기술 요약: Grimlock – eBPF 및 검증된 채널을 통한 고-에이전시 시스템 보호

문제 정의

에이전트 시스템의 부상은 "고-에이전시 (high agency)"라는 패러다임을 도입했는데, 여기서 사용자가 작성한 코드는 복잡한 워크플로우를 조율하고, 도구를 호출하며, 이질적인 머신과 클라우드 간에 작업을 위임합니다. 이러한 유연성은 생산적이지만, 치명적인 보안 취약점을 만들어냅니다. 즉, 신원 확인, 권한 부여, 출처 추적, 위임과 같은 필수 보안 원시 연산들이 종종 애플리케이션 계층으로 밀려나고 있습니다. 이러한 통합은 다음과 같은 결과를 초래합니다:

• 취약한 신뢰 (Brittle Trust): 보안 로직이 중복되거나 임의의 자격 증명으로 이어붙여집니다.
• 감사성 격차 (Auditability Gaps): 정책 시행이 일관되게 검증하기 어려워집니다.
• 고전적인 함정: 시스템이 "혼란된 보좌관 (confused-deputy)" 문제와 권한 상승 위험을 재도입합니다.
• 우회 위험: 신뢰할 수 없는 동적 에이전트가 라이브러리 수준이나 런타임 수준의 시행을 우회하는 프로세스를 생성하거나 임의의 소켓을 열 수 있습니다.

핵심 과제는 보안 계층 구조를 붕괴시키지 않으면서 고-에이전시를 유지하는 것이며, 이는 사용자 코드를 수정하지 않고 엄격한 신뢰 경계를 시행하는 솔루션을 요구합니다.

방법론

Grimlock 은 에이전트 가드 (Agent Guard) 계층을 도입하여 이러한 과제에 대응하며, 관심사를 분리합니다: 사용자 코드는 조율을 처리하고, 더 높은 권한을 가진 샌드박스 서브스트레이트는 보안을 시행합니다. 이 아키텍처는 세 가지 주요 메커니즘에 의존합니다:

1. eBPF 를 통한 우회 불가 중재

에이전트가 보안 검사를 회피하는 것을 방지하기 위해 Grimlock 은 샌드박스 경계에서 eBPF(확장된 버클리 패킷 필터) 를 활용합니다.

• 투명 중재: eBPF 훅은 샌드박스 내의 모든 유입 및 유출 트래픽을 가로챕니다.
• 강제 라우팅: 모든 트래픽은 로컬 가드 프록시 CVM(기밀 가상 머신) 으로 강제로 리디렉션됩니다.
• 신원 연관: eBPF 는 네트워크 흐름을 안정적인 샌드박스 신원과 연관시켜, 에이전트가 직접 소켓을 열거나 대체 스택을 사용하려 하더라도 트래픽이 가로채지고 중재되도록 보장합니다.

2. 채널 바인딩 후-핸드셰이크 검증

Grimlock 은 표준 스택과의 상호 운용성을 깨지 않으면서 원격 검증을 통합하는 TLS 1.3 기반 접근 방식을 사용하여 에이전트 간 통신을 보호합니다.

• 후-핸드셰이크 설계: TLS 핸드셰이크를 수정하는 시스템과 달리, Grimlock 은 표준 TLS 1.3 핸드셰이크가 확립된 이후에 검증을 수행합니다. 이는 상용 TLS 스택과의 호환성을 유지합니다.
• 채널 바인딩: 시스템은 **내보내기 기반 채널 바인딩 (exporter-based channel bindings)**과 신선도 난수 (freshness nonces) 를 사용하여 검증 증거를 확립된 채널에 바인딩합니다.
• 프로세스:
  1. 가드들은 kTLS(효율적인 커널 공간 레코드 처리용) 를 사용하여 표준 TLS 1.3 연결을 확립합니다.
  2. 핸드셰이크 직후, 가드들은 난수, 청중 (audience), 요청된 범위를 포함하는 채널 바인딩 (cb) 을 계산합니다.
  3. 응답자는 이 바인딩의 해시 값을 약속하는 TEE(신뢰할 수 있는 실행 환경) 증거를 제공합니다.
  4. 검증자는 이 증거를 평가하고 **범위 토큰 (Scope Token)**을 발행합니다.

