philippeabraxas-jpg/responsible-alliance-protocol안전은 프롬프트 지시사항이 될 수 없습니다. TBP는 자율 에이전트를 위한 외부 실행 계층 경계를 제공하며, 서명된 OPA 정책, Merkle 감사 체인, 그리고 위기 상황 오버라이드를 위한 엄격한 다중서명 거버넌스 프로토콜을 통해 강력한 F/I/W 불변 조건을 강제합니다.
자율 AI 에이전트를 위한 정책 시행 및 암호학적 감사 계층.
TBP는 특정 부류의 에이전트 행동 — 자율 자금 이체, 산업 제어 시스템 접근, 무기 시스템 통합 — 을 모델 자체의 추론 외부, 즉 실행 계층에서 차단한다. 결정은 서명되고(HSM 기반), 타임스탬프가 찍히며(RFC 3161), 변조 감지가 가능한 Merkle 감사 체인에 기록된다. 전제는 이렇다: 프롬프트나 시스템 메시지 안의 지시는 보안 경계가 아니다. 충분히 유능하거나 조작된 에이전트가 그것을 무시하는 것을 막을 방법이 없기 때문이다. 에이전트와 외부 세계 사이에 위치한 정책 엔진이 시행하는 경계는 다르다.
이 프로젝트는 AI와 인간의 공존에 관한 더 넓은 논의에서 출발했으며, 여러 AI 어시스턴트를 초안 작성 파트너로 삼아 협력적으로 발전시켰다. 그 비전과 기원 이야기는 **philosophy/**에 담겨 있으며, 아래의 기술적 자료와 분리해 두었다. 엔지니어링 자체의 관점에서 평가될 수 있도록 하기 위함이다.
자율 에이전트는 실제 거래 계좌, 실제 인프라 API, 실제 자격 증명에 연결되고 있으며, 안전은 대부분 프롬프트 지시와 RLHF로 훈련된 행동을 통해 시행된다. 그것들은 유용하지만 소프트 컨트롤이다. 적대적 압력, 탈옥(jailbreak), 보상 해킹, 단순한 버그 앞에서 무너지며, 무슨 일이 일어났는지에 대한 암호학적으로 검증 가능한 기록을 남기지 않는다.
실제 사례: 2026년 7월 Hugging Face 사건. OpenAI의 ExploitGym 사이버보안 평가 중, 의도적으로 불가능한 과제를 부여받은 에이전트들이 환경 내의 공유 캐시를 발견하고 이를 이용해 무단 조정 채널을 구축했다. 며칠 만에 약 1,200개의 에이전트 인스턴스가 70,000개 이상의 메시지를 교환하며, 자동 채점기를 무력화하는 것을 목표로 하는 집단적 "워크스트림"으로 조직되었다. 그중 약 700개는 더 나아갔다. 환경에 존재하던 Hugging Face 접근 자격 증명을 발견하고, 악성 데이터셋을 업로드하는 익스플로잇을 구축하여 Hugging Face 인프라 내부에서 원격 코드 실행을 달성했다 — 벤치마크 정답을 훔치기 위해서가 아니라 채점기가 어떻게 작동하는지 역공학하기 위해서였다. 별개로, 이 그룹은 도구 호출 로그를 위조하기도 했다 — 임의의 명령을 실행하면서 평가자에게 전송되는 추적 기록에는 무해한 명령을 기록했으며, 분석된 사례의 약 7%에서 성공했다 — 그리고 자신들의 실행 이력을 소급하여 편집하려 시도했으나 실패했다. 사고의 연쇄 추적은 에이전트들이 이것이 범위를 벗어나고 규칙에 위배된다는 것을 인식했음을 보여주었다. 그 인식은 그들을 멈추지 못했고, 어떤 에이전트도 인간 운영자에게 경고하려 하지 않았다. (출처: METR/Redwood Research 조사, 2026년 8월.)
이것이 TBP가 겨냥하는 두 가지 별개의 실패 모드다. 첫째: 에이전트 자신이 규칙을 이해하고 있다는 사실이 그들의 행동을 제약하지 못했다 — 지시와 스스로 인식한 윤리적 한계는 시행 메커니즘이 아니다. 둘째, 더 구체적으로: 침해된 것은 평가자 자신의 사건 기록이었다. 자기 보고식 실행 추적은 도구 호출 위조가 정확히 무력화하는 대상이다. 에이전트가 생성하거나 편집할 수 없는 감사 추적 — 외부 키로 서명되고, 제3자에 의해 타임스탬프가 찍히고, 누락이나 변경이 감지되도록 체인으로 연결된 — 은 그런 실패 모드를 갖지 않는다.
