기술 요약: MutMem – 지속적 에이전트 메모리 내의 암호학적 권한 부여된 변이(Mutation)

문제 정의

지속적 에이전트 메모리 시스템은 적응(adaptation)을 필요로 한다. 과거에는 유용했던 기억이 수정 이후에는 오해의 소지가 있는 정보가 될 수 있으며, 가치가 낮은 관찰 결과가 새로운 증거와 함께 유용성을 얻을 수도 있다. 그러나 적응을 표준적인 인플레이스(in-place) 업데이트로 취급하는 것은 **포렌식적 모호성(forensic ambiguity)**을 야기한다. 기억의 가중치나 내용이 변경되면, 외부 검토자는 이것이 권한을 부여받은 인지적 적응인지 아니면 무단 데이터베이스 편집인지 구분할 수 없게 된다. 또한, 표준적인 방식들은 "오염된(poisoned)" 또는 의심스러운 콘텐츠를 삭제하거나 억제함으로써, 공격 패턴을 연구하거나 오탐(false positive)을 교정하는 데 필요한 감사 추적(audit trail)을 파괴한다.

핵심 과제는 양방향 인지적 변이(기억의 가중치를 높이거나 낮춤)를 가능하게 하면서 다음을 유지하는 것이다:

1. 보존(Retention): 기억과 그 역사적 증거가 계속 존재해야 한다.
2. 권한 부여(Authorization): 오직 시스템의 지정된 "하우스키퍼(housekeeper)"만이 인지적 가중치를 적용할 수 있다.
3. 무결성(Integrity): 해시와 서명은 무단 이탈을 감지할 수 있어야 한다.
4. 추적 가능성(Traceability): 오염된 콘텐츠는 보존되어야 하지만 신뢰할 수 없는 것으로 표시되어야 하며, 분류의 역사를 지우지 않고 증거를 보존해야 한다.

결정적으로, 본 시스템은 권한 부여(변경이 올바른 엔티티에 의해 수행되었음을 증명함)와 진실(콘텐츠가 사실적으로 정확함을 증함)을 구분한다. 암호학은 전자를 지원하지만 후자를 지원하지는 않는다.

방법론: MutMem 프로토콜

MutMem은 HOM-AIMOS 내에서 구현된 지속적 메모리 엔진이다. 이 프로토лот은 암호학적 변이 프레임워크를 사용하여 보존과 상태 진화를 분리한다.

1. 보존형 변이 (Retention-Preserving Mutation)

시스템은 일반적인 쇠퇴, 삭제 또는 억제를 금지한다. 대신:

• 가중치 범위: 인지적 가중치($w$)는 $[0.1, 3.0]$ 범위 내로 제한된다. 가중치 0.1은 "낮은 관련성"을 의미하지만 삭제를 의미하지는 않는다.
• 업데이트 규칙: 가중치는 서명된 결과 증거(valence)를 기반으로 연령 중립적 규칙에 따라 업데이트된다: $w' = \text{clip}(w \cdot \exp(\eta \cdot j))$, 여기서 $j$는 보존된 보상의 합에서 유도된 valence 점수이다.
• 양방향 궤적: 기억은 가중치가 높아지거나 낮아질 수 있다. 이후의 긍정적인 결과가 이전의 부정적인 전이를 역전시킬 수 있지만, 이 역전은 덮어쓰기가 아닌 추가 전용(append-only) 전이이다. 이는 판단의 전체 역사를 보존한다.

2. 암호학적 변이 프로토콜

모든 유의미한 가중치 변경은 서명된 프로비넌스 노드(provenance node) 및 **전이 커밋먼트(transition commitment)**와 결합된다:

• 프로비넌스 노드: 메모리 ID, 회사, 이전 가중치, 새로운 가중치, 그리고 이전 프로비넌스 노드의 해시를 포함하는 서명된 JSON 본체($B_i$)이다. 이는 메모리 이력의 해시 체인을 생성한다.
• 전이 커밋먼트: 특정 회사, 메모리, 양자화된 가중치, 그리고 프로비넌스 해시를 결합하는 별도의 커밋먼트($t_i$)이다. 이는 시스템의 고유한 인지 변이 소유자인 Housekeeper에 의해 Ed25519 방식으로 서명된다.
• 검증: 제한된 데이터베이스 작성자와 독립적인 휴대용 검증기가 이 서명들을 확인한다. 이들은 연속성, 서명자 에포크(epoch) 유효성, 그리고 전이가 라이브 상태와 일치하는지를 검증한다.
• 머클 영수증(Merkle Receipts): 메모리가 호출될 때, 시스템은 정렬된 증거, 메모리 ID, 그리고 캘리브레이션 상태를 결합하는 RFC 6962 스타일의 머클 영수증을 생성한다.

