기술 요약: 에이전틱 인프라를 위한 주권적 보증 경계 (Sovereign Assurance Boundary)

1. 문제 정의

LLM(대규모 언어 모델) 에이전트를 운영 워크플로에 통합하는 것은 임계 제어 평면 권한 부여의 공백(control-plane authorization gap)을 초래한다. 에이전트는 고위험 변이(예: 노드 스케일링, 자격 증명 로테이션, 네트워크 보안 그룹 수정 등)를 프로덕션 리소스에 제안할 수 있지만, 기존의 보안 메커니즘은 이러한 비결정론적 추론 시스템을 규제하기에 불충분하다.

• 정적 vs 동적: 전통적인 IAM(식별 및 액세스 관리) 및 정책 엔진은 정적 권한이나 구조적 준수 여부는 강제할 수 있으나, 자율적인 제안이 실시간 증거에 의해 의미론적으로 정당화되는지 여부는 판단할 수 없다.
• 사후 처리의 한계: 감사 로그와 합의 프로토콜은 실행 후 또는 상태 전이를 합의한 후에 기록하거나, 상태 전이의 의미론적 안전성을 평가하지 못한 채 기록한다.
• 리스크 누적: 개별적으로는 타당해 보이는 에이전트의 행동들이 축적되어 가용성 중단, 데이터 노출, 정책 우회, 포렌식 컨텍스트 상실과 같은 시스템적 실패를 일으킬 수 있다.
• 핵심 공백: 에이전트의 제안을 증거, 정책, 그리고 철회 상태(revocation state)에 결합하여 실행 권한으로 전환하는 런타임 승인 경계가 존재하지 않는다.

2. 방법론: 주권적 보증 경계 (Sovereign Assurance Boundary, SAB)

본 논문은 에이전트의 추론과 인프라 변이 사이에 개입하는 인증서 기반 런타임 승인 경계인 **주권적 보증 경계(SAB)**를 제안한다. SAB는 기관이 정책, 증거 및 실행 권한에 대한 로컬 제어권을 보유한다는 원칙에 따라 작동하며, 에이전트 런타임을 신뢰할 수 없는 제안자(untrusted proposer)로 취급한다.

2.1 아키텍처: 에어락-브로커(Airlock–Broker) 모델

SAB는 시스템을 두 개의 뚜렷한 계층으로 분리한다:

1. 신뢰할 수 없는 에이전트 런타임(Untrusted Agent Runtime): 제안을 생성하지만, 어떠한 스탠딩 자격 증명이나 직접적인 실행 권한도 보유하지 않는다.
2. 신뢰할 수 있는 주권적 실행 브로커(Trusted Sovereign Execution Broker): 인프라 API를 호출할 수 있는 유일한 엔티티이다. 이 브로커는 서명된 **주권적 보증 인증서($\Omega$)**를 검증했을 때만 변이를 실행한다.

승인 파이프라인은 다음 단계들로 구성된다:

• 계약 컴파일(Contract Compilation): 가공되지 않은 에이전트 명령을 대상, 전제 조건, 사후 조건 및 롤백을 정의하는 강력한 타입의 **실행 계약($C$)**으로 정규화한다.
• 증거 결합(Evidence Binding): 증거 수집기가 텔레메트리, 로그, 티켓을 수집하여 의사 결정 시점의 시스템 상태에 대한 암호학적 다이제스트 $H(E)$를 계산한다.
• 결과 점수 산정(Consequence Scoring): 스코어러가 폭발 반경(blast radius), 권한 확장, 데이터 민감도, 불가역성 및 불확실성을 기반으로 리스크 메트릭 $R(C)$를 계산한다. 이는 자율성 레벨($L(C)$)(L0 권고부터 L5 금지까지)을 결정한다.
• 인증 경로 라우팅(Certification Path Routing): $L(C)$와 정책에 따라 계약은 특정 경로(예: PolicyOnly, LightweightQuorum, SQA, SQAPlusHuman)를 통해 라우팅된다.
  • 의미론적 쿼럼 보증(Semantic Quorum Assurance, SQA): 외부의 신뢰할 수 없는 검증자 메쉬가 행위의 의미론적 허용 가능성에 대한 서명된 증명($\Gamma_{SQA}$)을 제공한다.
  • 인간 승인(Human Approval): 고위험 행위의 경우, 운영자가 특정 계약 및 증거에 결합된 멀티 시그니처 승인을 제공한다.
• 인증서 발행(Certificate Issuance): 에어락(Assurance Airlock)(신뢰 컴퓨팅 기반(TCB)의 일부)은 모든 경로 요구 사항을 검증하고 서명된 **주권적 보증 인증서($\Omega$)**를 발행한다.
  • $\Omega$는 다음을 포함한다: $C$, $H(E)$, $R(C)$, $L(C)$, 인증 경로, 검증자 서명, 실행 ID($ID_{exec}$), 유효 기간($T_{valid}$), 정책 버전($P_{ver}$), 그리고 철회 에포크($\rho_{rev}$).
• 브로커 검증(Broker Verification): 실행 전, 주권적 브로커는 $\Omega$의 서명을 검증하고, 철회 에포크를 확인하며, 정책 버전을 검증하고, 결합된 증거 $E$로부터 실제 상태가 이탈했는지 확인하는 **상태 드리프트 체크($\Phi_{drift}$)**를 수행한다.

