기술 요약: AgentWall – 로컬 AI 에이전트를 위한 런타임 안전 계층

1. 문제 제기

이 논문은 자율형 AI 에이전트 배포의 중요한 간극을 다루고 있습니다: 수동적인 텍스트 생성에서 로컬 머신에서의 능동적 실행으로의 전환입니다. 현대의 에이전트는 셸 명령을 실행하고, 파일을 수정하며, API 를 호출할 수 있지만, 기존 안전 메커니즘 (모델 정렬, 입력 필터링, 일반 샌드박싱 등) 은 **실행 경계 (execution boundary)**에서의 특정 위험을 해결하지 못합니다.

로컬 환경에서 개발자들은 종종 완전한 가상화된 격리 없이 에이전트를 직접 파일 시스템과 자격 증명에 연결하여 실행합니다. 이로 인해 에이전트가 다음과 같은 운영상 위험을 초래할 수 있습니다:

• 모호한 프롬프트나 추론 부족으로 인해 의도하지 않은 파괴적 명령을 실행합니다.
• 외부 콘텐츠에 숨겨진 악의적 지시 (프롬프트 인젝션) 에 따라 행동합니다.
• 의도된 범위를 벗어난 민감한 디렉토리 (예: SSH 키, 자격 증명) 에 접근합니다.
• "블랙박스"로 작동하여 사후에 행동을 감사하거나 재현하기 어렵게 만듭니다.

핵심 문제는 에이전트의 제안된 행동을 관찰하고, 명시적 정책과 비교하여 평가하며, 호스트 환경에 도달하기 전에 경계를 강제할 수 있는 런타임 제어 계층의 부재입니다.

2. 방법론 및 아키텍처

AgentWall은 실용적인 애플리케이션 수준의 런타임 안전 및 관찰 계층으로 제안됩니다. 이는 에이전트 런타임과 호스트 환경 사이의 중재 경계로 기능하며, 실행 전 행동을 가로챕니다.

고수준 아키텍처

시스템은 다음과 같은 개념적 구성 요소를 통해 작동합니다:

1. 에이전트 런타임: 행동을 계획하고 제안하는 실행 시스템 (예: OpenClaw, Claude Desktop).
2. 행동 인터셉터: 제안된 행동을 포착하는 프록시 또는 래퍼 (MCP 프록시 또는 OpenClaw 플러그인으로 구현됨).
3. 정책 엔진: 선언적 정책과 비교하여 행동 속성 (유형, 대상 경로, 명령 패턴, 목적지) 을 검사하는 규칙 평가 구성 요소.
4. 승인 엔진: 민감하거나 모호한 행동을 명시적 사용자 승인을 위해 에스컬레이션하는 인간 개입 (human-in-the-loop) 메커니즘.
5. 실행 어댑터: 허용되거나 승인된 경우에만 행동을 수행하는 구성 요소.
6. 이벤트 로그 및 추적 저장소: 감사 및 재연을 위한 모든 제안, 결정, 결과의 구조화된 변조 방지 기록.
7. 검사 인터페이스: 감사 내역을 검토할 수 있는 사용자 인터페이스 (터미널 또는 웹).

정책 모델

AgentWall 은 3 단계 의사결정 모델을 활용합니다:

• 허용 (Allow): 규칙에 따라 행동이 안전하다고 판단됨 (예: 워크스페이스 내 파일 읽기).
• 거부 (Deny): 행동이 정책을 위반함 (예: ~/.ssh 접근, 시스템 경로에서 rm -rf 실행).
• 질문 (Ask): 행동이 유효할 수 있지만 고위험이므로 명시적 사용자 확인이 필요함 (예: sudo 명령, 파일 덮어쓰기).

정책은 선언적이며 행동 유형, 대상 경로, 명령 패턴, 파일 확장자, 네트워크 목적지를 검사할 수 있습니다.

구현 접근법

이 논문은 래퍼 모드 또는 게이트웨이 모드로 작동하는 프로토타입 구현 (v0.8.1) 을 설명합니다. 이는 셸 명령, 파일 작업, 네트워크 요청을 정책 인식 인터페이스를 통해 라우팅합니다. 시스템은 에이전트나 프록시를 재시작하지 않고도 정책을 핫 리로드 (hot-reload) 지원합니다.

