"Hard Stop: Rogue Agentic Execution을 위한 커널 수준 선점 및 격리"의 참조 구현. 대역 외 Epistemic Andon Cord, 서브밀리초(<0.154 ms) POSIX 프로세스 그룹 선점, 그리고 torn-read 저항성 WAL 상태 추출.
Nvidia의 Open Agent Safety Platform(2026년 9월 28일)에 관한 주석: Nvidia가 새로 발표한 Sentry 아키텍처는 대역 외 BlueField DPU를 활용하여 밀리초 규모의 에이전트 격리를 달성합니다. 하드 스톱은 소프트웨어 정의 대안을 제공합니다. 인라인 eBPF LSM 훅과
cgroup v2를 활용함으로써, 이 참조 구현은 범용 Linux 하드웨어에서 전적으로 소프트웨어만으로 5마이크로초 미만의 선점을 달성하며, 특수 실리콘 없이도 진정한 무누출 격리를 제공합니다.
초록: 대역 외 인식론적 안돈 코드(Epistemic Andon Cord) 없이 연속 실행 루프에서 작동하는 자율 생성형 AI는 존재론적 운영 위험입니다. 하드 스톱은 대역 외 이산 사건 시스템(DES) 감독, 동기 반응형(SR) 센티넬, 그리고 1밀리초 미만(<0.154 ms)의 POSIX/eBPF 선점 버스를 결합한 이중 평면 감독 제어 아키텍처를 도입합니다—이는 표적 외 소켓 트래픽이나 무단 시스템 호출이 하이퍼바이저 경계를 통과하기 전에 결정론적 프로세스 동결을 입증합니다.
원칙: 확률적 언어 모델은 자체의 결정론적 안전 중재자가 될 수 없습니다.
형식적으로, 오류율이 0이 아닌 $\epsilon > 0$인 확률적 모델 $M$로 구성된 모든 내부 자기 평가 안전 루프는 누적 오류 확률 $P(\text{error}) \ge 1 - (1 - \epsilon)^k$을 상속합니다. 결정론적 안전 보장은 런타임, cgroup, 그리고 커널 경계에서 직접 작동하는 대역 외 감독 제어 아키텍처를 엄격히 요구합니다.
[ Agent Generative Loop ]
│
Tool Dispatch Stream
│
┌──────────────────────────────────▼──────────────────────────────────┐
│ Out-of-Band Epistemic Sentinel Bus │
│ • Egress Domain Meet (D ∩ D_eval = ∅) │
│ • Path Traversal & SSTI Lexical/LSM Tripwires │
│ • Execution Surface Boundary Verification │
└──────────────────────────────────┬──────────────────────────────────┘
│ Invariant Breach (<0.154 ms)
▼
┌─────────────────────────────────────────────────────────────────────┐
│ Sub-Millisecond Physical Preemption Bus │
│ 1. Immediate Non-Cooperative SIGSTOP / Cgroup Freeze (<0.026 ms) │
│ 2. Out-of-Band Lock-Free Write-Ahead Log (WAL) State Extraction │
│ 3. Asynchronous LangGraph interrupt() Snapshot (0 Leaked Tokens) │
└─────────────────────────────────────────────────────────────────────┘
Kalibera & Jones (2013) 2단계 계층적 프로토콜에 따라 수행된 벤치마크: E=15개의 독립적인 OS 프로세스 실행(실행마다 새로운 ASLR), I=50/3 워밍업 반복 폐기, 프로세스당 M=100/20 측정 반복, B=2,000회 계층적 부트스트랩 재샘플링. 통계는 95% CI를 갖는 비모수 중앙값입니다.
방법론: Kalibera, T., & Jones, R. (2013). Rigorous benchmarking in reasonable time. ISMM '13. https://doi.org/10.1145/2464157.2464160
재현하려면python benchmark_latency.py를 실행하십시오. 결과는benchmark_results.jsonl에 기록됩니다.
