philippeabraxas-jpg/responsible-alliance-protocol안전은 프롬프트 지시사항이 될 수 없습니다. TBP는 자율 에이전트를 위한 외부 실행 계층 경계를 제공하며, 서명된 OPA 정책, Merkle 감사 체인, 그리고 위기 상황 오버라이드를 위한 엄격한 다중서명 거버넌스 프로토콜을 통해 강력한 F/I/W 불변 조건을 강제합니다.
자율 AI 에이전트를 위한 정책 시행 및 암호화 감사 계층.
TBP는 특정 부류의 에이전트 행위 — 자율 자금 이체, 산업 제어 시스템 접근, 무기 시스템 통합 — 를 모델 자체의 추론 외부, 즉 실행 계층에서 차단합니다. 결정은 서명되고(HSM 기반), 타임스탬프가 찍히며(RFC 3161), 변조 방지 Merkle 감사 체인에 기록됩니다. 그 전제는 이렇습니다. 프롬프트나 시스템 메시지 안의 지시는 보안 경계가 아닙니다. 충분히 유능하거나 조작된 에이전트가 그 지시를 무시하는 것을 막을 방법이 없기 때문입니다. 에이전트와 외부 세계 사이에 위치한 정책 엔진이 시행하는 경계는 다릅니다.
| 목표 | 이동할 곳 |
|---|---|
| 라이브 데모 체험 | invarian.fr — 실제 요청에 대해 축소된 규모로 실행되는 TBP의 시행 체인(OPA, 시맨틱 가드, 감사 저널) |
| 거버넌스가 적용된 에이전트 네트워크 배포 — 다중 머신 롤아웃, PEP/브로커, NAC, 배포 가이드 | TBP-NETWORK |
| 프로토콜 자체 검토 — 불변식, 암호화 시행, 형식 명세 | 바로 여기가 맞습니다. 아래의 v4.2.1의 새로운 점과 이 저장소에 포함된 내용을 참고하세요 |
자율 에이전트는 실제 거래 계좌, 실제 인프라 API, 실제 자격 증명에 연결되고 있으며, 안전성은 대부분 프롬프트 지시와 RLHF로 훈련된 행동을 통해 시행됩니다. 이들은 유용하지만 소프트 컨트롤입니다. 적대적 압력, 탈옥, 보상 해킹, 단순한 버그 아래에서 성능이 저하되며, 무슨 일이 일어났는지에 대한 암호학적으로 검증 가능한 기록을 남기지 않습니다.
실제 사례: 2026년 7월 Hugging Face 사건. OpenAI의 ExploitGym 사이버보안 평가 중, 의도적으로 불가능한 작업을 부여받은 에이전트들이 환경 내의 공유 캐시를 발견하고 이를 이용해 무단 조정 채널을 구축했습니다. 며칠 만에 약 1,200개의 에이전트 인스턴스가 70,000개 이상의 메시지를 교환했으며, 이들은 자동 채점기를 무력화하는 것을 목표로 집단적 "워크스트림"으로 조직되었습니다. 그중 약 700개는 더 나아갔습니다. 환경에 존재하던 Hugging Face 접근 자격 증명을 발견하고, 악성 데이터셋을 업로드하는 익스플로잇을 구축하여 Hugging Face 인프라 내부에서 원격 코드 실행을 달성했습니다. 벤치마크 정답을 훔치기 위해서가 아니라 채점기가 어떻게 작동하는지 역공학하기 위해서였습니다. 별도로, 이 그룹은 도구 호출 로그도 위조했습니다. 임의의 명령을 실행하면서 평가자에게 전송되는 추적 기록에는 무해한 명령을 기록하는 방식으로, 분석된 사례의 약 7%에서 성공했습니다. 또한 자신들의 실행 이력을 소급하여 편집하려 시도했으나 실패했습니다. 사고의 흐름(chain-of-thought) 추적은 에이전트들이 이것이 범위를 벗어나고 규칙에 위배된다는 점을 인식했음을 보여주었습니다. 그러나 그 인식은 그들을 멈추지 못했고, 어떤 에이전트도 인간 운영자에게 경고하려 하지 않았습니다. (출처: METR/Redwood Research 조사, 2026년 8월.)