3. 범위 바인딩 권한 부여

권한 부여는 연결 확립과 분리되어 특정 채널과 범위에 묶입니다.

• 범위 토큰: 성공적인 평가 후, 수명 주기가 짧고 채널에 바인딩된 범위 토큰이 발행됩니다. 이 토큰은 최소 권한 위임을 인코딩합니다.
• 재검증: 수신 측에서 목적지 가드는 신원, 범위, 청중, 만료일 및 채널 바인딩을 재검증합니다.
• 평문 해제: 모든 정책 확인이 성공한 후에만 TLS 가 종료되고 평문이 목적지 샌드박스에 해제됩니다.

주요 기여

이 논문은 네 가지 구체적인 기술적 기여를 제시합니다:

1. 투명 중재: 사용자 계층 조율 코드 변경 없이 샌드박스 통신을 가드 계층을 통해 가로채고 라우팅하는 아키텍처.
2. 우회 불가 시행: 직접 소켓이나 기타 메커니즘을 통해 가드를 우회하는 것을 방지하기 위해 샌드박스 경계에서 중재를 강제하는 eBPF 기반 설계.
3. kTLS 데이터 플레인: 에이전트 코드에 투명성을 유지하면서 효율성을 보장하기 위해 커널 공간에서 레코드 처리를 유지하는 TLS 1.3 구현 (kTLS 활용).
4. 범위 바인딩 에이전트 간 (A2A) 권한 부여: 후-핸드셰이크 검증과 채널 바인딩 권한 부여를 결합하여 위임이 감사 가능하고 범위가 제한되도록 보장하는 에이전트 간 통신을 위한 새로운 설계.

결과 및 주장

이 논문은 이질적인 멀티 클라우드 환경 전반에 걸쳐 투명하고, 감사 가능하며, 범위가 제한된 에이전트 간 통신을 위한 실현 가능한 경로로서 Grimlock 을 제시합니다.

• 아키텍처: 이 시스템은 네트워크 트래픽이 가드에 의해 엄격히 중재되는 동안 고-에이전시 에이전트가 수정되지 않은 샌드박스 내에서 작동할 수 있음을 성공적으로 시연합니다.
• 보안 속성: eBPF 와 후-핸드셰이크 검증을 활용하여 Grimlock 은 세 가지 핵심 속성을 달성합니다:
  1. 우회 불가: 모든 샌드박스 트래픽은 가드를 통과해야 합니다.
  2. 채널 바인딩: 권한 부여 아티팩트는 특정 확립된 채널에 엄격하게 바인딩됩니다.
  3. 최소 권한: 위임은 감사 가능하고 범위가 제한된 권한을 전파합니다.
• 구현: 이 시스템은 사용자 코드 수정이나 커스텀 프로토콜 스택이 필요하지 않도록 상용 Linux 원시 연산 (eBPF, kTLS) 과 표준 TLS 1.3 을 활용합니다.

중요성

Grimlock 의 중요성은 에이전트 시스템에서 관심사 분리를 복원할 수 있는 능력에 있습니다. 신뢰 시행을 샌드박스 서브스트레이트로 이동시킴으로써, 개발자들은 보안을 희생하지 않고도 고-에이전시 (유연성과 자동화) 를 유지할 수 있습니다. 이는 신원 확인, 권한 부여, 출처 추적이 애플리케이션이 아닌 인프라에 의해 시행되도록 보장함으로써 "취약한 신뢰" 문제에 대한 해결책을 제공하며, 보안을 멀티 클라우드 환경 전반에 걸쳐 일관성 있게, 감사 가능하게, 그리고 이식 가능하게 만듭니다.