기술 요약: 에이전트가 기밀을 처리할 때: 에이전트형 AI 를 위한 기밀 컴퓨팅에 대한 조사

1. 문제 제기

대규모 언어 모델 (LLM) 기반 에이전트의 배포는 독립형 모델 추론과 구별되는 위협 표면 (threat surface) 을 도입합니다. 상태 없는 쿼리 - 응답 시스템과 달리, 에이전트형 AI 시스템은 자율적으로 계획을 수립하고, 외부 도구를 호출하며, 영구 메모리를 유지하고, 모델 컨텍스트 프로토콜 (MCP) 및 에이전트 간 (A2A) 과 같은 프로토콜을 통해 동급 에이전트와 조정합니다. 이러한 확장된 운영 범위는 프롬프트 가드나 출력 분류기와 같은 소프트웨어 계층 방어로는 완전히 해결할 수 없는 취약점을 생성하며, 특히 모델 가중치를 검사하거나, 대화 기록을 유출하거나, 전송 중인 도구 출력을 조작할 수 있는 권한이 있는 인프라 적대자 (예: 타락한 클라우드 운영자 또는 하이퍼바이저) 에게 취약합니다.

완전 동형 암호화 (FHE) 와 같은 암호학적 접근법은 엄격한 보장을 제공하지만, 그 계산 오버헤드는 상호작용이 필요한 수십억 파라미터 작업 부하에는 비실용적입니다. 본 논문은 기존 조사들이 에이전트 보안 또는 독립형 추론을 위한 기밀 컴퓨팅 (CC) 을 각각 다루지만, 하드웨어 기반 신뢰 (신뢰 실행 환경, TEE) 가 전체 다단계 에이전트 스택에 어떻게 적용되는지에 대한 지속적인 초점이 부족하다는 중요한 간극을 식별합니다. 구체적으로, 에이전트 시스템은 단일 호출 추론을 넘어 도구 호출 격리, 영구 메모리 기밀성, 그리고 에이전트 간 메시지 출처 보호가 필요합니다.

2. 방법론

본 논문은 에이전트형 AI 를 위한 기밀 컴퓨팅의 설계 공간을 종합하기 위해 구조화된 조사 방법론을 사용합니다.

• 코퍼스 구성: 기밀 LLM 추론 및 에이전트 보안 연구에서 파생된 시드 세트를 통해 문헌을 수집하고, 역방향/정방향 눈덩이 표집법과 표적 키워드 검색 (예: TEE, 엔클레이브, 어테스테이션, MCP, A2A) 을 통해 확장했습니다.
• 분류 프로토콜: 선정된 핵심 논문들은 TEE 서브스트레이트, 운영 클래스 (독립형 추론, 도구 사용 단일 에이전트, 워크플로우 에이전트, 다중 에이전트 시스템), 보호된 에이전트 계층, 적대자 클래스, 그리고 보안 목표를 기준으로 코딩되었습니다. 도구 사용, 워크플로우 실행, 영구 메모리, 또는 에이전트 간 조정을 보호하는 시스템만이 '직접적 에이전트형 (directly agentic)'으로 분류되었습니다.
• 분석 렌즈: 분석은 세 가지 차원을 중심으로 구성됩니다:
  1. 기능적 에이전트 계층: 지각 (Perception), 계획 (Planning), 메모리, 행동 (Action), 조정 (Coordination).
  2. 적대자 권한: 외부 공격자 (A1) 에서 타락한 공동 테넌트 (A2), 악의적인 인프라 운영자 (A3), 타락한 동급 에이전트 (A4) 로 이어지는 범위.
  3. 배포 경계: 프로세스 엔클레이브, 기밀 VM(CVM), 보안 월드/Realm 격리, 그리고 CPU 에서 GPU 로의 기밀 실행.

