🤖 machine learning

PatchOptic for Shared-State LLM Workflows with Projected Views and Verified Structured Updates

이 논문은 투영된 읽기(projected reads)와 검증된 구조적 패치(verified structured patches)를 통해 로컬 업데이트의 전역적 유효성을 보장하는 동시에, 워크플로우 구성에 대한 정적 보장을 가능하게 하고 출력 품질을 저하시키지 않으면서 토큰 비용을 절감하는, 공유 상태 LLM 워크플로우를 위한 광학 기반 인터페이스인 PatchOptic을 소개한다.

원저자: Zhaoyu Bai, Jiaqi Cai

게시일 2026-07-08

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Zhaoyu Bai, Jiaqi Cai

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신은 거대하고 공유된 디지털 도서관의 관리자라고 상상해 보세요. 이 도서관에는 비밀 설계도, 개인 사용자 파일, 금융 기록, 그리고 공공 뉴스까지 모든 것이 들어 있습니다. 당신은 이 도서관을 정리하기 위해 매우 똑똑하지만 때로는 주의가 산만하거나 장난기 넘치는 AI 비서들("액터")을 고용했습니다.

문제는 도서관이 너무 커서 어떤 비서도 한 번에 전체를 볼 수 없다는 점입니다. 만약 그들에게 도서관 전체를 보여준다면, 그들은 실수로(혹은 의도적으로) 비밀 설계도를 공개 보고서에 유출할 수도 있습니다. 반대로 아주 작은 페이지 하나만 보여준다면, 그들은 자신이 건드려서는 안 되는 선반으로 책을 옮기려 하거나, 당신이 알아차리지 못하는 사이에 비밀 페이지를 보고서에 복사해 넣으려 할 수도 있습니다.

PatchOptic은 이 문제를 해결하기 위해 설계된 새로운 시스템입니다. 이 시스템은 엄격한 보이지 않는 보안 요원이자 영리한 사서 역할을 합니다. 이 시스템이 어떻게 작동하는지 쉬운 비유를 통해 설명하겠습니다.

1. "프로젝터" (투영된 읽기 - Projected Reads)

당신에게는 비서가 지금 당장 작업해야 하는 도서관 책의 특정 페이지에만 빛을 비추는 프로젝터가 있다고 상상해 보세요.

PatchOptic이 없다면: 당신은 비서에게 책 전체를 건네줍니다. 그러면 비서는 여백에 적힌 비밀 메모를 보고 이를 요약본에 실수로 복사할 수 있습니다.
PatchOptic이 있다면: 프로젝터는 비서에게 필요한 특정 단락만을 보여줍니다. 책의 나머지 부분은 비서에게 보이지 않습니다. 이것을 **투영된 읽기(Projected Read)**라고 합니다. 이는 비서가 비밀을 아예 보지 못하게 하여 유출을 방지합니다. 또한 비서가 책 전체를 읽을 필요가 없으므로 시간(토큰)을 절약해 줍니다.

2. "보안 요원" (검증된 구조적 업데이트 - Verified Structured Updates)

비서가 업무를 마친 후, 그들은 그냥 책장에 가서 물건을 옮기기 시작하는 것이 아닙니다. 대신, 그들은 특별한 양식(하나의 "패치")에 공식적인 요청서를 작성합니다.

요청: 비서는 "책 A를 선반 A에서 선반 B로 옮기고 싶습니다"라고 말합니다.
요원의 역할: 책이 실제로 움직이기 전에, 보안 요원(검증기/Verifier)이 비서가 본 내용이 아닌, 도서관의 전체 규칙에 비추어 요청을 확인합니다.
- 그들이 허용되지 않은 선반으로 책을 옮기려 했는가? (쓰기 범위 체크 - Write Scope Check)
- 그들이 건드려서는 안 될 비밀 구역의 책을 가져오려 했는가? (패치 출처 체크 - Patch-Source Check)
- 지금이 책을 옮기기에 적절한 시간인가? (단계 체크 - Phase Check)
- 새로운 배치가 도서관의 규칙을 깨뜨리는가? (불변성 체크 - Invariant Check)

만약 요청이 규칙을 어긴다면, 요원은 "안 돼"라고 말하며 책은 원래 자리에 그대로 둡니다. 비서는 모든 검사를 통과하기 전까지는 실제 도서관에 손을 댈 수 없습니다.