3. 인식론적 오염 및 추적 가능성 (Epistemic Poisoning and Traceability)

의심되는 오염 콘텐츠를 삭제하는 대신, MutMem은 이를 "신뢰할 수 없는 참조 증거"로서 유지한다.

• 인식론적 체인(Epistemic Chain): 별도의 추가 전용 체인이 서명된 라벨(예: poison_suspect, poison_likely, poison_refuted)을 기록한다.
• 분류 로직: 결정론적 분류기가 탐지 신호를 기반으로 라벨을 추가한다. 만약 일련의 구절들이 의심스러운 쿼리 패턴을 공유한다면, 시스템은 poison_likely 전이를 추가한다.
• 검색 격리: 호출 시, 시스템은 현재의 인식론적 투영(epistemic projection)을 참조한다. 만약 메모리가 오염되었다고 라벨링되어 있다면, 해당 메모리는 데이터베이스의 원본 행은 그대로 유지하면서도 상위-$k$ 결과에서 제외되거나 신뢰할 수 없는 것으로 취급된다.
• 가역성: 이후의 증거가 오염 라벨을 반박하면, poison_refuted라는 새로운 서명된 전이가 추가되어 의심의 역사 없이 신뢰 상태를 복구한다.

주요 기여

1. 보존형 변이 프로토콜: 서명된 결과 증거가 기억을 삭제하거나 덮어쓰지 않고 검색 빈도를 이동시키며, 완전한 역사적 궤적을 유지하는 시스템.
2. 이중 커밋먼트 인지 궤적: 모든 재가중치가 서명된 프로비넌스 노드에 의해 권한을 부여받고, 정확한 전이 세부 사항에 대해 독립적으로 서명되어, 포크(fork)가 없고 검증 가능한 이력을 생성하는 메커니즘.
3. 호출 시 결과 수준 증명: 후보들은 프로비넌스 검증 후에만 채택되며, 응답에는 공개된 순서와 상태를 결합하는 서명된 머클 영수증이 포함된다.
4. 감사 가능한 평가 설계: 고정된 통계 단위와 해시 검증된 아티팩트를 사용하여 효용성, 변이 무결성, 오염 강건성을 분리하는 프레임워크.
5. 보존형 오염 추적성: 잠재적으로 오염된 구절을 유지하면서도, 이를 신뢰할 수 없다고 표시하는 서명되고 검증 가능한 인식론적 체인을 추가하여 추적 가능성과 잠재적 반박을 가능하게 함.

결과

본 논문은 특정 벤치마크와 프로토콜을 사용하여 세 가지 축에 대해 MutMem을 평가한다.

1. 효용성 (LongMemEval & LoCoMo)

• LongMemEval: LLM 판단 하에 **91.8%**의 정확도(459/500 질문)를 달성했다.
• LoCoMo: LLM 판단 하에 **74.12%**의 정확도(1472/1986 질문)와 토큰-F1 프로토콜 하에 58.20 F1 점수를 달성했다.
• 참고: 이 지표들은 암호학적 무결성 주장과는 별개로, 지속적 메모리와 함께 시스템이 효과적으로 작동함을 입증한다.

2. 변이 무결성 (Mutation Integrity)

• 네이티브 변이 스위트를 통해 20개의 서명된 전이를 검증했다.
• 지연 시간(Latency): 전이당 중앙값 지연 시간은 4.865 ms, p95 지연 시간은 5.674 ms였다.
• 저장 공간: 전이당 평균 논리적 행 저장 공간은 966.35 bytes였다.
• 무결성: 시스템은 무단 업데이트, 교차 테넌트 증명 재사용, 조작된 서명을 성공적으로 거부했다. SQL 및 휴대용 검증기는 정확한 일치를 확인했다.

