Notarized Agents: Receiver-Attested Confidential Receipts for AI Agent Actions

기술 요약: 공증된 에이전트: AI 에이전트 동작을 위한 수신자 인증 기밀 영수증

문제 정의

현재의 AI 에이전트 관측 가능성(observability)은 활동 로그를 생성하는 엔티티가 로그를 남기는 대상과 동일한 엔티티라는 점에서 구조적으로 결함이 있습니다. 지배적인 모델(예: Langfuse, LangSmith)에서 트레이스는 에이전트의 프로세스 내부나 운영자의 인프라로부터 수집됩니다. 이는 단일 장애점(single point of failure)을 생성합니다. 만약 에이전트가 침해되거나(프롬프트 인젝션, 컨텍스트 포이즈닝, 버그가 있는 코드 등), 운영자의 이해관계가 일치하지 않는다면, 트레이스는 누락, 변조 또는 조작될 수 있습니다. 에이전트는 자신의 행동에 대해 신뢰할 수 있는 화자가 될 수 없으며, 소유자는 조작을 탐지할 독립적인 방법이 없습니다.

기존 솔루션들은 공격자가 에이전트와 운영자 모두를 통제하는 위협 모델을 충족하지 못합니다. 에이전트의 행동에 대한 견고한 기록은 다음을 충족해야 합니다:

1. 에이전트나 운영자에 의해 위조될 수 없음.
2. 공공 인프라를 사용하여 소유자에 의해 독립적으로 검증 가능함.
3. 공공 인프라 운영자로부터 기밀성이 유지됨.
4. 해당 이벤트에 존재했던 구조적으로 분리된 당사자에게 귀속됨.
5. 에이전트를 사용할 수 없는 상태에서도 검색 가능함.

조사된 어떤 시스템도 이 다섯 가지 속성을 모두 제공하지 않습니다.

방법론: Sello 프로토콜

본 논문은 역사적 공증(notarization)과 Apple의 'Find My' 네트워크와 같은 현대적 시스템에서 영감을 얻은 "공증된 에이전트(Notarized Agents)"라는 아키텍처적 역전을 제안합니다. 에이전트가 자신의 행동을 보고하는 대신, 에이전트가 호출하는 서비스들이 독립적인 목격자 역할을 수행합니다.

저자들은 이 프로토콜 클래스를 Sello로 구현하며, 이는 네 가지 핵심 속성을 결로합니다:

• P1: 수신자 측 서명: 에이전트의 호출을 받는 서비스는 에이전트나 운영자의 개인 키가 아닌, 자신의 개인 키를 사용하여 영수증에 서명합니다.
• P2: 소유자에게 바인딩된 HPKE 암호화: 영수증은 소유자의 공개 키로 암호화됩니다. 결정적으로, 이 공개 키는 JWS 클레임을 통해 에이전트의 권한 토큰에 암호학적으로 바인딩되어 있어 치환 공격(substitution attacks)을 방지합니다.
• P3: 목격자 공동 서명이 포함된 머클 로그(Merkle log)에 게시: 영수증은 조작 증거를 보장하기 위해 목격자의 공동 서명이 포함된 공공 투명성 로그(예: Sigstore Rekor)에 추가됩니다.
• P4: 소유자 측 발견: 소유자는 토큰 유래 참조(token-derived reference)를 사용하여 로그를 쿼리하고, 로컬에서 영수증을 복호화하며, 서비스 식별 레지스트리를 통해 서명을 검증합니다.

프로토콜 흐름

1. 토큰 바인딩: 에이전트는 소유자의 HPKE 공개 키(owner_hpke_pk)를 포함하는 클레임이 담긴 JWS 권한 토큰을 제시합니다.
2. 동작 및 영수증 생성: 호출을 받은 서비스는 토큰을 검증하고, 동작을 수행한 후, 영수증 본문(동작 해시, 상태, 타임스탬프 포함)을 구성합니다.
3. 암호화 및 서명: 서비스는 HPKE(X25519/KEM, ChaCha20-Poly1305)를 사용하여 본문을 owner_hpke_pk로 암호화합니다. 그 후 COSE_Sign1(Ed25519)을 사용하여 암호화된 봉투에 서명합니다.
4. 로깅: 서명된 봉투는 투명성 로그에 제출됩니다. 로그는 머클 포함 증명(Merkle inclusion proof)을 반환합니다.
5. 검증: 소유자는 SHA-256(token-bytes)를 사용하여 로그를 쿼리합니다. 소유자는 머클 증명을 검증하고, 레지스트리를 통해 서비스의 공개 키를 해결하며, COSE 서명을 검증하고, 페이로드를 복호화합니다.

