기술 요약: 멀티테넌트 기업 환경에서 에이전트 보안 확보

1. 문제 제기

본 논문은 기업 환경 내에서 검색 증강 생성 (RAG) 및 에이전트 AI 시스템 배포 시 발생하는 근본적인 보안 격차에 대해 다룹니다. 학술적 접근이나 소비자용 API 는 종종 단일 테넌트 및 동질적인 데이터 접근을 전제하는 반면, 실제 기업 배포는 이질적인 데이터를 공유하며 공유 인프라를 사용하는 여러 테넌트, 엄격한 규제 준수, 그리고 세분화된 접근 제어 요구사항을 포함합니다.

식별된 핵심 문제는 관련성 - 권한 부여 격차입니다. 기존 검색 시스템 (벡터, 키워드, 또는 하이브리드) 은 의미적 관련성이나 키워드 매칭을 최적화하지만, 권한 부여 정책을 강제하는 네이티브 메커니즘이 부족합니다. 결과적으로, 한 테넌트의 쿼리가 관련성 지표에서 가장 높은 점수를 받은 경우, 다른 테넌트에 속한 기밀 데이터를 검색하여 노출시킬 수 있습니다. 이 격차는 다음과 같은 에이전트 시스템에서 더욱 심화됩니다:

• 도구 매개 노출: 에이전트가 종단 사용자 권한 대신 광범위한 자격 증명을 가진 도구를 호출할 때 발생합니다.
• 컨텍스트 누적: 다중 턴 대화에서 턴별 정책 재검증 없이 테넌트 간 데이터가 유출될 수 있습니다.
• 클라이언트 측 오케스트레이션: 보안에 중요한 논리를 잠재적으로 신뢰할 수 없는 클라이언트에 분산시켜 권한 부여 확인을 우회할 수 있게 합니다.

각 테넌트마다 전체 에이전트 스택 (벡터 저장소, 추론 엔드포인트 등) 을 복제하는 것과 같은 표준 격리 접근 방식은 비용이 과도하고 운영상 단편화되어 있다고 판단됩니다.

2. 방법론 및 아키텍처

저자들은 에이전트 AI 의 데이터 및 제어 경로를 보호하기 위해 서버 측 오케스트레이션을 통해 강제되는 계층적 격리 아키텍처를 제안합니다. 이 접근 방식은 OpenAI 호환 API 를 제공하는 벤더 중립 오픈소스 프레임워크인 OGX(Open GenAI Stack) 에서 구현되었습니다.

2.1 계층적 격리 (데이터 경로)

이 아키텍처는 서버 신뢰 경계 내에서 세 가지 명확한 계층을 통해 데이터 흐름을 보호합니다:

1. 정책 인식 수집: 문서 수집 시 테넌트 메타데이터 (소유권, 속성) 가 문서에 첨부됩니다. 이는 모든 문서 청크가 일관된 테넌트 속성을 상속받아 실수로 인한 테넌트 간 결합을 방지합니다.
2. 검색 게이트: 2 단계 강제 메커니즘이 적용됩니다:
   • 검색 전: 검색 시작 전에 속성 기반 접근 제어 (ABAC) 권한 부여가 평가됩니다.
   • 검색 후: 검색이 완료된 후 청크 수준 필터링이 적용됩니다.
   • 시스템은 대규모 환경에서 완벽한 재현율 (recall) 을 유지하기 위해 프레디킷 푸시다운(검색 중 벡터 백엔드가 필터를 네이티브로 적용) 을 지원합니다. 푸시다운을 사용할 수 없는 경우, 검색 후 필터링이 보안 (누출 제로) 을 보장하지만 대규모 코퍼스에서 재현율이 저하될 수 있습니다.
3. 공유 추론: 대규모 언어 모델 (LLM) 추론 계층은 테넌트 간에 공유됩니다. 레이어 1 과 2 가 승인된 문서만 프롬프트 컨텍스트에 진입하도록 보장하므로, 모델 자체는 테넌트별 격리가 필요 없어 인프라 비용을 $O(N \cdot M)$에서 $O(M)$으로 줄일 수 있습니다.

2.2 서버 측 오케스트레이션 (제어 경로)

클라이언트 측 우회 위험을 해결하기 위해, 저자들은 추론 $\to$ 도구 $\to$ 추론 루프의 서버 측 오케스트레이션을 옹호합니다.

• 신뢰 경계: 모든 보안 관련 작업 (도구 실행 권한 부여, 상태 격리, 정책 강제) 은 서버 프로세스 내에서 중앙 집중화됩니다.
• 트레이드오프: 이는 로컬 실행에 비해 도구 호출 시 지연 시간을 증가시키지만, 손상된 클라이언트가 필터를 건너뛰거나 도구 호출을 조작하는 것을 방지합니다.
• 하이브리드 접근: 이 아키텍처는 에이전트 구성 및 지연 시간에 민감한 작업에 대한 클라이언트 측 프레임워크의 제어권을 유지하면서도, 서버가 보안 불변량을 강제하도록 허용합니다.

