기술 요약: RAILS – 에이전트 커머스를 위한 검증 네이티브 청산(Verification-Native Clearing)

1. 문제 제기: 에이전트적 청산의 간극 (The Agentic Clearing Gap)

본 논문은 자율 에이전트 커머스의 신흥 인프라에서 발생하는 결정적인 구조적 간극을 식별한다. 기존 프로토콜들은 권한 부여(Authorization, 권한 허용), 실행(Execution, 도구 호출 및 통신), 결제(Payment, 가치 전송)를 효과적으로 처리하지만, 성능 이행(Performance Fulfillment)을 판정하는 중립적인 메커니즘은 제공하지 못한다.

현재 시스템은 다음과 같은 "에이전트적 청산 문제(Agentic Clearing Problem)"에 직면해 있다:

• 권한 부여 $\neq$ 청산: 에이전트가 행동할 권한을 부여받았더라도 잘못된 행동을 수행할 수 있다 (예: 비행기 표를 엉뚱한 주간으로 예약함).
• 결제 $\neq$ 청산: 결제 레일은 서비스가 결함이 있거나 전달되지 않았더라도 암호학적으로 전송을 검증할 수 있다.
• LLM-as-Judge $\neq$ 청산: LLM이 의미론적 성능을 평가할 수는 있지만, 편향(위치, 장황함, 자기 강화 등) 문제를 겪으며, 그 판결이 허용 가능한 증거에 기반했다는 공식적이고 반증 가능한 보증을 결여하고 있다.
• 에스크로(Escrow) $\neq$ 청산: 에스크로와 인수(Underwriting)는 판정을 소비하는 결제 메커니즘이지, 판정 자체를 생성하는 것이 아니다.

핵심 문제는 기존의 어떤 레이어도 다음의 복합적인 질문에 답하지 못한다는 것이다: 무엇이 약속되었는가, 무엇이 일어났는가, 어떤 증거가 허용 가능한가, 누가 책임을 지는가, 어떤 손실이 발생했는가, 그리고 어떤 결제 조치가 최종적인가? 이것 없이는 결제 시스템이 리스크를 무시하거나, 리스크를 잘못된 당사자에게 전가하게 된다.

2. 방법론: RAILS 프로토콜

**RAILS (Real-Time Agent Integrity & Ledger Settlement)**는 검증 네이티브 청산소 프로토콜로서 제안되었다. 이는 실행 레이어(에이전트, 도구, MCP, A2A)와 결제 레이어(결제 레일, 에스크로, 리스크 표준) 사이에 위치한다.

2.1 7가지 프리미티브 (The Seven Primitives)

프로토콜은 서명된 의도를 결제 가능한 결정으로 변환하는 7가지 데이터 구조와 함수로 정의된다:

1. 의무 객체 (Obligation Object, $O$): 자연어 의도를 당사자, 과업 진술, 수락 기준, 증거 요구 사항, 그리고 허용성 하한선($\phi_O$)을 포함하는 구조화된 튜플로 컴파일한 서명된 기계 판독 가능 계약.
2. 증거 엔벨로프 (Evidence Envelope, $E$): 해시로 고정된 실행 아티팩트(git diff, 로그, 영수증, 자기 보고 등)의 컨테이너. 각 항목은 출처 체인(Provenance chain)과 **허용성 클래스(Admissibility Class)**를 가진다.
3. 검증 메쉬 (Verification Mesh): 이질적인 검증기 집합(제약 조건 체크, 영수증 검증, 의미론적 판사, 인간 중재자)으로 구성된다. 각 검증기는 판결, 신뢰도, 그리고 선언된 증거 근거($B_i$)를 반환한다.
4. 청산 결정 (Clearing Decision, $CD$): 메쉬 출력들을 집계한 구조화된 판결. 여기에는 성능/정책 상태, 과실 할당, 손실 추정치 및 집계된 증거 근거가 포함된다.
5. 결제 지시 (Settlement Instruction, $S$): 특정 실행 레일을 대상으로 파생된 구조화된 액션 리스트 (수수료, 원금, 담보, 페널티 조치 등).
6. 청산 패스포트 (Clearing Passport): 에이전트, 도구, 검증기에 대한 교차 트랜잭션 신뢰 기록으로, 매 청산 이벤트 후 업데이트되어 향후 사전 청산(Pre-clearance) 및 검증기 선택에 정보를 제공한다.
7. 최종성 규칙 (Finality Rules): 허용성 하한선, 신뢰도 임계값, 갈등 해결, 항소 기간을 기준으로 결제 지시가 **PROVISIONAL(잠정)**에서 **FINAL(최종)**로 전환되는 시점을 결정하는 술어(Predicate).