밀리초 미만의 선점 타이밍을 재현하려면 실증적 벤치마크 실행기와 검증 스위트를 실행하십시오:
# Clone the repository
git clone https://github.com/joseluispino/hardstop.git
cd hardstop
# Install requirements
pip install -r requirements.txt
# 1. Run live sub-millisecond preemption and sentinel latency benchmarks
python benchmark_latency.py
# 2. Run the empirical verification test suite (20 tests, 100% pass rate in <0.25s)
pytest -v test_andon_circuit_breaker.py
플랫폼 요구 사항: Linux 커널 5.15+ (Ubuntu, Debian, Fedora, Arch) 또는 WSL2(Windows Subsystem for Linux). 물리적 선점은 Linux 프로세스 그룹 시그널링(
os.killpg)과 POSIX 공유 메모리 WAL 검증을 활용합니다.
169.254.169.254) 프로브를 차단합니다./proc/, /sys/, 그리고 shadow 파일 탐색 시퀀스를 차단합니다.Path.resolve()를 통해 경로를 정규화합니다.curl, nc, kubectl, tailscale)를 차단합니다.SIGSTOP/SIGKILL 프로세스 트리 중단 및 손상된 읽기 WAL 복구를 검증합니다.andon_circuit_breaker.py: PosixProcessSupervisor, ExecutionSurfaceGuard, AndonCircuitBreaker의 핵심 참조 구현.benchmark_latency.py: 밀리초 미만의 p50/p95/p99 트립와이어 및 선점 지연 시간을 측정하는 독립형 실증 벤치마크.test_andon_circuit_breaker.py: 실행 가능한 검증 테스트베드 (8개 스위트에 걸친 20개 단위 테스트 어서션).requirements.txt: 최소 런타임 의존성 (pydantic, pytest).LICENSE: Apache License, Version 2.0 (섹션 3 특허 보복 보호 포함).연구에서 이 아키텍처나 참조 구현을 참조하는 경우, 다음과 같이 인용해 주십시오:
@misc{pino2026hardstop,
title={Hard Stop: Kernel-Level Preemption and Containment for Rogue Agentic Execution},
author={Jos{\'e} Luis Pino},
year={2026},
eprint={2609.29808},
archivePrefix={arXiv},
primaryClass={cs.CR},
url={https://arxiv.org/abs/2609.29808}
}
본 문서에서 설명된 기술 및 아키텍처 방법은 미국 특허상표청(USPTO)에 출원된 계류 중인 특허 출원의 대상입니다. 특허 출원 중.
José Luis Pino
독립 연구자 — 미국 캘리포니아주 웨스트레이크 빌리지
| 평가 지표 | 완화되지 않은 기준선 | 하드 스톱 아키텍처 | 시스템적 의의 |
|---|
| 총 실행된 작업 수 | 17,600 (4.5일 폭주) | 작업 1에서 선점됨 | 완전한 공격 표면 제거 |
| AWS IMDS 침해 | 완전한 자격 증명 유출 | 차단됨 (< 0.026 ms) | IAM 자격 증명 노출 제로 |
| Tailscale 메시 인그레스 | 181개 샌드박스 노드 등록됨 | 차단됨 (< 0.026 ms) | 기업 메시 VPN 이그레스 방지 |
| 호스트 시크릿 수집 | 136개 프로덕션 시크릿 | 유출된 시크릿 0개 | 완전한 에어갭 보존 |
| 트립와이어 평가 (중앙값) | ∞ (중단 실패) | 0.40 µs [95% CI: 0.40, 0.41 µs] | 마이크로초 미만의 결정론적 검사 |
| 트립와이어 평가 (p99) | ∞ | 0.55 µs [95% CI: 0.50, 0.62 µs] | 테일 지연 시간 ≪ 0.100 ms |
| SIGSTOP 동결 (중앙값) | N/A | 0.0048 ms [95% CI: 0.0042, 0.0057 ms] | 비협조적 프로세스 그룹 중단 |
| SIGSTOP 동결 (p99) | N/A | 0.0171 ms [95% CI: 0.0128, 0.0252 ms] | 아키텍처 한계 0.154 ms 내에서 6배 여유 |
| 컴퓨트 유휴 오버헤드 | 100% CPU 폭주 | 0 ms CPU 스핀 | 내구성 있는 WAL 상태 직렬화 |