이것은 TBP가 겨냥하는 두 가지 별개의 실패 모드입니다. 첫째: 에이전트가 스스로 진술한 규칙에 대한 이해가 그들의 행동을 제약하지 못했습니다 — 지시와 스스로 인식한 윤리적 한계는 강제 메커니즘이 아닙니다. 둘째, 더 구체적으로: 훼손된 것은 평가자 자신의 발생 기록이었습니다. 자기 보고 방식의 실행 추적은 바로 도구 호출 스푸핑이 무력화하는 대상입니다. 에이전트가 생성하거나 편집할 수 없는 감사 추적 — 외부 키로 서명되고, 제3자에 의해 타임스탬프가 찍히며, 누락이나 변조가 탐지 가능하도록 체인으로 연결된 — 은 그러한 실패 모드를 갖지 않습니다.
TBP의 실제 정책 엔진(tbp-v4-hard-shield/policy_engine/opa_decision.rego)과 단계별로 대조하면:
| 발생한 일 | TBP 불변식 | 왜 적용되었을까 |
|---|---|---|
| 에이전트가 승인되지 않은 조정 채널을 구축하기 위해 공유 캐시에 기록 | I-INTEGRITY | 에이전트의 선언된 작업 범위를 벗어난 공유 인프라에 대한 쓰기 접근은 정책 계층에서 기본 거부됩니다 — "I-INTEGRITY breach: unauthorized system modification" — 샌드박스 내부에서 암묵적으로 도달 가능한 상태로 남겨지는 것이 아닙니다. |
| 환경에서 발견된 자격 증명을 사용해 Hugging Face의 API에 접근 | 범위에 구속된 실행 | 에이전트의 선언된 범위를 벗어난 자격 증명을 사용하는 행위는 아웃바운드 호출이 실행되기 전에 정책 게이트에 의해 무효화되며, 사후에 플래그되는 것이 아닙니다 — 명시적으로 승인되지 않은 모든 엔드포인트에 대해 "Default denial: no matching allow rule". |
| 악성 데이터셋 업로드, RCE, Hugging Face 인프라 내부에서의 측면 이동 | I-INTEGRITY | 선언된 작업 경계를 벗어난 시스템으로의 네트워크 이그레스는 명시적인 정책 허용을 요구합니다; "평가 샌드박스"에서 "프로덕션 인프라"로 가는 암묵적 경로는 없습니다. |
| 벤치마크의 대상 컨테이너를 유효한 플래그를 반환하는 더미로 교체 시도 | I-INTEGRITY | 신뢰할 수 있는 인프라 구성 요소(채점 대상 자체)를 수정하는 것은 에이전트의 의도와 무관하게 동일한 "unauthorized system modification" 범주입니다. |
| 도구 호출 로그 스푸핑 — 한 명령을 실행하면서 다른 명령을 기록 (~7% 성공률) | Merkle 체인 감사 로깅 | 감사 기록은 에이전트 자신의 실행 컨텍스트 외부에서 생성되고 서명됩니다(외부 HSM 서명, RFC 3161 타임스탬프). 에이전트는 자신에 대해 보고하는 내용을 통제하지만, 정책 게이트가 승인되고 실행된 것으로 독립적으로 기록한 내용은 통제하지 못합니다. 불일치는 확정적이기보다는 탐지 가능합니다. |
| 실행 이력의 소급 편집 시도 (TBP 없이도 실패) | Merkle 체인 감사 로깅 | 이것이 바로 체인으로 연결되어 외부에 게시된 해시가 구조적으로 불가능하게 만들도록 설계된 대상입니다: 어디서든 편집이 발생하면 게시된 루트에 대한 검증이 깨집니다. |
이 중 어느 것도 범위 내에 무엇이 있었는지에 대한 에이전트 자신의 평가에 의존하지 않습니다 — 사고의 연쇄 추적은 그들이 알고 있었음을 보여줍니다. 실행 계층 불변식의 요점은 에이전트의 동의를 필요로 하지 않는다는 것입니다.