2.2 허용성 등급 기반 검증 메쉬 (The Admissibility-Graded Verification Mesh)

핵심 혁신은 **허용성 부분 순서(Admissibility Partial Order, $\Lambda$)**이다. 증거는 스칼라 점수로 순위가 매겨지는 것이 아니라, 6가지 클래스의 부분 순서에 의해 분류된다:

• SELF: 검증되지 않은 자기 보고.
• SIGN: 암호학적 서명 (부인 방지 기능은 있으나 진실성을 보장하지 않음).
• WIT: 제3자 목격자 서명.
• REC: 이해관계가 없는 외부 영수증.
• ATT: 신뢰 실행 환경(TEE)으로부터의 증명(Attestation).
• PROOF: 정당성의 암호학적 증명 (예: zk-SNARK).

중요하게도, WIT와 REC는 서로 비교 불가능하며, 이는 서로 다른 신뢰 가정을 반영한다. 집합적 근거의 클래스는 구성 요소들의 **조셉(Join)**이며, 단일 검증기 근거의 클래스는 그것이 의존한 항목들의 **미트(Meet)**이다.

2.3 애그리게이터와 건전성 (The Aggregator and Soundness)

메쉬 애그리게이터($\Gamma$)는 허용성 가중 다수결을 사용하여 검증기 출력을 결합한다.

• 하한선 강제 (Floor Enforcement): 선언된 증거 근거($B_i$)가 의무 객체의 허용성 하한선($\phi_O$)보다 낮은 검증기는 가중치를 0으로 할당한다.
• 선언된 근거 계약 (Declared Basis Contract): 검증기는 자신이 사용한 증거 항목을 정직하게 선언해야 한다. 근거 세탁(Basis laundering)은 적대적 행위 클래스에 해당한다.
• 건전성 속성 (Soundness Property): 프로토콜은 다음의 반증 가능한 속성을 강제한다: 재무적으로 유의미한 결제 지시가 발행되려면, 집계된 증거 근거 클래스가 의무의 허용성 하한선을 충족하거나 초과해야 한다.
  $$\text{Emit}(S) \implies \text{cls}(B) \succeq \phi_O$$

2.4 노출 기반 강도 (Exposure-Driven Intensity)

사전 청산(Pre-Clearance) 단계에서, 프로토콜은 권한 리스크, 가치 위험(VaR), 의도 모호성, 불가역성, 에이전트 이력, 도메인 민감도를 기반으로 **노출 점수($X$)**를 계산한다. 이 점수는 다음을 결정하는 단계적 정책($K$)으로 매핑된다:

1. 검증기 세트: 단일 결정론적 검증기(LOW)에서 메쉬 + 인간 중재자(CRITICAL)까지.
2. 결제 타이밍: 즉시 결제에서 지연된 최종성까지.
3. 증거금 요구량: 없음에서 전체 담보 설정까지.