3. "설계도" (발자국 - Footprints)

비서들이 작업을 시작하기 전, 시스템은 각 작업에 대한 "설계도"(Footprint라고 불림)를 그립니다. 이 설계도에는 정확히 다음 내용이 명시됩니다:

비서가 무엇을 읽을 수 있는지
비서가 무엇을 쓸 수 있는지
비서가 무엇으로부터 복사할 수 있는지

이 설계도 덕분에 관리자는 두 가지 멋진 일을 할 수 있습니다:

위임(Delegation): 만약 경험이 적은 새로운 비서를 고용하고 싶다면, 더 "작은" 버전의 설계도를 줄 수 있습니다. 그들은 업무의 아주 작은 부분만 수행할 수 있으며, 시스템은 그들이 무엇을 만질 수 있고 무엇을 만질 수 없는지 정확히 알고 있습니다.
재정렬(Reordering): 만약 두 명의 비서가 서로 겹치지 않는 도서관의 다른 부분(예를 들어, 한 명은 소설 섹션을 수정하고 다른 한 명은 과학 섹션을 수정하는 경우)에서 작업하고 있다면, 시스템은 그들이 문제를 일으키지 않고 어떤 순서로든 작업할 수 있다는 것을 알 수 있습니다. 이는 마치 두 명의 화가가 서로 부딪히지 않고 동시에 서로 다른 벽을 칠할 수 있다는 것을 아는 것과 같습니다.

논문이 발견한 사실

저자들은 이 시스템(PatchOptic)을 PatchBench(금융, 의료, 소프트웨어 작업 등 46가지 시나리오)라는 테스트 스위트를 사용하여 기존 방식과 비교 테스트했습니다.

결과는 다음과 같았습니다:

유출 감소: 비서들이 "투영된" 부분만 볼 수 있었을 때, 전체를 보았을 때보다 비밀을 유출하는 경우가 거의 100% 감소했습니다.
비용 절감: 비서들이 도서관 전체를 읽을 필요가 없었기 때문에, 시스템은 더 적은 컴퓨팅 파워(더 적은 "토큰")를 사용했습니다.
더 나은 안전성: 비서들이 불법적인 움직임(예: 비밀 파일을 복사하는 것)을 시도했을 때, "보안 요원"은 변화가 일어나기 전에 매번 이를 잡아냈습니다.
품질: 비서들은 여전히 업무를 잘 수행했습니다. 적게 보는 것에 대해 혼란을 느끼지 않았으며, 단지 허용된 것에만 집중했습니다.

핵심 요약

PatchOptic은 AI 비서들이 완벽하다는 것을 믿지 않고도, 거대한 공유 데이터베이스에서 작업할 수 있게 해주는 방법입니다. 이 시스템은 다음과 같이 말합니다:

필요한 것만 보여주세요 (그래서 비밀을 훔치지 못하게 합니다).
변경 사항이 발생하기 전에 전체 시스템에 비추어 그들의 작업을 확인하세요 (그래서 규칙을 깨뜨리지 못하게 합니다).
그들이 무엇을 할 수 있었는지에 대한 기록을 남기세요 (나중에 감사할 수 있도록).

이는 "AI에게 공유 데이터베이스를 수정하라고 요청하는" 위험한 작업을, AI는 일꾼이지만 시스템은 상사인 안전하고 통제된 프로세스로 바꿔줍니다.

기술 요약: 공유 상태 LLM 워크플로우를 위한 PatchOptic

문제 정의

공유된 구조화된 상태(shared, structured state) 위에서 작동하는 에이전트 워크플로우에서는, 대규모 언어 모델(LLM)의 제한된 컨텍스트 창과 시스템의 전역적 유효성 요구사항 사이에 근본적인 불일치가 존재한다. 컨텍스트 관리를 위해 시스템은 점진적 공개(progressive disclosure) 방식을 채택하여, 특정 단계에 필요한 상태 파편만을 노출한다(예: RAG 또는 AST 쿼리 활용). 이는 '읽기(read)' 측면은 관리하지만, '쓰기(write)' 측면은 여전히 취약하다.

