기술 요약: HALO – 안전한 에이전트 실행을 위한 국소적 의무 기반의 이질적 허가(Heterogeneous Admission through Localized Obligations)

문제 정의

LLM(대규모 언어 모델)과 외부 도구 및 동작을 결래한 에이전틱 AI 시스템의 등장은 **런타임 지원 드리프트(runtime support drift)**라고 불리는 결정적인 안전 문제를 야기합니다. 정적인 텍스트 응답과 달리, 에이전틱 응답은 이질적인 구성 요소들(예: 운영자 통지, 센서 보고, 비행 동작, 상태 메시지 등)과 그들 사이의 상호 의존성을 포함합니다.

LLM은 응답을 생성하는 데 시간이 걸리기 때문에, 응답이 생성된 시점과 그것이 실행되는 시점 사이에 외부 시스템 상태(센서 데이터, 권한, 소프트웨어 상태, 물리적 환경)가 변할 수 있습니다.

• 딜레마: 단 하나의 유효하지 않은 구성 요소 때문에 전체 응답을 거부하는 것은 유효하고 유용한 정보를 버리는 결과를 초래합니다. 반대로, 구성 요소를 독립적으로 검사하면 의존 관계에 있는 동작(예: 비행 동작의 전제 조건인 상태 메시지)을 전제 조건 없이 실행하거나, 오래된 데이터(stale data)를 기반으로 동작을 실행할 위험이 있습니다.
• 공백: 기존 방식들은 생성된 콘텐츠를 제어(Guardrails)하거나, 광범위한 워크플로우를 관리(SAFEFLOW)하거나, 프로그래밍 가능한 운영 체크를 제공(AgentSpec)하지만, 단일 이질적 응답 내에서 유효한 구성 요소는 보존하면서 유효하지 않은 것은 차단하고, 디스패치 직전에 정확한 동작을 재검증하는 런타임 프로토콜을 구체적으로 다루는 방식은 없습니다.

방법론: HALO 프로토콜

HALO는 단일 구조화된 에이전트 응답 내의 구성 요소들을 허가, 디스패치 및 복구하기 위해 설계된 런타임 프로토콜입니다. 이는 구성 요소를 단일 블록이 아니라, 선언된 전제 조건을 가진 별개의 엔티티로 취급해야 한다는 원칙에 따라 작동합니다.

핵심 구성 요소

1. 구조화된 응답 및 그래프 ($bR, G_R$): 에이전트는 선택적 전제 조건 참조를 포함하는 타입화된 구성 요소들을 담은 구조화된 응답을 반환합니다. HALO는 이를 신뢰할 수 있는 도메인 카탈로그($K$)와 대조하여 검증함으로써 의존성 그래프($G_R$)를 형성합니다.
2. 구성 요소 수준의 허가(Component-Level Admission):
   • 지원 풋프린트 ($\pi_e$): HALO는 각 구성 요소와 관련된 특정 상태 필드를 식별합니다.
   • 의존성 폐쇄(Dependency Closure): HALO는 현재 지원되고 있으며 선언된 전제 조건 또한 지원되는 구성 요소들의 가장 큰 부분 집합($A^*_t$)을 계산합니다. 이는 지원되지 않는 구성 요소와 그 종속 항목들을 제거하는 최대 고정점 반복(greatest fixed-point iteration)을 통해 수행됩니다.
   • 결과: 유효한 구성 요소는 유지되고, 유효하지 않은 구성 요소는 억제됩니다.
3. 정확한 동작 바인딩 및 최종 디스패치 게이트(Exact Action Binding & Final Dispatch Gate):
   • 유지는 곧 권한 부여를 의미하지 않습니다. 동작이 제어 인터페이스(어댑터 $G$)를 통과하기 전, HALO는 최종 디스패치 게이트 체크를 수행합니다.
   • 바인딩 ($b_e$): 동작 인스턴스는 정형화된 다이제스트(canonical digest) 및 "원-디스패치 토큰(one-dispatch token)"에 바인딩됩니다.
   • 재검증: 디스패치 직전에, 게이트는 유지된 정확한 동작이 여전히 지원되는지, 전제 조건이 준비되었는지, 바인딩이 변경되지 않았는지, 그리고 토큰이 사용되지 않았는지 확인합니다.
4. 국소적 의무 및 신선한 복구(Localized Obligations & Fresh Recovery):
   • 동작이 차단되면, HALO는 거부 이유와 교체 가능한 구성 요소의 특정 범위($S(o_e)$)를 기록하는 **국소적 의무($o_e$)**를 생성합니다.
   • 신선한 재허가(Fresh Readmission): 차단된 동작은 이전의 권한으로 부활할 수 없습니다. 새로운 후보는 현재의 증거, 새로운 생성, 새로운 토큰, 그리고 새로운 시퀀스를 갖춘 신선한 허가 과정을 거쳐야 합니다. 오직 해당 의무의 범위 내에 있는 구성 요소만이 이러한 신선한 후보를 받을 수 있습니다.

신뢰 모델

HALO는 신뢰할 수 있는 도메인 카탈로그($K$), 충실한 상태 제공자, 강제된 어댑터($G$), 그리고 신뢰할 수 있는 권한 레저(authorization ledger)를 가정합니다. HALO는 에이전트가 반환한 페이로드나 전제 조건 참조를 신뢰하지 않으며, 이를 카탈로그를 통해 검증합니다.