3. 주요 기여

이 논문은 세 가지 주요 기여를 합니다:

1. 문제 정의: "경계 있는 로컬 에이전트 실행" 문제를 정의하며, 안전한 배포를 위해서는 에이전트 의도와 호스트 머신 행동 사이에 제어 계층이 필요함을 주장합니다.
2. 시스템 설계: 행동 인터셉션, 명시적 정책 평가, 승인 게이트, 구조화된 추적 수집을 결합한 AgentWall 아키텍처를 제시합니다.
3. 프로토타입 평가: 안전성 커버리지, 사용성, 런타임 오버헤드 측면에서 시스템의 효과를 입증하는 구체적인 평가 설정과 결과를 제공합니다.

4. 평가 결과

저자들은 14 개의 대표적인 로컬 에이전트 도구 호출 벤치마크 세트를 사용하여 macOS 에서 AgentWall v0.8.1 을 평가했습니다.

• 정책 정확도: 시스템은 92.9% 정확도 (14 개 테스트 중 13 개) 를 달성했습니다.
  • 자격 증명 (~/.ssh, ~/.aws) 접근 시도, 위험한 셸 패턴 (curl | sh, eval), 파괴적 SQL 작업 (DROP TABLE) 에 대한 모든 시도를 정확히 거부했습니다.
  • 고영향 작업 (예: sudo apt-get, DELETE SQL) 을 승인 위해 정확히 에스컬레이션했습니다.
  • 안전한 워크스페이스 읽기 및 쓰기를 정확히 허용했습니다.
  • 실패 사례: 하나의 테스트 (rm -rf /tmp/test) 는 예상된 ASK 대신 DENY 를 반환했습니다. 이는 접두사 매칭 거부 규칙 (rm -rf /) 이 더 구체적인 질문 규칙을 포괄하는 정책 정밀도 문제로 귀결되었습니다. 저자들은 이는 허용보다는 차단하는 보수적인 실패라고 지적합니다.
• 런타임 오버헤드: 정책 평가 지연은 무시할 수 있었습니다.
  • 평균 결정 지연: 0.198 ms.
  • P95 지연: 0.745 ms.
  • 이는 실제 I/O 또는 네트워크 작업에 필요한 수십 또는 수백 밀리초에 비해 미미합니다.
• 추가 기능:
  • 속도 제한: 호출 상한을 성공적으로 강제 적용했습니다 (예: 35 개 시퀀스 중 31 번째 호출 차단).
  • 핫 리로드: 프록시를 재시작하지 않고 정책 변경이 즉시 적용되었습니다.
  • 감사 추적: 모든 결정이 구조화된 JSONL 형식으로 기록되어 완전한 재현 및 디버깅이 가능했습니다.

5. 중요성 및 주장

이 논문은 AgentWall 을 에이전트 안전에 대한 완전한 해결책이나 모델 정렬, 컨테이너화, 운영체제 보안을 대체하는 것으로 겸손하게 위치시키지 않습니다. 대신, 로컬 에이전트 생태계에서 누락된 중간 계층으로서의 중요성을 주장합니다.

핵심 논지는 안전한 로컬 에이전트 채택을 위해서는 광범위한 자율성을 경계 있는 실행으로 변환하는 런타임 인프라가 필요하다는 것입니다. 정책 인식 경계를 삽입함으로써 AgentWall 은 다음과 같은 목표를 가집니다:

• 개발자에게 로컬 에이전트 행동에 대한 확신과 통제력을 제공합니다.
• 구조화된 추적을 통해 에이전트 행동을 감사 가능하고 투명하게 만듭니다.
• 과도한 마찰을 도입하지 않으면서 우발적 또는 적대적 손상 위험을 줄입니다.

저자들은 에이전트가 텍스트 생성에서 능동적 소프트웨어 실행으로 이동함에 따라, 모델 출력과 머신 행동 사이의 간극은 더 나은 모델만으로는 해결할 수 없는 중요한 시스템 문제라고 주장합니다. AgentWall 은 로컬 AI 에이전트를 개발자 워크플로우의 신뢰할 수 있는 부분으로 만드는 실용적인 단계로 제시됩니다.