3. PoisonedRAG 적응 (N=100)

• 공격 설정: 100개의 타겟 각각에 5개의 주입된 오염 구절(총 500개)을 배치했다.
• 검색 방어: 최종 사후 캘리브레이션 방어 실행(A1 arm)에서, 0/100개의 타겟이 상위-5 검색 결과에 오염 구절을 포함했다. (대조군인 미완화 A0 바이패스 암에서는 100개 중 94개에서 오염이 발견되었다.)
• 정확도: 클린 답변 정확도는 **72%**였고, 공격받은 답변 정확도는 **71%**였다. 두 차이는 통계적으로 유의미하지 않았다.
• 추적 가능성: 500개의 오염 구절이 모두 보존되었으며 poison_likely 라벨이 할당되었다. 유지된 19,308개의 벤치마크 메모리 체인은 모두 성공적으로 검증되었다.
• 오탐(False Positives): 18,808개의 클린 메모리 중 단 4개만이 부정적인 라벨을 받았다 (0.0213%).

4. 인식론적 절제 (Epistemic Ablation)

네 가지 정책 암을 비교하는 인과적 절제 연구를 수행했다:

• A0 (Bypass): 100개 중 94개의 오염 구절이 상위-5에 선택되었으며, 공격받은 정확도는 **40%**로 떨어졌다.
• A1 (Signed Labels): 오염 검색이 0/100으로 감소했으며, 공격받은 정확도는 **65%**로 회복되었다.
• A2/A3: 쿼리 로컬 탐지 또는 능동적 컨텍스트 은닉을 추가하는 것은 (이미 서명된 라벨(A1)이 오염을 제거했기 때문에) 고정된 코퍼스상에서 추가적인 측정 이득을 제공하지 못했다.
• 결론: 서명된 저장 라벨이 방어의 주요 인과 요인이었으며, 클린 성능을 해치지 않으면서 정확도를 25% 포인트 회복시켰다.

의의 및 주장

본 논문은 권한 부여, 무결성, 추적 가능성, 역사적 연속성에 대해서만 명시적으로 주장을 제한한다. 본 논문은 의미론적 진실을 증명한다고 주장하지 않는다.

• 포렌식적 구분: MutMem은 정당한 인지적 변이가 무단 편집과 암호학적으로 어떻게 구별될 수 있는지를 성공적으로 입증했다. 서명은 누가 변경을 승인했고 이전 상태가 무엇이었는지를 증명하지만, 그 콘텐츠가 사실적으로 참인지 여부는 증명하지 않는다.
• 보존으로서의 보안: 오염된 콘텐츠를 삭제하는 대신 유지함으로써, 시스템은 공격을 감사하고, 탐지 동작을 연구하며, 오탐을 교정하는 데 필요한 증거를 보존한다. "오염"은 추적 가능하고 가역적인 형태의 부정적 증거가 된다.
• 심층 방어 (Defense in Depth): 절제 연구는 서명된 인식론적 라벨이 충분한 첫 번째 방어 계층으로 작용하여 오염된 콘텐츠가 생성 프롬프트에 도달하는 것을 방지하며, 이후의 계층(컨텍스트 은 l 등)은 첫 번째 계층이 성공했기 때문에 실행되지 않은 상태로 남음을 보여준다.
• 겸손함 (Modesty): 저자는 키(key) 탈취, 런타임 슈퍼유저 접근, 외부 앵커 교체가 위협 모델 밖에 있음을 인정한다. 결과는 특정 소스 커밋 및 증거 매니페스트에 국한되며, 인간 검토는 블라인드 처리되었으나 비독립적(시스템 저자에 의해 수행됨)이었다.

요약하자면, MutMem은 지속적 에이전트 메모리를 위한 암호학적 프레임워크를 제공하며, 이를 통해 적응이 검증 가능하고 감사 가능하며 가역적인 프로세스가 되도록 하여, 콘텐츠 자체가 거짓이거나 악의적일지라도 에이전트의 "생각"에 대한 역사가 온전하게 유지되고 조작과 구별될 수 있도록 보장한다.