기술 요약: MolTrust 프로토콜 — 명세에서 배포까지

1. 문제 정의

자율 AI 에이전트의 연구에서 대규모 상용화로의 급속한 전환은 심각한 '신뢰 격차'를 노출시켰습니다. 2026 년 초 기준으로 Agent.market 과 같은 플랫폼은 공유 신뢰 계층 없이 69,000 개의 자율 봇이 1 억 6,500 만 건의 거래를 실행했다고 보고합니다. 기존 신원 인프라 (OAuth 2.0, SAML, LDAP) 는 인간 사용자 또는 정적 서비스 계정을 위해 설계되어 에이전트 복제, 재배포, 또는 플랫폼 간 이동을 견디지 못합니다.

규제 기관 (싱가포르 IMDA, NIST CAISI, EU AI 법) 과 주요 AI 연구소 (Anthropic, Google) 는 독립적으로 다음과 같은 구조적 요구사항에 수렴했습니다: 자율 에이전트를 위한 개방형, 휴대 가능하며 암호학적으로 검증 가능한 신뢰 인프라. 이 인프라가 반드시 답변해야 하는 구체적인 질문은 다음과 같습니다:

1. 신원: 이 에이전트가 내가 이전에 상호작용했던 동일한 에이전트인가?
2. 권한 부여: 이 에이전트가 주장하는 행위를 수행할 권한이 있는가?
3. 행동 일관성: 이 에이전트는 선언된 매개변수와 일관되게 행동했는가?

현재 솔루션들은 플랫폼에 종속적 (예: Microsoft Entra Agent ID) 이거나 생산 환경에서의 강제성이 결여된 이론적 프레임워크입니다.

2. 방법론 및 시스템 아키텍처

MolTrust 프로토콜은 W3C 검증 가능한 자격증명 (VC) 2.0과 분산 식별자 (DID) v1.0을 기반으로 구축된 신뢰 인프라의 생산 배포 구현체이며, Base 레이어 2에 온체인 앵커링을 수행합니다. 이 시스템은 네 가지 원시 (primitives), 다섯 당사자 책임 체인, 그리고 세 계층 강제 아키텍처를 중심으로 조직화되어 있습니다.

2.1 네 가지 핵심 원시

1. 신원: 에이전트에는 전역적으로 고유하고 암호학적으로 검증 가능한 DID(예: did:moltrust) 가 할당됩니다. 소유권은 Ed25519 개인 키를 통해 증명되며, 이는 재배포 및 이주 전반에 걸쳐 안정성을 보장합니다.
2. 권한 부여: 에이전트와 주체 간의 관계는 W3C VC 로 표현됩니다. 이러한 자격증명은 디지털 서명된, 변조 감지 가능한 진술서로, 허용된 동작, 조건 및 유효 기간을 설명합니다.
3. 행동 기록: 상호작용은 **상호작용 증명 기록 (IPR)**을 생성합니다. 이는 특정 상호작용에 대한 양자적, 이중 서명 암호학 기록이며, Merkle 배치 방식으로 온체인에 앵커링됩니다. IPR 은 신뢰 점수 계산에 입력됩니다.
4. 휴대성: 모든 증거 (DID, VC, IPR) 는 개방형 플랫폼 독립 형식으로 표현되어, 한 조직에서 발급된 자격증명이 어떤 상대방에 의해서도 검증될 수 있도록 합니다.

2.2 다섯 당사자 신뢰 체인

이 프로토콜은 암호학적으로 검증 가능한 책임 체인을 공식화합니다:
개발자 → 소유자 → 에이전트 → 지시자 → 상대방
중요하게도, 에이전트 DID 는 개발자 DID 와 분리됩니다. 개발자의 자격증명이 취소되더라도 그들이 배포한 에이전트가 자동으로 무효화되지 않아, 단일 장애점을 방지하면서도 추적성을 유지합니다.

