사내 시스템에 AI 에이전트를 붙이려는 플랫폼 엔지니어라면, 어제 하루치 뉴스에서 챙길 것은 모델 순위표가 아닙니다. 에이전트가 남기는 흔적, 그리고 그 흔적에 찍히는 이름입니다. 어제 올라온 헤드라인 가운데 네 건이 공교롭게도 같은 축을 서로 다른 방향으로 밀었습니다. 한쪽은 없던 흔적을 강제로 새겼고, 다른 쪽은 감춰둔 흔적을 꺼냈으며, 또 한쪽은 흔적의 주인을 흐렸고, 마지막 한쪽은 흔적을 남길 자격을 명단으로 관리하기 시작했습니다.

봇이 로그인할 때, 감사 로그의 '누가' 칸에는 무엇이 남습니까 개념을 형상화한 이미지 글의 핵심 개념을 형상화했습니다.

없던 흔적을 강제로 새긴 쪽

Anthropic은 새로 생성되는 클로드 텍스트 전체에 비가시 서명을 삽입하기 시작했습니다. API와 모바일 앱, 클라우드 플랫폼을 가리지 않고 전 세계에 적용했고, 명시된 이유는 EU AI법의 출처 추적 요구와 8월 2일 시한입니다.

이 조치의 의미는 기술이 아니라 순서에 있습니다. 규제 시한이 제품의 기본 동작을 바꿨습니다. 옵션으로 제공되던 것이 기본값이 되었고, 사용자가 켜고 끄는 대상이 아니라 플랫폼이 보장하는 성질이 되었죠. 규제가 요구하면 생성물의 출처는 결국 추적 가능해진다는 선례가 하나 생긴 셈입니다.

다만 여기에는 명확한 경계가 있습니다. 워터마크는 생성물의 출처를 말해주지, 그 생성물이 어떤 행위의 결과였는지는 말해주지 않습니다. 어떤 계정이 어떤 권한으로 어떤 도구를 호출해서 그 텍스트를 만들었는지는 여전히 각 조직의 로그가 답해야 합니다. 규제가 모델 제공자에게 요구한 것은 “이 문장이 AI가 쓴 것인가”까지이고, “이 문장이 우리 조직의 어떤 워크플로에서 어떤 승인을 거쳐 나왔는가”는 여전히 우리 몫으로 남습니다. 이 갭이 오늘 이야기의 출발점입니다.

감춰둔 흔적이 새어 나간 쪽

같은 날 반대 방향의 소식도 나왔습니다. 연구진이 OpenAI와 Anthropic, Google의 API 아키텍처 결함을 이용해 암호화된 내부 사고 과정을 추출하는 방법을 공개했고, 이를 통해 31만 5320개의 은닉 추론 블록을 해독했다고 밝혔습니다. 연구진은 이 기법이 프론티어 모델의 증류를 가능하게 한다고 설명합니다.

기법의 재현성과 합법성을 둘러싼 논쟁은 원문에 구체적으로 서술되지 않았으니 확인이 필요한 대목입니다[추정]. 그럼에도 시사점은 분명합니다. 사업자가 의도적으로 감춘 내부 상태조차 API 경계에서 새어 나갈 수 있다는 사실이죠. 한쪽에서는 보이지 않는 서명을 심어 출처를 붙들고, 다른 쪽에서는 보이지 않던 사고 과정이 통째로 빠져나갑니다. 같은 인프라 위에서 벌어지는 일입니다.

증류 파이프라인을 운영하는 팀 입장에서는 새로운 데이터 소스가 열린 것처럼 보일 수 있습니다. 저희가 Maxis에서 다루는 소형 모델 학습과 증류의 관점에서도 흥미로운 사례입니다. 그러나 같은 사건을 보안 담당자의 자리에서 읽으면 결론이 반대가 됩니다. 우리가 외부 API로 흘려보내는 것 중에 우리가 감췄다고 믿는 무언가가 섞여 있지는 않은지 다시 점검하라는 신호로 읽히니까요.

흔적의 주인이 흐려지는 쪽

SpaceXAI는 맥과 iOS, 윈도우, 리눅스용 에이전트 앱인 그록 봇 베타를 내놨습니다. 사용자가 자율적인 디지털 팀원을 만들 수 있고, 봇이 직접 로그인해서 작업을 수행합니다. 에이전트에게 전용 클라우드 컴퓨터를 준다는 발상 자체는 방향이 맞습니다. 에이전트를 사람의 노트북 위에서 굴리는 것보다, 격리된 실행 환경을 따로 떼어주는 편이 안전하고 관리하기도 쉽습니다.