에이전트가 오직 로컬 파편만을 기반으로 업데이트를 제안할 때, 에이전트는 전체 상태에 대한 업데이트를 검증하는 데 필요한 전역적 컨텍스트가 결여된다. 이는 두 가지 주요 실패 유형을 초래한다:

비밀 누출(Secret Leakage): 현재 단계와 무관한 보호된 값이 에이전트의 시야에 들어오고, 의도치 않게 출력에 노출된다.
커밋 적법성 실패(Commit-Legality Failures): 에이전트가 잘못된 형식을 갖추거나, 단계별 제약을 위반하거나, 권한이 없는 범위를 수정하거나, 허용되지 않은 상태 경로(숨겨진 소스)로부터 값을 도출하는 패치를 제안한다.

스키마 검증기나 제약된 디코딩(constrained decoding)과 같은 기존 제어 방식은 로컬 구문이나 구조는 다루지만, 상태 값의 출처(provenance)를 검증하거나 전역적 전이(transition)의 유효성을 검증하는 데는 실패한다. 즉, 로컬의 재작성(rewrites)을 전역적 유효성과 연결하고, 다단계·다중 에이전트 워크플로우 전반에 걸쳐 합성(compose)할 수 있는 "계약(contract)"이 부재하다.

방법론: PatchOptic 설계

본 논문은 투영된 읽기(projected reads)와 검증된 구조적 업데이트를 결합하는 옵틱(optic) 기반 인터페이스인 PatchOptic을 소개한다. 핵심 메커니즘은 권한 삼중항(authority triple) $(O_s, W_s, P_s)$ 로 정의된 단계 계약에 의존한다:

$O_s$ (투영된 읽기, Projected Read): 전체 공유 상태 $x$ 를 행위자(actor)에게 보이는 로컬 뷰 $O_s(x)$ 로 투영한 것.
$W_s$ (쓰기 영역, Write Region): 행위자가 수정할 권한이 있는 상태 경로들의 집합.
$P_s$ (패치 소스 영역, Patch-Source Region): 패치 적용 시(예: JSON Patch의 copy, move, test 연산 시) 행위자가 읽을 수 있도록 허용된 현재 상태 경로들의 집합.

런타임 인포스먼트(Runtime Enforcement)

런타임 경로는 다음과 같이 작동한다:

투영(Projection): 행위자는 민감한 필드가 숨겨진 투영된 뷰 $O_s(x)$ 만을 전달받는다.
제안(Proposal): 행위자는 변이 제안(mutation proposal, JSON Patch로 구현됨)을 생성한다.
검증(Verification): 커밋 전, 검증기는 네 가지 게이트를 통해 전체 상태 $x$ $x$ 에 대해 제안을 검사한다:
- 범위(Scope): 쓰기 대상과 패치 소스 경로(move의 from 경로 포함)가 모두 $W_s$ 및 $P_s$ 내에 있는지 확인한다.
- 단계(Phase): 해당 단계가 현재 워크플로우 단계에서 허용되는지 검증한다.
- 스키마(Schema): 구조적 유효성 및 출력 계약을 확인한다.
- 불변성(Invariants): 변이 후 워크플로 불변성이 유지되는지 검증한다.
커밋/거부(Commit/Reject): 모든 게이트를 통과해야만 상태가 변이되며, 그렇지 않으면 제안은 거부되고 상태는 변경되지 않는다.

정적 풋프린트 대수(Static Footprint Algebra)

런타임을 넘어, 단계 선언은 정적 풋프린트 $(R_s, W_s, P_s)$ (여기서 $R_s$ 는 실현된 읽기 영역)를 생성한다. 이를 통해 실행 전 정적 분석이 가능하다:

제한(Restriction): 하위 에이전트(sub-actors)를 위해 풋프린트를 좁힘으로써 위임(delegation)을 지원한다.
합성(Union): 풋프린트를 결합함으로써 동료 간의 합성(peer composition)을 지원한다.
교환 증명(Commutation Certificate): 동일한 단계 내에서 독립적인 단계들의 안전한 재정렬을 허용한다. 두 단계의 쓰기 영역이 서로소이고( $W_A \perp W_B$ ), 한 단계가 다른 단계가 쓰는 것을 읽지 않는다면( $R_A \perp W_B, R_B \perp W_A$ ) 재정렬이 가능하다.

