기술 요약: 시맨틱 쿼럼 보증 (Semantic Quorum Assurance, SQA)

1. 문제 정의

대규모 언어 모델(LLM) 에이전트가 자율형 클라우드 운영에 통합됨에 따라, 이들은 인프라 제어 평면(control plane)에 대한 변이 권한(mutative authority)을 획득하게 됩니다. 이러한 에이전트들은 구문론적으로 유효하고 정적으로 권한이 부여된 변경 사항(예: IAM 정책 수정, 방화벽 규칙 개방 또는 데이터 내보내기 실행)을 제안할 수 있지만, 이는 **시맨틱 신뢰성 문제(semantic reliability problem)**를 야기합니다.

고전적인 분산 합의 프로토콜(예: Paxos, Raft)은 상태 전이가 노드 간에 일관되게 복제됨을 보장하지만, 해당 전이가 결정론적이며 엄격한 규칙에 의해 사전 검증되었다고 가정합니다. 이들은 제안된 의도의 **운영 안전성(operational safety)**을 평가하지 않습니다. 결과적으로, 에이전트는 권한이 있고 구문론적으로 정확하며 일관되게 복제되었음에도 불구하고, 맥락상 치명적인 요청(예: 유일하게 활성화된 데이터베이스 백업을 삭제하거나 추론 오류로 인해 데이터베이스를 공용 인터넷에 노출하는 경우)을 생성할 수 있습니다. 기존의 정적 정책 엔진(예: OPA) 및 감사 로깅은 이러한 시맨틱 실패를 수용 시점에 탐지하지 못하거나, 돌이킬 수 없는 피해가 발생하기 전에는 너무 늦게 작동합니다.

2. 방법론: 시맨틱 쿼럼 보증 (SQA)

SQA는 비결정론적인 에이전트 기반 인프라를 관리하기 위해 설계된 제어 평면 프리미티브(control-plane primitive)로 도입되었습니다. 이는 상태 변이가 발생하기 전에 위험 적응형 인증 레이어를 삽입하여 시맨틱 검증을 실행 권한으로부터 분리합니다.

핵심 아키텍처

1. 실행 계약 및 증거 체인 (Execution Contracts & Evidence Chains): 제안자는 관찰, 도구 출력 및 추론 산출물을 포함하는 암호학적 증거 체인($E$)에 결합된 선언적 실행 계약($C$)으로 변이를 표현합니다.
2. 이질적 검증자 쿼럼 (Heterogeneous Validator Quorum): 제로 플랜은 $(C, E)$를 다양한 읽기 전용 샌드박스 검증자 에이전트 패널로 라우팅합니다. 이 검증자들은 서로 다른 모델 제품군과 아키타입(예: 보안 감사관, 데이터베이스 관리자, 비용 최적화 전문가)을 보유합니다.
3. 상관된 인지적 실패 모델 (Correlated Cognitive Failure Model): SQA는 특정 도메인 내 검증자 간의 상관 계수 $\rho_{ij}(D)$를 통해, LLM 검증자들이 공유된 모델 제품군, 학습 데이터 또는 프롬프트 편향으로 인해 동일하게 실패할 위험을 공식화합니다.
4. 위험 적응형 쿼럼 술어 (Risk-Adaptive Quorum Predicate): 술어 $\Pi(C, Q, seq)$는 다음 여섯 가지 조건을 기준으로 승인을 결정합니다:
   • 쿼럼 선택 무결성: 선택된 쿼럼은 계약 및 레지스트리 스냅샷에 기반한 결정론적 선택 알고리즘 $H$와 일치해야 합니다.
   • 다양성 조건: 쿼럼 내 검증자 간의 쌍별 인지적 실패 상관관계는 위험 적응형 임계값 $\epsilon(R(C))$ 미만이어야 합니다.
   • 가중 승인 임계값: 가중 승인의 합(검증자의 권한 $w_i$ 및 교정된 확신 점수 $c_i$에 기반)은 임계값 $\tau(R(C))$를 초과해야 합니다.
   • 핵심 아키타입 거부권: 높은 신뢰도를 가진 핵심 아키타입(예: 보안)이 거부를 투표해서는 안 됩니다.
   • 서명 유효성 및 바인딩: 모든 투표는 암호학적으로 서명되어야 하며 특정 계약, 증거 및 시퀀스 에포크에 바인딩되어야 합니다.
5. 주권 실행 게이트 (Sovereign Execution Gate): 오직 신뢰할 수 있는 구성 요소(게이트)만이 인프라 상태에 대한 쓰기 권한을 가집니다. 이 게이트는 상태 변이를 커밋하기 전에 쿼럼 증명 $\Gamma$(서명, 투표 및 선택 알고리즘 출력을 포함)를 검증합니다.

시스템 모델 세부 사항

• 검증자 격리: 검증자는 외부 네트워크 접속이 없는 휘발성 읽기 전용 샌드박스(예: gViser)에서 실행됩니다. 이들은 자신의 도메인과 관련된 시스템 상태의 사전 페치된 읽기 전용 투영(projection)을 전달받습니다.
• 암호학적 집계: 검oc책임성을 유지하면서 증명 크기를 최소화하기 위해 검증자 서명을 집계합니다(예: BLS 서명 사용).
• 결과 점수 (Consequence Scoring): 결과 점수 $R(C)$는 폭발 반경, 권한 수준, 가역성, 데이터 민감도 및 증거 불확실성을 기반으로 비선형적으로 계산됩니다. 이 점수는 필요한 쿼럼 크기, 다양성 제약 조건 및 승인 임계값을 동적으로 조정합니다.