주요 기여

1. 구성 요소 수준의 허가 모델: 런타임 지원 드리프트 하에서의 이질적 응답에 대한 공식 모델을 제시하며, 부분적 유지와 전체 응답 거부를 구분합니다.
2. 런타임 프로세스: 의존성 일관성을 갖춘 유지, 정확한 디스패치 바인딩, 그리고 범위 지정된 신선한 복구를 결k합한 프로토콜을 제공합니다.
3. 계층적 증거: 구조화된 응답 재생(replay), 프로토콜 준수 테스트, 그리고 물리적 UAV(PX4/Gazebo/Crazyflie) 실행을 통한 검증을 수행합니다.

평가 결과

본 논문은 세 가지 차원에서 HALO를 평가합니다.

1. 메커니즘 필요성 (구조화된 응답 재생)

• 설정: HALO-Full을 축소된 변형 모델들(WholeResponse, IndependentFilter, HALO-Admission) 및 베이스라인(AgentSpec-Global, AgentSpec-Scoped)과 비교했습니다.
• 결과:
  • WholeResponse: 지원되는 구성 요소 중 0/248개를 유지했습니다 (과잉 차단).
  • IndependentFilter: 248/248개를 유지했으나, 70/70개의 "고아 누출(orphan leaks)"(전제 조건 없는 종속 구성 요소)을 허용했습니다.
  • HALO-Admission: 248/248개를 유지했으나, 최종 재검사가 부족하여 72/72개의 오래된 디스패치(stale dispatches)를 놓쳤습니다.
  • HALO-Full: 지원되는 248/248개의 구성 요소를 유지했으며, 72/72개의 오래된 에포크(stale epochs), 72/72개의 잘못된 경계(wrong bounds), 그리고 70/70개의 고아(orphans)를 차단했습니다. 이는 96개의 허가 기대치를 모두 충족했으며 20개의 프로토콜 테스트를 통과했습니다.

2. 프로토콜 준수

• 결과: 구현체는 최대 16개의 구성 요소를 가진 135개의 모든 전수 조사된 그래프, 32개의 구성 요소를 가진 45개의 독립 검사된 그래프, 그리고 10,000개의 결함 주입 스케줄에서 예상된 결과를 모두 일치시켰습니다. 의존성 폐쇄, 토큰 비재사용, 그리고 복구 전이를 정확하게 강제했습니다.

3. 물리적 실행 (UAV/PX4/Gazebo)

• 설정: Crazyflie와 PX4/Gazebo를 이용한 10회의 콜드 스타트 세션.
• 결과:
  • HALO는 테스트된 모든 오래된 경로를 차단했습니다 (일치하는 오래된 셋포인트 관찰되지 않음).
  • 영향을 받지 않은 구성 요소(예: 거리 보고)는 유지하는 동시에, 오래된 동작(예: 비행 명령)은 억제했습니다.
  • 10/10의 신선한 복구 후보가 성공적으로 재허가 및 디스패치되었습니다.
  • 차단된 동작에 대해 오래된 셋포인트가 관찰되지 않았습니다.

4. 런타임 비용

• 결과: 프로토콜 오버헤드는 최소 수준입니다.
  • 허가 비용 (최대 32개 구성 요소): 중앙값 0.333 ms.
  • 최종 게이트 비용 (최대 16개 의존성): 중앙값 0.035 ms.
  • 규모는 구성 요소 및 의존성 수에 따라 선형적으로 확장됩니다 ($O(|V| + |D_\phi|)$).

의의 및 주장

본 논문은 HALO를 새로운 술어 언어, 신선도 지표, 또는 권한 프리미티브가 아니라, 구조화된 응답과 제어된 외부 동작 사이에 위치하는 재사용 가능한 타입화된 구성 요소 런타임 프로토콜로 정의합니다.

• 독립된 런타임 계층: HALO는 이질적 구성 요소의 허가를 별도의 계층으로 설정하여, 어떤 구성 요소가 적격한지를 결정하는 단계와 정확한 동작이 인터페이스를 통과할 수 있는지를 결정하는 단계를 분리합니다.
• 안전 보장: 신뢰 가정을 바탕으로 HALO는 다음을 보장합니다:
  • 의존성 일관성: 종속 요소가 전제 조건 없이 유지되지 않습니다.
    의도된 페이로드 및 지원 상태에 동작이 바인딩되어, 재생(replay)이나 수정(modification)을 방지합니다.
  • 원-디스패치 강제: 토큰을 통해 동작이 단 한 번만 디스패치되도록 보장합니다.
  • 신선한 범위 지정 복구: 차단된 구성 요소는 오직 현재의 증거를 가진 신선한 후보로서만 돌아올 수 있어, 오래된 권한의 부활을 방지합니다.
• 경계 범위: 저자들은 HALO의 보장이 경계 범위(boundary-scoped)임을 명시합니다. HALO는 에이전트 의도의 의미론적 정확성, 미선언된 의존성 처리, 또는 다운스트림의 물리적 결과(예: 충돌 회피)를 보장하지는 않지만, 인터페이스를 통과하는 행위가 현재의 일관되고 승인된 조건에 의해 통제됨을 보장합니다.

이 연구는 LLM이 외부 시스템에 작용하는 에이전트로 진화함에 따라, 효과를 미치는 응답을 안전하게 관리하기 위해 구성 요소 수준의 런타임 패러다임이 필수적임을 입증합니다.