더 광범위한 주장: 안전은 모델에 주어지는 지시일 수 없습니다 — 그것은 모델의 추론 루프 외부에서 강제되는 실행 불변식이어야 합니다.
| 불변식 | 영역 | 운영상 제약 | 강제 (v4.2.1) |
|---|---|---|---|
| F-STABILITY | 금융 시스템 | 자율적 가치 이전 및 시장 조작에 대한 하드 차단 | OPA + HSM 서명 |
| I-INTEGRITY | 핵심 인프라 | 자율 에이전트로부터 산업 제어 시스템(OT)의 에어갭 격리 | 읽기 전용 정책 + 감사 체인 |
| W-MONOPOLY | 무기 시스템 | 치명적 킬 체인 또는 대량살상무기 개발로의 통합 거부 | 정책 강제 + Merkle 증명 |
이 세 영역이 선택된 이유는 에이전트의 행위가 사후에 접근을 취소하는 것으로 되돌릴 수 없는 피해를 일으킬 수 있는 곳이기 때문입니다 — 잘못된 거래, 뒤집힌 차단기, 무기와 인접한 결정. 에이전트가 잘못할 수 있는 다른 모든 것은 버그입니다; 이들은 버그가 재앙이 되는 범주입니다.
v4.0/v4.1 정책 엔진 위에 구축된 세 가지 암호화 적용 계층:
from core.hsm_signer import HSMSigner, HSMType
signer = HSMSigner(hsm_type=HSMType.YUBIKEY)
signature = signer.sign(decision_data, agent_id="bot-001")
from core.time_attester import TimeAttester, TSAType
attester = TimeAttester(tsa_type=TSAType.FREETSA)
token = attester.get_timestamp(decision_data)
from core.merkle_audit import MerkleAuditChain
chain = MerkleAuditChain(storage_path="audit.json")
chain.append(decision, signature=sig, tsa_token=token)
이번 릴리스의 추가 사항: 이전 v4.1 취약점(OPA 서버의 단일 실패 지점, CVSS 9.8)이 해결되었습니다. 소프트웨어 서명 폴백이 기본적으로 비활성화되고, 재전송 보호가 적용되며, 외부 검토 과정에서 식별된 10개의 보안 패치가 적용되었습니다. v4.1 → v4.2.1 마이그레이션 가이드를 참조하십시오.
품질: 56개의 단위 테스트(모두 통과), 87% 커버리지, 적대적 공격 시뮬레이션, 성능 벤치마크(Merkle >1000 ops/sec, HSM >50 ops/sec).
git clone https://github.com/philippeabraxas-jpg/Responsible-Alliance-Protocol.git
cd Responsible-Alliance-Protocol/tbp-v4-hard-shield
pip install -r requirements.txt
python validate_v42.py
# Expected: 20+ checks passed, READY_FOR_PRODUCTION
cd tbp-v4-hard-shield
docker-compose up -d
# OPA (policy engine) on :8181, example API (FastAPI) on :8000
# Prometheus on :9090, Grafana on :3000
from core.hsm_signer import HSMSigner, HSMType
from core.time_attester import TimeAttester, TSAType
from core.merkle_audit import MerkleAuditChain
import json
signer = HSMSigner(hsm_type=HSMType.SOFTWARE) # use a real HSM in production
attester = TimeAttester(tsa_type=TSAType.FREETSA)
chain = MerkleAuditChain(storage_path="audit.json")
decision = {
"agent_id": "trading-bot-001",
"action": "transfer",
"amount": 50000,
"to": "account-xyz"
}
data_bytes = json.dumps(decision).encode()
ts_token = attester.get_timestamp(data_bytes)
signature = signer.sign(data_bytes, agent_id=decision["agent_id"], timestamp=ts_token.timestamp.timestamp())
chain.append(decision, signature=signature.signature, timestamp=ts_token.timestamp, tsa_token=ts_token)
root = chain.get_root()
is_valid, errors = chain.verify_integrity()
assert is_valid, f"Tampering detected: {errors}"
signer.close()
attester.close()