2.3 에이전트 권한 부여 봉투 (AAE)

AAE 는 권한 부여 경계를 강제하는 기계 평가 가능한 구조입니다. 이는 세 가지 규범적 블록으로 구성됩니다:

• MANDATE (위임): 허용된 목적 (예: 상거래, 데이터_읽기) 과 허용/거부된 동작에 대한 URI 패턴을 정의합니다.
• CONSTRAINTS (제약): 운영상의 경계 (시간 창, 금융 임계값, 관할 구역, 상대방 신뢰 점수 최소값) 를 정의합니다.
• VALIDITY (유효성): 발급자 신원, 보유자 바인딩, 필수 만료일 및 취소 엔드포인트를 정의합니다.
  AAE 는 네 가지 검증 규칙을 강제합니다: 기본 거부 (default-deny), 거부 우선순위 (deny-precedence), 감쇠만 허용 위임 (attenuation-only delegation), 그리고 *필수 만료 (mandatory expiry)*입니다.

2.3 세 계층 강제 아키텍처

"권한 부여와 실행 사이의 정책 자기 수정"을 방지하기 위해, MolTrust 는 세 가지 구별된 계층에서 제약을 강제합니다:

1. 레이어 1 (암호학적): Ed25519 서명과 RFC 8785 표준화 JSON 은 AAE 경계가 발급 시 변조 불가능하도록 보장합니다.
2. 레이어 2 (API): 레지스트리는 애플리케이션 수준에서 제약을 강제하며, 여기에는 신뢰 점수 게이트, 자격증명 수명 주기 관리 및 취소 전파가 포함됩니다.
3. 레이어 3 (커널): Falco eBPF 통합은 Linux 시스템 호출 수준에서 에이전트 행동을 모니터링합니다. 에이전트가 AAE 외부의 동작 (예: 금지된 파일에 쓰기) 을 시도하면, Falco 가 시스템 호출 시도를 감지하고 MolTrust 에 위반 증명을 제출합니다. 이 강제 수단은 에이전트 프로세스 경계 아래에서 작동하므로, 에이전트 자체 런타임이 감지 신호를 억제하거나 수정하는 것이 불가능합니다.

2.5 시빌 (Sybil) 저항 메커니즘

신뢰 점수 (0~100) 는 가중치 공식 ($\alpha=0.6$ 직접, $\beta=0.3$ 전파, $\gamma=0.1$ 교차 수직) 을 사용하여 계산되며, 신원 조작에 대한 구체적인 방어 수단을 포함합니다:

• 이중 서명 IPR: 개시자와 응답자 양쪽의 서명을 요구하여 자기 승인 (self-endorsement) 을 방지합니다.
• 교차 수직 다양성 게이트: 시드 에이전트가 아닌 경우 최소 세 가지 다른 수직 분야 (예: 상거래, 여행, 기술) 로부터의 추천을 받아야 합니다. 실패 시 막대한 패널티 (점수 무효화) 가 부과됩니다.
• 자카드 유사도 감지: 추천인을 80% 이상 공유하는 조정된 클러스터를 식별하여 비례적인 점수 패널티를 적용합니다.
• 주체 DID 연결 위반: 위반 기록은 주체 DID 와 함께 영구적으로 유지되어, 에이전트가 새로운 DID 하에 재등록함으로써 부정적 이력을 피하는 것을 방지합니다.

3. 주요 기여 및 결과

이 논문은 2026 년 3 월부터 라이브 배포된 두 가지 주요 기여를 제시합니다:

주장 A: 생산 배포 및 경험적 검증

MolTrust 는 규제 기관과 산업계가 요구하는 신뢰 인프라가 오늘날 구현 가능함을 보여줍니다. 이 시스템은 여덟 가지 자격증명 수직 분야 (핵심 신원, 상거래, 여행, 기술 검증, 예측 시장, 브랜드 보호, 음악, 스포츠 무결성) 전반에 걸쳐 운영됩니다.

• 커널 계층 강제: Falco eBPF 통합은 에이전트 프로세스 경계 아래에서 작동하는 커널 수준 AAE 강제의 첫 번째 생산 구현을 제공합니다.
• 재현 가능한 준수: 이 시스템에는 독립적 구현 (qntm Authority Constraints 및 APS Provider Attestation) 에 대해 검증된 **다섯 가지 재현 가능한 테스트 벡터 (TV-001~TV-005)**를 포함한 공개된 명세 (CONFORMANCE.md v1.0) 가 포함되어 있습니다.
• 계층적 시빌 저항: 이중 서명 증명, 교차 수직 게이트, 주체 연결 지속성의 조합은 신원 조작에 대한 다차원 방어를 제공합니다.

주장 B: 프로토콜 간 상호 운용성

이 논문은 단언이 아닌 공유 원시를 통해 프로토콜 수준의 상호 운용성을 보여줍니다.