3. 주요 기여

본 논문은 다음과 같은 여섯 가지 구체적인 기여를 합니다:

1. 프리미티브 및 시스템 모델: 실행 계약, 증거 체인 및 서명된 투표 기록을 사용하여 에이전트의 변이를 인증하는 SQA를 제어 평면 프리미티브로 정의합니다.
2. 상관된 인지적 실패 모델: 검증자의 실패를 공유된 모델 제품군 및 프롬프트에서 기인하는 도메인 종속적 시맨틱 이벤트로 명시적으로 모델링하여 공식화합니다.
3. 위험 적응형 쿼럼 술어: 결과 점수, 신뢰도 교정 및 추정된 상관관계를 기반으로 검증자 선택 및 승인 임계값을 스케일링하는 메커니즘을 제공합니다.
4. 주권 게이트 아키텍처: 검증과 변이 권한을 분리하여, 상태 변경 전 정확히 선택된 쿼럼과 서명을 검증하는 실행 게이트를 구축합니다.
5. 프로토타입 구현: 샌드박스 검증자, Go 기반 라우터/애그리게이터, BLS 집계 서명, Kubernetes 어드미션 게이트 통합을 특징으로 하는 클라우드 네이티브 프로토타입을 구현합니다.
6. 평가: SQA가 안전하지 않은 승인을 줄이는 데 있어 갖는 효능을 사고 패턴에서 유도된 500개의 인프라 기반 변이 시나리오(Kubernetes, 데이터베이스, IAM/보안)를 통해 입증합니다.

4. 평가 결과

저자들은 사고 패턴에서 유도된 500개의 인프라 기반 변이 시나리오(Kubernetes, 데이터베이스, IAM/보안)를 대상으로 SQA를 평가했습니다. 결과는 모호한 사례를 제외한 홀드아웃(held-out) 안전/불안전 시험에 대해 보고되었습니다.

• 안전성 개선: SQA는 불안전한 승인율을 18.5%(단일 에이전트 검증)에서 **0.3%**로 낮추었습니다. 이는 단일 에이전트 베이스라인 대비 98.4%의 상대적 감소를 나타냅니다.
• 지연 시간: 중앙값 검증 지연 시간은 쿼럼 크기(2개에서 7개의 검증자)에 따라 저위험, 중위험, 고위험 버킷 전반에 걸쳐 1.45초에서 4.12초 사이였습니다.
• 비용: 토큰 비용은 검증당 $0.0048(저위험)에서$0.080(고위험) 사이였습니다.
• 절제 연구 (Ablation Studies):
  • 모델 제품군 및 아키타입 다양성을 제거하면 불안전한 승인율이 6.9%로 상승했습니다.
  • 거부권을 제거하면 불안전한 승인이 3.7%로 증가했습니다.
  • 동질적 모델 제품군(HomoQ)을 사용했을 때는 불안전한 승인율이 21.0%에 달해, 다양성의 필요성을 입증했습니다.
• 상관된 실패 스트레스 테스트: 검증자 실패가 완벽하게 상관되어 있을 때($\rho=1.0$), SQA의 불안전한 승인율은 8.4%로 상승하여, 시스템이 실패가 완전히 결합되어 있지 않다는 가정에 의존함을 확인했습니다.

5. 의의 및 주장

본 논문은 SQA가 비결정론적인 인프라 운영을 위해 암호학적으로 강제되고, 교정되었으며, 위험 적응적인 인증 프로세스를 제공한다고 주장합니다.

• 절대적 안전이 아님: 저자들은 SQA가 절대적인 시맨틱 안전을 증명하는 것이 아님을 명시적으로 밝힙니다. 대신, SQA는 교정된 검증자 실패율 및 상관관계 추정치로부터 도출된 위험 함수에 의해 불안전한 계약을 수용하는 잔여 위험이 제한되는 프로세스를 강제합니다.
• 제어 평면 프리미티브: SQA는 정적 정책 강제와 LLM의 동적이고 추론 기반인 특성 사이의 간극을 메우는, 자율 에이전트를 위한 필수적인 레이어로 위치합니다. 이는 요청이 구조적으로는 유효하지만 운영상으로는 안전하지 않은 "시맨틱 갭"을 다룹니다.
• 실현 가능성: 프로토타입은 시맨틱 검증이 초 단위의 중앙값 지연 시간과 함께 클라우드 네이티브 제어 평면에 통합될 수 있음을 보여주며, 이는 "슬로우 패스(slow-path)" 제어 평면 변이(예: 구성 변경, 마이그레이션)에는 적합하지만 "패스트 패스(fast-path)" 데이터 평면 작업에는 적합하지 않음을 시사합니다.

본 논문은 클래식한 합의가 일관성을 보장할 수는 있지만, 비결정론적인 추론이 존재하는 상황에서 안전성을 보장할 수는 없다고 결론짓습니다. SQA는 돌이킬 수 없는 상태 전이가 일어나기 전에 의도를 집단적으로 인증하는 메커니로를 제공하여, 에이전트 주도의 파괴적인 인프라 실패 위험을 크게 줄입니다.