2.2 형식적 불변량(Formal Invariants)

SAB는 다섯 가지 권한 경계 불변량을 강제한다:

1. 제안-실행 디커플링(Proposal-Execution Decoupling): 어떤 에이전트 제안도 에어락 승인 없이 변이를 트리거할 수 없다.
2. 인증서 결합 실행(Certificate-Bound Execution): 실행은 브로커가 특정 계약 $C$를 포함하는 유효한 $\Omega$를 검증할 때만 발생한다.
3. 증거 결합(Evidence Binding): 승인 및 증명은 $C$와 $H(E)$에 암호학적으로 결합되어, 다른 컨텍스트에서 재사용되는 것을 방지한다.
4. 단조적 경로 선택(Monotone Path Selection): 계약은 선택된 인증 경로의 모든 요구 사항이 충족된 경우에만 승인된다. 낮은 수준의 보증 경로는 더 높은 리스크 요구 사항을 무시할 수 없다.
5. 휘발성 권한(Ephemeral Authority): 철회 에포크가 오래되었거나 실행 시간이 유효 기간을 벗어난 경우 인증서는 거부된다.

3. 주요 기여

본 논문은 네 가지 주요 기여를 한다:

1. 인증서 결합 승인(Certificate-Bound Admission): 자율적 실행 권한을 가변적인 권한에서 검토 가능하고 증거에 결합된, 철회 가능한 아티팩트로 전환하는 런타임 승인 경계를 정의한다.
2. 에어락-브로커 아키텍처: 제안, 승인, 실행을 분리하는 특정 구성 요소(계약 $C$, 증거 다이제스트 $H(E)$, 인증서 $\Omega$, 주권적 브로커)를 도입한다.
3. 결과 인식 인증(Consequence-Aware Certification): 실행 전 에스컬레이션, 거부 및 중단을 지원하는 결과 점수 산정, 자율성 레벨, 인증 경로 및 철회 메커니즘을 공식화한다.
4. 프로토타입 및 타당성 평가: 계약 직렬화, OPA/Rego 정책 검사, Ed25519 서명, PostgreSQL 기반 레저를 포함하여 시스템의 타당성을 입증하는 Go 프로토타입을 구현한다.

4. 결과 및 평가

저자들은 로컬 테스트베드에서 2,500회의 승인 시도와 500개의 레이블링된 실행 계약을 사용하여 프로토타입을 평가했다.

• 지연 시간(Latency):
  • 정책 전용 승인: ~1.84 ms (p50).
  • SQA 승인 (검증자 메쉬 포함): ~185 ms (p50) / 380 ms (p95).
  • 브로커 검증: ~0.15 ms (p50).
  • 철회 전파: ~12.4 ms (p95).
• 정확도(Accuracy):
  • 라우팅 정확도 (전문가 레이블링 오라클과의 일치도): 96.8%.
  • 안전하지 않은 승인율: 0.4%.
• 효율성(Efficiency):
  • 인간 승인 감소율: 인간 전용 큐(queue) 대비 68.2% 감소.
  • 인증서 저장 오버헤드: 액션당 약 3.4 KB.
• 재생 가능성(Replayability): 레저 항목의 100%가 스키마 컨텍스트와 함께 재생 가능했다.

결과는 제어 평면 오버헤드가 단일 워크스테이션에서 실행 가능하다는 것을 보여주며, 지연 시간을 대가로 보증과 재생 가능성을 확보한다.

5. 의의 및 주장

본 논문은 SAB가 기존 보안 계층을 대체하지 않으면서 특정 권한 부여의 공백을 해결한다고 주장한다.

• 운영적 주권(Operational Sovereignty): SAB는 주권을 정책 평가, 증거 보유, 서명 키, 실행 권한에 대한 로컬 제어권을 유지하는 것으로 정의한다. 외부 모델은 제안 생성으로 제한되며 로컬 인증을 우회할 수 없다.
• 구성 가능성(Composability): SAB는 IAM, 형식 검증, 합의 프로토콜 또는 인간 검토를 대체하는 것이 아니라, 이를 시스템 수준의 승인 경계로 구성한다. 이는 위임된 실행 권한을 인증서에 결합되고, 증거에 결합되며, 철회 가능하고, 재생 가능한 런타임 아티팩트로 취급한다.
• 리스크 완화(Risk Mitigation): 제안 생성과 실행을 분리하고 실행을 최신 증거 및 활성 정책에 결합함으로써, SAB는 자율적 추론만으로 상태를 변이시키는 것을 방지하여 시스템적 실패, 데이터 유출 및 정책 우회의 리스크를 완화한다.

저자들은 SAB가 신뢰 컴퓨팅 기반(TCB)의 무결성, 외부 증거의 신선도, 그리고 검증자의 캘리브레이션에 의존한다는 점을 인정하며 신중한 입장을 유지한다. 또한 프로토타입 결과는 워크로드에 따라 달라질 수 있으며 일반적인 성능을 보장하지는 않는다고 언급하며, 고위험 도메인부터 시작하는 점진적 배포 전략을 제안한다.