3. 주요 기여

본 논문은 네 가지 주요 기여를 합니다:

1. 관련성 - 권한 부여 격차의 형식화: 저자들은 관련성 순위만으로는 격리가 불충분함을 수학적으로 정의하고, 게이트가 없는 검색이 98~100% 의 프로브에서 테넌트 간 데이터를 유출한다는 실증적 증거를 제시합니다.
2. 계층적 격리 아키텍처: 정책 인식 수집, 검색 시 게이트, 공유 추론을 결합하고 서버 측 오케스트레이션을 강제 계층으로 삼는 제안된 설계입니다.
3. 실증적 검증: 오케스트레이션 모드 (클라이언트 대 서버) 와 검색 게이트 (게이트 없음 대 ABAC 게이트) 의 $2 \times 2$ 행렬 전반에 걸쳐 보안 (누출, 프롬프트 인젝션 복원력), 시스템 성능 (지연 시간, 처리량), 그리고 검색 품질을 측정하는 6 가지 실험 평가입니다.
4. 오픈소스 구현: 이 아키텍처는 OpenAI 호환 API(다중 턴 오케스트레이션을 위한 Responses API 포함) 와 배포를 위한 Kubernetes Operator 를 제공하는 벤더 중립 프레임워크인 OGX에 구현되었습니다.

4. 실험 결과

평가에는 3 개 테넌트 (재무, 엔지니어링, 법률) 와 300 개 문서로 구성된 합성 테스트베드가 사용되었습니다.

• 보안 (테넌트 간 누출):

  • 게이트 없는 구성: 오케스트레이션 모드와 관계없이 게이트 없는 검색은 테넌트 간 데이터 98~100% 누출을 초래했습니다.
  • 게이트 있는 구성: ABAC 게이트는 테넌트 간 누출을 완전히 제거 (0% 누출) 하여 보안 목표 (G1) 를 달성했습니다.
  • 프롬프트 인젝션: 게이트 있는 구성 하에서 모든 90 개의 프롬프트 인젝션 프로브가 차단되었습니다 (0% 누출). 게이트 없는 구성에서는 62~80% 의 프로브가 승인되지 않은 데이터를 성공적으로 검색했습니다.
  • 강제: 연구는 클라이언트 측 게이트 (구성 B) 가 0% 누출을 달성할 수 있지만 이는 클라이언트의 무결성에 의존한다고 강조합니다. 서버 측 오케스트레이션 (구성 D) 은 논리를 신뢰 경계 내부로 이동시킴으로써 필요한 강제 보장 (G2) 을 제공합니다.

• 성능:

  • 지연 시간: 검색 게이트는 검색 경로에 약 19ms(인증 왕복 + 정책 평가 + 조회) 를 추가했는데, 이는 추론 시간 (초 단위) 에 비해 무시할 수 있습니다. 서버 측 오케스트레이션은 왕복으로 인해 총 약 3 초의 지연 시간을 추가하지만, 첫 번째 토큰 도달 시간을 줄이기 위해 스트리밍을 지원합니다.
  • 처리량: 게이트는 처리량을 저하시키지 않았습니다. 처리량은 동시성에 따라 선형적으로 확장되었습니다. 클라이언트 측 오케스트레이션은 더 짧은 요청 경로로 인해 고동시성에서 서버 측 오케스트레이션보다 약 2 배의 QPS 를 달성했습니다.

• 검색 품질:

  • 청크 수준 게이트는 테넌트 간 노이즈를 필터링하여 Precision@5 를 2.2 배 (0.200 에서 0.433) 향상시켰습니다.
  • 프레디킷 푸시다운: 프레디킷 푸시다운을 지원하는 백엔드는 모든 코퍼스 크기에서 Recall@5 = 1.0을 유지했습니다. 푸시다운이 없는 백엔드 (검색 후 필터링 사용) 는 코퍼스 크기가 5 만 개 청크로 증가함에 따라 재현율이 크게 저하되었습니다 (1.0 에서 0.002 로), 하지만 보안 보장은 유지되었습니다.

5. 중요성 및 범위

본 논문은 표준화된 에이전트 API 설계, 서버 측 오케스트레이션, 공유 인프라上的 멀티테넌트 격리의 교차점을 다루는 최초의 작업이라고 주장합니다.

• 중요성: 이 아키텍처는 테넌트별 인프라 중복 없이 안전한 멀티테넌시, 벤더 중립 OpenAI 호환 API, 그리고 자율 에이전트 기능을 동시에 달성할 수 있음을 보여줍니다. 이는 보안 패러다임을 "관련성 기반"에서 "정책 기반" 검색으로 전환합니다.
• 범위 및 한계:
  • 이 솔루션은 멀티테넌트 기업 환경을 위해 설계되었습니다. 단일 테넌트 배포나 공개 데이터에는 불필요합니다.
  • 이 아키텍처는 컨텍스트 구성을 보호하지만 파라메트릭 메모리는 보호하지 않습니다. 모델은 사전 학습 중 흡수된 정보를 여전히 생성할 수 있습니다.
  • 신뢰 경계는 서버 프로세스입니다. 이 아키텍처는 손상된 서버 프로세스, 내부자 운영자, 또는 사이드 채널 공격으로부터 보호하지 않습니다.
  • 클라이언트 측 함수 도구는 서버 신뢰 경계 밖에 있지만, OGX 는 명시적 도구 분류를 통해 이를 완화합니다.

저자들은 신뢰할 수 있는 환경에서는 클라이언트 측 오케스트레이션이 더 낮은 지연 시간을 제공하지만, 엄격한 격리와 준수가 필요한 기업 시나리오에서는 ABAC 게이트가 있는 서버 측 오케스트레이션이 필수적이라고 결론지었습니다.