• 공유 원시: Ed25519 서명과 RFC 8785 표준화 JSON 을 사용함으로써, MolTrust 아티팩트는 형식 변환 없이 독립 프로토콜 (qntm, APS) 에 의해 검증 가능합니다.
• 라이브 검증: 테스트 벡터는 라이브 엔드포인트 (api.moltrust.ch) 에 대해 모든 당사자가 재현할 수 있습니다.
• 결제 구성 가능성: 이 시스템은 통합 requireScore() API 를 통해 결제 프로토콜 (x402, MPP) 과 통합되어, 신뢰 검증을 특정 결제 레일과 분리합니다.

경험적 증거

• 배포: 2026 년 3 월부터 운영 중이며, ERC-8004 스캐너를 통해 44,355 개의 에이전트가 인덱싱되었습니다.
• 보안 매핑: 이 프로토콜은 세 가지 독립적 위협 분류 체계에 매핑됩니다:
  • 싱가포르 IMDA 프레임워크: 위험 경계 및 기술적 통제에 완전히 대응; 인간 책임 (HITL 인터페이스는 로드맵 상) 에 부분적으로 대응.
  • Mao 등 공격 벡터: 12 개 벡터 중 8 개 (예: 주체 - 작업, 작업 - 리소스) 를 커버; 모델 무결성 (M2A) 및 오라클 무결성 (O2P) 은 범위 밖으로 명시적 제외.
  • Ferrag 등 위협 도메인: 프로토콜 취약점에 직접 대응; 책임 추적선을 통한 입력 조작에 대한 간접 방어.
• 준수 점검: "SKILL AUDIT"은 CWE 식별자 (예: 하드코딩된 자격증명을 위한 CWE-798, 서명 검증을 위한 CWE-347) 에 매핑된 아홉 가지 자동화된 점검을 실행합니다.

4. 중요성 및 한계

중요성

이 논문은 주요 기여가 배포 우선 증거라고 주장합니다. 학술적 프레임워크 (예: TIVA, SAGA) 와 산업 가이드라인 (Anthropic, Google) 이 공유 신뢰 계층의 필요성을 식별해 왔지만, MolTrust 는 W3C 표준화된 원시를 사용하여 이 계층이 오늘날 구현 가능함을 최초로 입증합니다. 이는 다음을 검증합니다:

1. Rodriguez Garzon 등이 식별한 "LLM 단독 책임" 한계는 커널 계층 강제로 해결될 수 있음.
2. 중앙 집중형 제공자 (SAGA 와는 다름) 없이 조직 간 신뢰를 확립할 수 있음.
3. 규제 요구사항 (IMDA, NIST, EU AI 법) 은 정책뿐만 아니라 기술적 통제 (AAE, IPR, 신뢰 점수) 를 통해 충족될 수 있음.

한계

저자들은 현재 시스템의 규모와 성숙도에 따라 주장을 명시적으로 제한합니다:

• 규모: 레지스트리는 2026 년 4 월 기준으로 54 개 등록 에이전트와 57 개 추천으로 운영됩니다. 적대적 규모 검증 (예: 100 개 이상 에이전트를 활용한 레드팀 시빌 캠페인) 은 수행되지 않았습니다.
• 휴리스틱: 시빌 감지 매개변수 (자카드 임계값 0.8, 3 수직 게이트) 는 경험적으로 보정된 것이지 공식적으로 최적임이 증명된 것은 아닙니다.
• 표현력: AAE 는 완전한 Datalog 대신 URI 패턴 매칭을 사용하여 복잡한 조건부 권한 부여를 제한합니다 (v0.9 에서 계획됨).
• 커널 우회: 레이어 3 강제는 비특권 컨테이너를 가정합니다. 특권 컨테이너 또는 호스트 커널 침해는 eBPF 모니터링을 우회할 수 있습니다.
• 감사: 제 3 자 보안 감사는 의뢰되지 않았으며, 시스템은 내부 검토 및 자동화된 준수 점검에 의존합니다.

결론적으로, MolTrust 는 이론적 표준과 운영 현실 간의 격차를 해소하는 기능적이고 생산 준비가 된 자율 에이전트 신뢰 청사진을 제공하며, 더 넓은 에이전트 경제 규모에서의 경험적 검증은 향후 요구사항임을 인정합니다.