문제는 그다음 한 칸입니다. 봇이 사람의 자격증명으로 로그인하면, 남는 로그의 주체는 사람입니다. 사후에 무언가 잘못됐을 때 그 행위가 사람의 판단이었는지 에이전트의 자동 실행이었는지 구분할 방법이 사라집니다. 승인 절차를 아무리 잘 설계해도 승인 대상이 누구인지 로그가 모른다면, 그 절차는 사고가 난 뒤에 아무것도 증명해주지 못합니다.

에이전트에게 실행 환경을 주는 일과 에이전트에게 신원을 주는 일은 별개의 과제입니다. 앞의 것만 하고 뒤의 것을 미루면, 규모가 커질수록 되돌리기 어려워집니다. 자격증명을 회전하려 해도 어느 봇이 어떤 키를 쓰는지 목록이 없고, 권한을 좁히려 해도 사람과 봇이 같은 역할을 공유하고 있어 무엇을 떼어내야 할지 판단할 근거가 없기 때문입니다.

실무적으로는 세 가지를 분리해두면 대부분의 사후 질문에 답할 수 있습니다. 에이전트마다 고유한 주체 식별자를 부여하고, 그 주체가 어떤 도구를 호출할 수 있는지 별도의 권한 집합으로 묶으며, 실행 세션 단위로 입력과 출력, 호출한 도구, 통과한 승인 단계를 함께 기록하는 것입니다. 이 세 가지가 갖춰지면 “사람이 시킨 일인가”라는 질문과 “에이전트가 스스로 판단한 일인가”라는 질문을 로그만으로 구분할 수 있습니다. 반대로 하나라도 빠지면 사고 조사는 관련자의 기억에 의존하게 됩니다.

능력에 자격을 붙인 쪽

네 번째 사건은 조금 다른 접근입니다. OpenAI는 Daybreak 이니셔티브를 확장하면서 GPT 5.6 Cyber를 내놨습니다. 승인된 보안 연구자가 침투 테스트와 취약점 연구를 수행하도록 허용하는 최초의 모델이라고 소개했습니다.

여기서 눈여겨볼 부분은 능력의 유무가 아니라 자격의 존재입니다. 위험한 능력을 원천 봉쇄하는 대신, 그 능력에 접근할 수 있는 주체를 명단으로 관리하는 쪽을 택했습니다. 이것은 사실상 자율도 등급 설계의 축소판입니다. 같은 모델이라도 누가 호출하느냐에 따라 허용 범위가 달라지고, 그 결정은 모델이 아니라 플랫폼의 정책이 내립니다.

국내 조직에 그대로 옮기면 이런 모습이 됩니다. 사내 에이전트에게 운영 데이터베이스 조회를 열어줄지 말지를 모델 단에서 고민할 이유가 없습니다. 조회는 열되 어떤 테이블까지인지, 결과를 외부로 내보낼 수 있는지, 쓰기 작업은 어느 등급부터 허용할지를 정책으로 나눠두면 됩니다. 능력과 자격을 분리해두면 모델을 교체해도 통제 구조는 그대로 남습니다.

앞의 세 사건과 함께 놓고 보면 그림이 정리됩니다. 흔적은 강제로 새길 수 있고, 새어 나갈 수도 있으며, 주인을 잃을 수도 있습니다. 그리고 애초에 흔적을 남길 자격을 정책으로 통제할 수도 있습니다. 어제 하루에 이 네 가지가 각각 다른 회사에서 동시에 일어났습니다.

실행 빈도가 오르면 문제는 곱해집니다

엔비디아는 총 300억 파라미터의 오픈 웨이트 MoE 모델 네모트론 3.5 라이트닝을 공개했습니다. 목적이 분명합니다. 자율 에이전트의 반복 실행 단계를 가속하는 것이고, 동급 오픈 모델 대비 4배 속도를 표방합니다. 후속으로는 미국 최초의 1조 파라미터 오픈 모델인 네모트론 4를 예고했습니다.

반복 스텝의 단가가 내려가면 호출 수는 반드시 늘어납니다. 사람이 하루에 열 번 판단하던 자리를 에이전트가 하루에 수천 번 실행하게 되는데, 감사와 정책 검사 비용은 그 호출 수에 정직하게 비례합니다. 즉 오늘 감당할 만한 거버넌스 부담이 반년 뒤에는 다른 자릿수가 됩니다.

여기서 흔히 놓치는 지점이 하나 있습니다. 속도가 빨라지면 사람이 중간에 끼어들 여지도 그만큼 줄어든다는 사실입니다. 한 번의 판단에 수 초가 걸리던 시절에는 담당자가 화면을 보다가 이상한 낌새를 챌 수 있었지만, 초당 여러 건이 흐르기 시작하면 사람의 눈은 사실상 게이트 역할을 못 합니다. 그래서 승인은 사람이 지켜보는 형태가 아니라 정책이 자동으로 판정하고 예외만 사람에게 올리는 형태로 바뀌어야 합니다. 예고된 1조 파라미터 오픈 모델까지 생각하면, 이 전환을 미룰 이유는 점점 줄어듭니다.