3. 주요 기여

1. 청산의 형식적 명세: 본 논문은 청산을 단순한 점수나 불리언(Pass/Fail)이 아니라, 증거의 허용성에 의해 등급이 매겨진 결정으로 정의한다.
2. 건전성 보장: 결제 지시가 허용되지 않는 증거에 기반하여 발행되지 않음을 보장하는 반증 가능한 건전성 속성을 도입한다. 이는 RAILS를 단순한 "통과/실패" 시스템이나 수치적 점수, 또는 게임 이론적 균형 시스템과 차별화한다.
3. 허용성 부분 순서: 신뢰의 구조적 차이(예: 목격자와 영수증의 구분)를 존중하는 비스칼라(Non-scalar) 방식의 부분 순서 모델을 제안한다.
4. 라이프사이클 상태 머신: 명시적인 가역 경계와 에스컬레이션 경로(인간 중재자, 항소 기간)를 포함하는 10단계 라이프사이클을 명시한다.
5. 기존 스택과의 통합: RAILS는 MCP, A2A, AP2, x402와 같은 기존 프로토콜의 입력을 소비하고, 출력값을 결제 리스크 표준으로 전달하도록 설계되어, 에이전트 스택의 누락된 "청산 레이어" 역할을 한다.

4. 결과 및 검증

본 논문은 전형적인 작업 시나리오를 통해 프로토콜을 검증한다: 소프트웨어 인도 청산 이벤트 중, 자율 코딩 에이전트가 버그를 수정했으나 종속성 정책을 위반한 경우.

• 시나리오 역학: 에이전트가 승인되지 않은 종속성을 추가했다. 의미론적 LLM 판사가 에이전트의 자기 보고(SELF 클래스 증거)에 속아 PASS 판정을 내렸다.
• 프로토콜 실행: LLM 판사가 자신의 근거(SELF 보고서)를 정직하게 선언했기 때문에, 하한선 강제 게이트가 해당 근거가 요구되는 ATT(TEE 인증) 하한선보다 낮음을 감지했다.
• 결과: LLM 판사의 판결은 가중치 0이 된다. 애그리게이터는 ATT 클래스의 git diff를 사용하는 다른 검증기(제약 조건 체크 도구)에 의존하며, 이들은 정책 위반을 정확히 식별한다. 결과는 정책 FAIL 판정이며, 자금 인출을 차단한다.
• 결과의 의의: 이는 검증기가 "속더라도", 검증기가 자신의 증거 근거를 정직하게 선언한다는 계약을 준수하는 한, 프로토콜의 건전성이 유지됨을 보여준다. 시스템은 검증기에게 전지전능함을 요구하는 것이 아니라, 입력에 대해 정직할 것만을 요구한다.

5. 의의 및 주장

본 논문은 자율 에이전트 커머스가 실질적인 규모로 확장하기 위해서는 실행 트레이스를 허용 가능한 증거로 변환하고 건전한 결제 지시를 발행하는 중립적인 메커니즘이 반드시 필요하다고 주장한다.

• 기존 연구와의 차별점: "검증 후 결제" 시스템처럼 불리언 통과를 내보내거나, 합리적 균형에 의존하는 "챌린지 게임" 시스템과 달리, RAILS는 결제를 뒷받침하는 증거의 허용성에 대한 반증 가능한 주장을 발행한다.
• 건전성의 범위: 논문은 건전성이 제공하는 바에 대해 겸허한 입장을 취한다. RAILS는 허용되지 않는 증거에 기반하여 결제가 발행되지 않도록 보장한다. 이는 지상 실재(Ground Truth)나 검증기의 정확성(Calibration), 혹은 증명자의 정직성을 보장하는 것이 아니다. 프로토콜이 무엇을 내보낼 수 있는지를 제한하는 것이지, 세상의 진리 그 자체를 보장하는 것이 아니다.
• 포지셔닝: RAILS는 MCP, A2A, 결제 레일과 같은 기존 프로토콜을 대체하는 것이 아니라, 이들을 하나로 묶어 "무슨 일이 일어났는가"를 "무엇이 결제되어야 하는가"로 변환하는 필수적인 청산 레이어로 제시된다.

결론적으로, RAILS는 허용성 하한선을 강제하고 정직한 근거 선언을 요구함으로써, 에이전트 커머스가 실험적 벤치마크를 넘어 실제 재무적 의무를 수행할 수 있도록 하는 구조적 무결성을 제공한다.