보안 메커니즘

• 폐기(Revocation): 프로토콜은 키 폐기 결정을 서비스가 스스로 주장하는 타임스탬프가 아닌, 투명성 로그의 통합 시간에 결합합니다. 이는 침해된 서비스가 폐기를 피하기 위해 영수증을 과거 날짜로 소급 적용하는 것을 방지합니다.
• 재생 공격 방지(Replay Protection): (kid, token_ref, timestamp, action hashes) 튜플에 기반한 소유자 측 중복 제거 규칙은 재생된 이벤트를 탐지합니다.
• 기밀성: 영수증 내용은 HPKE를 통해 로그 운영자와 네트워크 관찰자로부터 숨겨집니다. 메타데이터(서비스 ID, 토큰 참조)만 가시적입니다.

주요 기여

본 논문은 네 가지 구체적인 기여를 합니다:

1. 아키텍처적 역전: 수신자 측 서명이 에이전트 관측성을 위한 구조적 해결책임을 식별하고, 공증된 프로토콜을 구분 짓는 네 가지 암호학적 속성(P1–P4)을 정의합니다.
2. Sello 명세: 표준 프리미티브(COSE_Sign1, HPKE, Ed25519, 머클 로그)를 사용하고 소유자의 암호화 키를 권한 토큰에 바인딩하는 새로운 JWS 토큰 프로필을 사용하는 구체적인 프로토콜을 제안합니다.
3. 시간 바인딩의 참신함: 백데이팅(backdating) 공격을 완화하기 위해 영수증 본문의 타임스탬프와 분리하여 투명성 로그의 통합 시간을 키 폐기 결정에 사용하는 방식을 제안합니다.
4. 비교 분석: 기존 시스템(Signet, AgentROA, Agent Passport System 등) 중 네 가지 속성을 모두 결합한 시스템이 없음을 속성별 비교를 통해 보여줍니다.

결과 및 평가

저자들은 Apple M2에서의 참조 구현을 사용하여 암호화 연산의 마이크로 벤치마크를 제공합니다.

• 오버헤드: Sello를 인식하는 서비스는 에이전트 호출당 약 0.45 ms의 중간값 CPU 작업(HPKE 봉인 + 서명 + 로그 추가)을 추가합니다.
• 검증: 활동을 재구성하는 소유자는 영수증당 약 0.28 ms의 중간값 CPU 작업(증명 검증, 서명 확인, 복호화)을 수행합니다.
• 페이로드 크기: 완전한 Sello 봉투는 약 467 바이트입니다(입력 및 출력은 해싱되므로 동작 크기와 무관함).
• 확장성: 초당 1,000회의 호출을 처리하는 서비스는 영수증 처리에 초당 약 0.45초의 CPU 시간을 소비합니다. 소유자는 배치 검증을 사용하여 하루의 활동(100,000개의 영수증)을 약 32초의 CPU 시간 내에 재구성할 수 있습니다.

논문은 로그 제출에 대한 네트워크 지연 시간은 측정에서 제외되었으며, 이는 특정 로그 운영자에 따라 달라질 수 있음을 명시합니다.

한계 및 주장

Sello가 해결하지 못하는 부분에 대해서도 명확히 밝히고 있습니다:

• 억제 공격(Suppression Attack): 에이전트가 서비스를 호출하지 않으면 영수증이 생성되지 않습니다. 소유자는 "동작 없음"과 "억제된 동작"을 구분할 수 없습니다.
• 서비스 공모(Service Collusion): 서비스가 운영자와 공모하여 허위 영수증을 발행하는 경우, Sello는 단일 영수증으로부터 이를 탐지할 수 없습니다.
• 채택 유인(Adoption Incentive): 서비스는 현재 영수증을 발행할 이유가 없습니다. 저자들은 채택을 위해 규제 명령(예: EU AI Act), 결제 결합, 또는 시장 신뢰 프리미엄이 필요하다고 상정합니다.
• 집합 완전성(Set Completeness): Sello는 영수증당 검증 가능성은 제공하지만 암호학적 집합 완전성은 제공하지 않습니다. 로그 운영자는 인증된 쿼리 결과나 전체 로그 감사와 같은 특정 완전성 메커니즘이 배포되지 않는 한, 이론적으로 일치하는 영수증을 누락할 수 있습니다.

의의

본 논문은 Sello의 의의가 새로운 암호학적 프리미티브에 있는 것이 아니라, 신뢰 경계를 역전시키기 위한 기존 프리미티브들의 아키텍처적 구성에 있다고 주장합니다. 에이전트에서 에이전트가 접하는 독립적인 서비스로 진실의 원천을 전환함으로써, Sello는 에이전트 침해 상황에서도 생존하는 변조 방지, 기밀성, 소유자 검증 가능한 추적을 제공합니다.

저자들은 채택 유인 문제가 여전히 해결되지 않았음에도 불구하고, Sello가 엄격한 AI 감사를 위한 필수적인 전제 조건을 제공한다고 결론짓습니다. 핵심 논지는 "에이전트는 자신의 행동에 대한 적절한 화자가 아니며, 에이전트가 접하는 서비스들이 화자여야 한다"는 것입니다.