평가 (Results & Evaluation)

논문은 광범위한 주장보다는 구체적인 증거에 집중합니다.

• 성능 벤치마크 (Git Smart-HTTP):

  • 5 개의 공개 저장소 (git, go, node, cpython, terraform) 를 대상으로 승인된 경로와 비관리형 공개 네트워크를 비교했습니다.
  • 결과: 승인된 불변 아티팩트 (Approved Immutable Intake) 는 관리되지 않는 공개 네트워크보다 더 빠른 속도로 처리될 수 있음을 입증했습니다.
    • 웹 (Web): 433~1062ms
    • 디스크 캐시 (Cache): 32~44ms
    • 핫 캐시 (Hot-cache): 13~16ms
  • 의미: 승인 제어 (Admission Control) 가 실제 개발 워크플로우에 도입되려면 성능 저하가 없어야 하며, ZitPit 는 이를 달성할 수 있음을 보였습니다.

• 보안 기능 구현 상태:

  • Implemented (구현됨): Git 스마트-HTTP 입력, 보호된 세션 (비밀 키 읽기 차단 등), 통제된 외부 송신 (DLP).
  • Partial (부분 구현): Rust 빌드 타임 실행, GitHub Actions 불변 참조.
  • Planned (계획됨): npm/PyPI/원본 설치기 매개, 저장소 개방 (Repo-open) 표면의 깊은 제어.

5. 의의 및 시사점 (Significance)

• 아키텍처적 전환: 에이전트 시대의 보안은 단순히 악성 코드를 찾는 것을 넘어, 외부 소프트웨어가 로컬 권한을 얻기 전의 '승인' 단계를 명확히 하는 데 초점을 맞춰야 함을 강조합니다.
• 소규모 조직 지원: 대기업은 내부 미러나 커스텀 정책 팀으로 분산된 통제를 흡수할 수 있지만, 소규모 팀은 ZitPit 와 같은 통합된 소비자 측 경계가 필수적입니다.
• 거버넌스 중요성: 승인 시스템이 개발 인프라의 핵심이 될 경우, 정책 메모리와 증거 형식의 투명성 및 이식성이 중앙 집중화 권력 남용을 방지하는 데 중요합니다.
• 현실적인 접근: ZitPit 는 모든 위험을 제거한다고 주장하지 않습니다. 대신 "알 수 없는 아티팩트가 정책 평가 전에 보호된 호스트 실행 권한을 얻지 못한다"는 명확한 원칙을 세우고, 이를 구현 가능한 기술로 증명합니다.

결론

ZitPit 는 AI 에이전트 개발 환경에서 발생하는 새로운 형태의 공급망 위험에 대응하기 위해, 외부 아티팩트가 실행되기 직전에 정책 기반의 승인 단계를 거치도록 하는 소비자 측 제어 계층을 제안합니다. 이는 기존 보안 도구들의 사각지대를 메우며, 성능 저하 없이도 강력한 보안 경계를 구축할 수 있음을 실증적으로 보여줍니다.