3. 주요 기여

A. 통합 TEE 플랫폼 분류 체계

본 논문은 에이전트 배포와 관련된 여섯 가지 TEE 플랫폼에 대한 비교 분류 체계를 제시합니다: Intel SGX, Intel TDX, AMD SEV-SNP, ARM TrustZone, ARM CCA, 그리고 NVIDIA H100 CC. 분석은 여섯 가지 축을 통해 이들을 평가합니다:

• 격리 세분성: 프로세스 수준 (SGX) 대 VM 수준 (TDX, SEV-SNP) 대 Realm 수준 (CCA).
• TCB 크기: 신뢰 컴퓨팅 기반 (Trusted Computing Base) 의 크기.
• 가속기 기밀성: 플랫폼이 GPU 메모리 (예: NVIDIA H100 CC) 로 신뢰를 확장하는지, 아니면 CPU 중심에 머무르는지.
• 에지 배포 가능성: 모바일/에지 대 클라우드 데이터센터에 대한 적합성.
• 엔클레이브 간 통신 비용: 격리된 구성 요소 간 통신의 오버헤드.
• 어테스테이션 모델: 원격 검증을 위한 메커니즘.

B. 에이전트 중심 위협 모델

저자들은 적대적 능력을 구체적인 보안 목표로 매핑하는 5 계층 위협 모델을 공식화합니다:

1. 지각: 사용자 프롬프트 및 검색된 문서의 수집.
2. 계획/추론: LLM 핵심 처리 및 도구 선택.
3. 메모리: 단기 컨텍스트, 장기 벡터 저장소, 그리고 KV 캐시.
4. 행동/도구 실행: 외부 API 및 실제 세계 도구의 호출.
5. 조정: 에이전트 간 위임 및 통신.

이 모델은 입력 기밀성, 모델 기밀성, 실행 무결성, 메모리 기밀성, 도구 호출 무결성, 메시지 진위성, 출처, 신선도 (freshness), 그리고 사이드 채널 저항성이라는 9 가지 보안 목표에 매핑됩니다.

C. CC 방어에 대한 비교 조사

본 조사는 위협 모델에 비추어 대표 시스템들 (예: TEESlice, CMIF, TEECHAT, Omega, AttestMCP, CAEC, BlockA2A) 을 분석합니다. 주요 발견 사항은 다음과 같습니다:

• 추론 대 에이전트형: 현재 대부분의 증거는 독립형 추론 (지각/계획 계층) 에 대한 입력 및 모델 기밀성을 지원합니다.
• 간극: 영구 메모리, 도구 호출 무결성, 그리고 다중 에이전트 조정에 대한 보호는 부분적입니다.
• 직접적 에이전트형 시스템: Omega(SEV-SNP + NVIDIA H100 CC)와 같은 시스템은 어테스테이션 게이트가 적용된 도구 접근을 갖춘 종단 간 기밀 런타임을 보여주며, CAEC(ARM CCA) 는 다중 에이전트 협력을 위한 기밀 공유 메모리를 가능하게 합니다.

D. 열린 연구 과제

본 논문은 여섯 가지 중요한 열린 과제를 종합합니다:

1. 복합 어테스테이션: 사용자 → 오케스트레이터 → 전문가 → 도구와 같은 다중 홉 에이전트 체인 전반에 걸친 전이적 신뢰 확립.
2. TEE 기반 RAG: 검색 작업이 어테스테이션에 의해 게이트되는 검증된 벡터 저장소 생성.
3. CC 인식 프로토콜: 어테스테이션, 출처, 그리고 신선도를 네이티브로 지원하도록 MCP 와 A2A 재설계.
4. 사이드 채널 누출: 자기회귀 추론 패턴 (예: KV 캐시 접근) 에 특화된 마이크로아키텍처 누출 해결.
5. GPU-TEE 성능: 405B 이상의 파라미터 규모 LLM 과 동시 다중 에이전트 작업 부하 하에서의 오버헤드 특성화.
6. 규제 정렬: 기술적 어테스테이션 증거와 준수 요구 사항 (예: EU AI 법, DORA) 간의 간극 해소.