동시에 이런 모델은 서빙 쪽에서 반가운 후보이기도 합니다. 저희가 Metis에서 다루는 추론 서빙과 양자화, 작업별 모델 라우팅의 관점에서 반복 스텝 전용 경량 모델은 곧바로 검토 대상에 오릅니다. 중요한 판단은 큰 모델에 맡기고, 반복되는 실행 스텝은 빠른 오픈 모델로 내리는 배치가 현실적인 절충안이 되겠습니다.

돈과 전력은 이미 그쪽으로 흐르고 있습니다

같은 날 자본 쪽 소식도 만만치 않았습니다. 엔비디아는 아폴로와 블랙록, 블랙스톤, 브룩필드, 골드만삭스, KKR과 손잡고 5천억 달러 이상의 제3자 자본을 동원해 AI 인프라 파이낸싱을 새로운 자산군으로 만들겠다고 발표했습니다. 시장의 반응은 환영 일색이 아니었습니다. 발표 이후 엔비디아의 5년물 신용부도스와프 프리미엄이 79.8bp까지 올라 5월 말의 두 배 수준이 됐습니다.

전력도 움직입니다. 비트코인 채굴업체 라이엇 플랫폼스는 텍사스 록데일 캠퍼스의 191메가와트 컴퓨팅 용량을 Anthropic에 2048년까지 임대하기로 했고, 계약 규모는 91억 달러입니다. 채굴 인프라가 AI 데이터센터로 전환되는 흐름은 저희가 Telox와 Velox로 겨냥하는 GPUaaS 및 베어메탈 공급원이 넓어지고 있다는 신호이기도 합니다.

자본과 전력이 이미 배치되고 있다는 사실이 왜 앞의 이야기와 연결될까요. 그 위에서 돌 워크로드가 결국 에이전트이기 때문입니다. 인프라는 20년짜리 계약으로 잠기는데, 그 위에서 실행될 에이전트의 신원 체계를 나중에 붙이겠다고 미루면 순서가 뒤집힙니다.

흔적을 일급 리소스로 두면 달라지는 것

ThakiCloud가 Paxis를 만들면서 택한 전제가 여기에 있습니다. Skills와 Tools, Policies, Audit Logs를 부가 기능이 아니라 일급 리소스로 둡니다. 에이전트가 무엇을 할 수 있는지는 스킬과 도구가 정의하고, 그것을 언제 해도 되는지는 정책이 결정하며, 실제로 무엇을 했는지는 감사 로그가 남깁니다. 세 가지가 같은 계층에 있어야 사후 추적이 성립합니다.

앞의 네 사건을 이 구조에 얹어보겠습니다. 봇이 사람 계정으로 로그인하는 문제는 에이전트에게 별도 신원을 부여하고 모든 실행을 감사 로그로 받는 것으로 좁힙니다. 위험한 능력에 명단을 붙이는 접근은 L0에서 L3까지의 자율도 등급과 정책 게이트에 대응합니다. 승인이 필요한 작업은 사람의 확인을 거치게 하고, 반복 실행은 낮은 등급에서 자동으로 흐르게 하죠. 내부 상태가 외부 API 경계에서 새어 나가는 위험은 격리 샌드박스 실행과 소버린 및 온프렘 K8s 배치로 경계 자체를 안으로 당겨 관리합니다. 반복 스텝의 단가 문제는 작업별 모델 선택을 담당하는 CostRouter가 받습니다.

거창한 이야기가 아닙니다. 어제 뉴스가 보여준 것은 에이전트의 능력이 빠르게 값싸지는 동안, 그 능력을 누가 어떤 자격으로 행사했는지 증명하는 일은 저절로 따라오지 않는다는 사실입니다. 처음의 질문으로 돌아가겠습니다. 지금 여러분의 감사 로그에서 에이전트가 수행한 작업의 ‘누가’ 칸에는 무엇이 찍히고 있습니까. 그 칸이 사람 이름 하나로 채워져 있다면, 늘려야 할 것은 모델 성능이 아니라 신원 체계입니다.

참고 자료

이 글은 아래 뉴스를 종합해 작성했습니다.

태그: agent-identity, agentops, AI 에이전트, ai-governance, audit-log, eu-ai-act, 오픈 웨이트

카테고리:

업데이트:

참고

화질 깎는 데 5천 원

 

30초짜리 480p 영상 한 편에 4달러 12센트, 그중 상당수가 화면을 일부러 거칠게 만드는 값이었습니다.