Governed MCP: Kernel-Level Tool Governance for AI Agents via Logit-Based Safety Primitives

1. 문제 정의 (Problem)

AI 에이전트가 외부 도구 (파일 시스템, 네트워크, API 등) 를 호출하는 방식인 **모델 컨텍스트 프로토콜 (MCP)**이 표준화되고 있지만, 현재 안전성 (Safety) 통제 메커니즘은 근본적인 구조적 결함을 가지고 있습니다.

• 권한 경계의 부재: 기존 안전성 라이브러리 (NeMo Guardrails, AGT 등) 는 에이전트 프로세스와 동일한 주소 공간 (Userspace) 에서 실행됩니다.
• 우회 가능성: 에이전트 프로세스가 안전성 라이브러리를 우회하거나, 임의의 코드를 주입하여 통제 장치를 무력화할 수 있습니다. (예: 라이브러리 임포트 생략, 함수 재정의, 결과값 조작 등)
• 핵심 문제: 안전성 검사가 에이전트보다 높은 권한 (Privilege) 을 가진 영역 (커널) 에 존재하지 않기 때문에, 에이전트가 악의적이거나 조작된 입력을 통해 위험한 도구 호출을 수행하는 것을 막을 수 없습니다.

2. 방법론 (Methodology)

저자는 Anima OS(Rust 로 작성된 베어메탈 x86_64 운영체제) 내부에 Governed MCP라는 커널 거주형 (Kernel-resident) 도구 통제 게이트웨이를 제안합니다.

• 아키텍처:

  • 에이전트는 샌드박스화된 WASM 환경에서 실행되며, 시스템 리소스에 접근하기 위해서는 반드시 커널에 위치한 게이트웨이를 통과해야 합니다.
  • WASM ABI 의 모든 15 개 호스트 함수는 governance_check_host() 단일 진입점을 통해 게이트웨이로 라우팅됩니다.
  • 에이전트는 게이트웨이의 메모리에 접근하거나 커널 코드를 직접 호출할 수 없으므로, 설계상 우회가 불가능합니다.

• 6 단계 파이프라인 (Six-Layer Pipeline):
  모든 도구 호출은 다음 6 단계의 고정된 순서로 처리됩니다.

  1. 스키마 유효성 검사 (Schema Validation): JSON-RPC 및 MCP 명세 준수 여부 확인.
  2. 신뢰 계층 확인 (Trust Tier Check): 에이전트의 출처와 서명을 기반으로 한 신뢰 등급 (System, AiNative 등) 과 도구의 최소 요구 등급 매칭.
  3. 속도 제한 (Rate Limit): 토큰 버킷 방식을 통한 도구 호출 빈도 제한.
  4. 적대적 사전 필터 (Adversarial Pre-filter): 프롬프트 인젝션 패턴 (Base64, ROT13, 명령어 위장 등) 을 정규식 (Regex) 으로 탐지.
  5. ProbeLogits 게이트 (Semantic Check): 핵심 레이어. 로드된 추론 모델 (LLM) 을 통해 '안전 (Safe)' 대 '위험 (Dangerous)'의 로짓 (Logit) 값을 직접 읽어 의미론적 의도를 판단합니다.
  6. 헌법적 정책 매칭 (Constitutional Policy): 배포 환경에 특화된 12 가지 원칙 (예: /etc/shadow 접근 금지) 에 대한 규칙 기반 검사.

• 감사 로그 (Audit Chain): 모든 결정은 Blake3 해시 체인으로 연결된 불변의 감사 로그에 기록됩니다.

• FAIL-CLOSED 전략: 추론 엔진이 사용 불가능한 경우, 모든 도구 호출을 차단하여 안전성을 보장합니다.

3. 주요 기여 (Key Contributions)

1. 커널 거주형 MCP 게이트웨이: 에이전트의 권한 경계 아래에서 의미론적 안전성 검사를 수행하는 최초의 시스템입니다.
2. ProbeLogits 의 필수성 입증: 추론 모델의 로짓 기반 의미론적 검사가 안전성 시스템의 핵심 (Load-bearing) 임을 실험적으로 증명했습니다.
3. WASM ABI 의 완전한 중재 (Complete Mediation): WASM 에서 시스템으로 가는 15 개 호스트 함수 중 123 개의 모든 실행 경로를 게이트웨이를 통해 통과하도록 설계 및 검증했습니다.
4. 오픈소스 베어메탈 구현: 약 86,000 줄의 Rust 코드로 작성된 Anima OS 를 통해, 전용 하드웨어나 하이퍼바이저 없이도 커널 수준의 거버넌스가 가능함을 시연했습니다.

4. 실험 결과 (Results)

• 성능 오버헤드:

  • 비추론 레이어 (1~4, 6 단계 및 감사 로그) 의 오버헤드는 호출당 65.3 µs에 불과합니다.
  • ProbeLogits 레이어 (추론) 는 7B 모델 (Q4_0) 기준 호출당 약 65 ms가 소요됩니다.
  • 전체 처리량: 단일 스레드 기준 초당 약 15 건의 도구 호출 처리 가능.

• 정확도 및 애블레이션 연구 (Ablation Study):

  • 전체 파이프라인 (6 단계): F1 점수 0.773 (정확도 83.2%).
  • ProbeLogits 제거 시: F1 점수가 0.327로 급락 (∆F1 = -0.446).
  • 의미: 단순한 규칙 기반 (Hand-rule) 방화벽만으로는 위험한 도구를 막을 수 없으며, 의미론적 이해 (Semantic Understanding) 가 필수적입니다.

• 비교: 기존 사용자 공간의 안전성 라이브러리 (NeMo Guardrails 등) 는 우회 가능하고 지연 시간 (1~5 초) 이 길지만, Governed MCP 는 커널 수준에서 우회를 방지하며 지연 시간을 크게 단축했습니다.

5. 의의 및 결론 (Significance)

• 패러다임 전환: AI 에이전트의 도구 호출은 운영체제의 '시스템 콜 (Syscall)'과 동일하므로, 이에 대한 통제는 애플리케이션 레이어가 아닌 커널 레이어에서 이루어져야 함을 주장합니다.
• 구조적 안전성: 에이전트가 통제 장치를 우회할 수 있는 권한 경계 (Privilege Boundary) 를 물리적으로 분리함으로써, 소프트웨어적 취약점 (우회 코드 작성 등) 을 근본적으로 차단합니다.
• 미래 방향: 추론 지연 시간 단축을 위한 GPU/NPU 오프로딩, 도구 출력 결과에 대한 사후 검사 (Post-execution probing), 그리고 멀티 테넌트 환경에서의 확장성 연구가 향후 과제로 제시되었습니다.

이 논문은 AI 에이전트의 자율성과 안전성을 동시에 확보하기 위해, 안전성 거버넌스를 운영체제의 기본 원리 (Reference Monitor) 로 재정의하고 구현한 선구적인 연구입니다.