4. 결과 및 발견

• 하드웨어 성숙도: 하드웨어 신뢰 원시 (SGX, TDX, SEV-SNP, CCA, H100 CC) 는 표적 배포에 충분히 성숙했으나, 단일 플랫폼이 에이전트 설계 공간을 지배하지는 않습니다.
• 선택적 보호: 실용적인 설계는 전체 에이전트 스택을 포괄하려는 시도 (이는 종종 메모리 및 I/O 제약으로 인해 비현실적임) 대신, 가장 가치 있는 계층 (예: 시스템 프롬프트 및 자격 증명 보호) 과 신뢰 경계를 일치시킵니다.
• CC 의 한계:
  • CC 는 권한이 있는 인프라 운영자로부터 사용 중인 데이터를 보호하지만, 의미론적 프롬프트 인젝션 (A1) 을 방지하거나 외부 입력의 진실성을 보장하지는 않습니다.
  • 어테스테이션은 어떤 코드가 실행되는지를 확립할 뿐, 해당 코드의 목표가 인간의 의도와 일치하는지는 보장하지 않습니다.
  • 사이드 채널 공격 (타이밍, 캐시, 버스 경쟁) 은 특히 공동 테넌트 적대자에게 중요한 위험으로 남아 있습니다.
  • 가용성은 보장되지 않습니다. TEE 는 메모리 용량 제한, 어테스테이션 서비스 의존성 등 새로운 운영적 취약점을 도입합니다.
• 플랫폼별 세부 사항:
  • Intel SGX: 민감한 구성 요소의 세분화된 격리에 가장 적합하지만, EPC 용량 제한과 네이티브 GPU 신뢰 확장 부재로 인해 제한적입니다.
  • Intel TDX/AMD SEV-SNP: 에이전트 서비스의 클라우드 규모 '리프트 앤 쉬프트'에 적합하지만, VM 간 기밀 공유 메모리에 대한 도전 과제가 있습니다.
  • ARM CCA: 다중 Realm 조정 및 에지/클라우드 하이브리드 배포에 유망하지만, 더 새로운 연구 프로토타입에 의존합니다.
  • NVIDIA H100 CC: 대규모 모델 추론 기밀성에 필수적이지만, 종단 간 시스템 무결성을 위해 신뢰할 수 있는 CPU 측 루트 (예: TDX) 가 필요합니다.

5. 중요성 및 주장

본 논문은 기밀 컴퓨팅이 소프트웨어 전용 방어들이 남긴 간극을 메우며, 권한이 있는 인프라 적대자에 대한 에이전트형 AI 를 위한 필수적인 하드웨어 기반 방어 서브스트레이트를 제공한다고 주장합니다. 그러나 저자들은 겸손한 입장을 유지합니다:

• 부분적 해결책: CC 는 에이전트 안전성, 모델 견고성, 또는 종단 간 시스템 신뢰성에 대한 일반적인 해결책이 아닙니다. 이는 특정 보안 목표 (기밀성, 실행 무결성) 를 다루지만, 의미론적 불일치나 입력 신뢰성을 해결할 수는 없습니다.
• 구성적 미래: 앞으로의 길은 순수한 아키텍처적 돌파구보다는 검증된 메모리 서비스, 프로토콜 네이티브 출처 메커니즘, 그리고 GPU 인식 성능 특성화를 결합하는 구성적 진보에 있습니다.
• 현재 상태: 여러 하드웨어 원시가 성숙했지만, "생산용 에이전트형 AI 를 위한 일관된 보안 서브스트레이트로 이를 통합하는 광범위하게 정립된 종단 간 프레임워크는 아직 존재하지 않습니다." 본 조사는 설계 공간을 정의하고, 추론 전용 시스템으로부터의 전이성 (및 부재) 을 강조하며, 파일럿 배포에서 규제된 생산급 에이전트 시스템으로 이동하기 위해 필요한 구체적인 과제를 규정하는 역할을 합니다.