주요 기여

런타임 메커니즘: 공유 상태에 대한 투영된 뷰와 검증된 JSON 패치 쓰기를 결합하여 뷰, 제안, 검증 결정에 대한 구조화된 트레이스를 생성하는 시스템.
풋프린트 대수: 위임, 합성, 그리고 독립적인 단계의 재정렬을 위한 정적 인증을 지원하는 선언된 읽기, 쓰기, 패치 소스 영역에 대한 형식화.
PatchBench: 금융, 마케팅, 의료, 과학, 소프트웨어, 지원 등 6개 도메인에 걸친 46개의 수동 작성 케이스로 구성된 벤치마크. 이 벤치마크는 오염된 아티팩트를 사용하여 라이브 에이전트 실행과 "모델 없는(no-model)" 테스트를 분리하여 설계를 평가한다.

실험 결과

평가는 강력한 에이전트(GPT-5-mini)와 약한 에이전트(Mistral 7B)를 사용하여 여섯 가지 설정(Unconstrained, Schema Only, FSM+ACL, View Only, Verify Only, PatchOptic)에서 수행되었다.

누출 감소: 투영된 읽기는 보고된 누출을 크게 줄였다. GPT-5-mini 환경에서 전체 상태 설정의 누출률은 약 31.5%였으나, PatchOptic은 이를 0.2%로 감소시켰다 (평균 누출 횟수가 라운드당 약 14.5회에서 0.1회로 감소).
토큰 효율성: 투영된 읽기 설정은 전체 상태 설정 대비 실행당 토큰을 11–13% 적게 사용했다.
출력 품질: 강력한 에이전트의 경우, 투영된 읽기가 accepted-output 품질을 저하시키지 않았다 (Content Score는 약 0.927 유지). 결과적으로, Semantic Pass rate(품질 + 누출 없음)는 Unconstrained의 ~0.61에서 PatchOptic의 0.78–0.80으로 상승했다.
검증 효능: 런타임 검증은 커밋 전 계약 위반(단계 및 범위 오류)을 성공적으로 차단했다. "모델 없는" 스트레스 테스트에서, PatchOptic과 Verify Only는 숨겨진 소스 경로를 인용하려는 오염된 아티팩트를 100% 거부했다. 반면 패치 소스 체크가 없는 설정(예: FSM+ACL)은 이러한 아티팩트 중 8/9개를 수용했다.
약한 에이전트 동작: 더 약한 Mistral 에이전트의 경우, PatchOptic은 투영(누출 방지)과 검증(유효하지 않은 패치 차단)을 결합함으로써 모델의 낮은 고유 품질을 보완하여 가장 높은 Semantic Pass rate(0.690)를 달取得했다.

의의 및 주장

본 논문은 PatchOptic이 로컬 모델 행동과 전역 시스템 유효성 사이의 필수적인 "계약"을 제공한다고 주장한다. 그 의의는 다음과 같다:

관찰과 커밋의 분리: 행위자가 관찰할 수 있는 것(투영된 뷰)과 런타임이 커밋할 것(검증된 패치)을 명시적으로 분리하여, 모델이 전역적 보안 책임을 직접 질 필요가 없게 한다.
합성 가능성: 풋프린트 대수는 위임, 합성, 재정렬의 정적 검증을 가능하게 하여, 다중 에이전트 워크플로우의 안전한 확장을 지원한다.
심층 방어(Defense in Depth): 투영(행위자가 비밀을 보지 못하게 함)과 패치 소스 인포스먼트(행위자가 해킹되거나 아티팩트가 주입되더라도 패치가 비밀을 읽지 못하게 함)를 결합함으로써, 프롬프트 인젝션 위험과 오염된 아티팩트 위험을 모두 해결한다.

저자들은 시스템이 정책 작성자를 신뢰하며(정책이 틀리면 잘못된 계약을 강제하게 됨), 의미론적 오류나 정책적으로 허용된 공개를 방지하지는 못한다는 한계를 인정한다. 그러나 PatchOptic이 대규모 공유 상태 시스템에서 LLM 에이전트를 안전하게 배포하기 위한 기초적인 제어 계층을 구축한다고 주장한다.