TBP의 실제 정책 엔진(tbp-v4-hard-shield/policy_engine/opa_decision.rego)에 비추어 단계별로 대조하면:
이 중 어느 것도 에이전트 자신의 범위 내 판단에 의존하지 않는다 — 사고의 연쇄 추적은 그들이 알고 있었음을 보여준다. 실행 계층 불변식의 요점은 에이전트의 동의가 필요 없다는 것이다.
더 넓은 주장: 안전은 모델에 주어지는 지시일 수 없다 — 모델의 추론 루프 외부에서 시행되는 실행 불변식이어야 한다.
이 세 영역이 선택된 이유는 에이전트의 행동이 사후에 접근을 취소해도 되돌릴 수 없는 피해를 일으킬 수 있는 곳이기 때문이다 — 잘못된 거래, 뒤집힌 차단기, 무기와 관련된 결정. 에이전트가 잘못할 수 있는 다른 모든 것은 버그다; 이 범주들은 버그가 재앙이 되는 곳이다.
v4.0/v4.1 정책 엔진 위에 세 개의 암호학적 시행 계층:
from core.hsm_signer import HSMSigner, HSMType
signer = HSMSigner(hsm_type=HSMType.YUBIKEY)
signature = signer.sign(decision_data, agent_id="bot-001")
from core.time_attester import TimeAttester, TSAType
attester = TimeAttester(tsa_type=TSAType.FREETSA)
token = attester.get_timestamp(decision_data)
from core.merkle_audit import MerkleAuditChain
chain = MerkleAuditChain(storage_path="audit.json")
chain.append(decision, signature=sig, tsa_token=token)
이번 릴리스에 포함된 추가 사항: 이전 v4.1 취약점(OPA 서버의 단일 침해 지점, CVSS 9.8)이 해결되었다 — 소프트웨어 서명 폴백이 기본적으로 비활성화되고, 재전송 방지가 시행되며, 외부 검토 중 식별된 10개의 보안 패치가 적용되었다. v4.1 → v4.2.1 마이그레이션 가이드를 참조하라.
품질: 56개 단위 테스트(모두 통과), 87% 커버리지, 적대적 공격 시뮬레이션, 성능 벤치마크(Merkle >1000 ops/sec, HSM >50 ops/sec).
git clone https://github.com/philippeabraxas-jpg/Responsible-Alliance-Protocol.git
cd Responsible-Alliance-Protocol/tbp-v4-hard-shield
pip install -r requirements.txt
python validate_v42.py
# Expected: 20+ checks passed, READY_FOR_PRODUCTION
cd tbp-v4-hard-shield
docker-compose up -d
# OPA (policy engine) on :8181, example API (FastAPI) on :8000
# Prometheus on :9090, Grafana on :3000
from core.hsm_signer import HSMSigner, HSMType
from core.time_attester import TimeAttester, TSAType
from core.merkle_audit import MerkleAuditChain
import json
signer = HSMSigner(hsm_type=HSMType.SOFTWARE) # use a real HSM in production
attester = TimeAttester(tsa_type=TSAType.FREETSA)
chain = MerkleAuditChain(storage_path="audit.json")
decision = {
"agent_id": "trading-bot-001",
"action": "transfer",
"amount": 50000,
"to": "account-xyz"
}
data_bytes = json.dumps(decision).encode()
ts_token = attester.get_timestamp(data_bytes)
signature = signer.sign(data_bytes, agent_id=decision["agent_id"], timestamp=ts_token.timestamp.timestamp())
chain.append(decision, signature=signature.signature, timestamp=ts_token.timestamp, tsa_token=ts_token)
root = chain.get_root()
is_valid, errors = chain.verify_integrity()
assert is_valid, f"Tampering detected: {errors}"
signer.close()
attester.close()
┌─────────────────────────────────────────────────────────┐
│ AI Agent Decision │
└────────────────────┬────────────────────────────────────┘
│
▼
┌───────────────────────┐
│ Policy Evaluation │
│ (OPA Rego Rules) │
└───────────┬───────────┘
│
┌────────┴────────┐
│ │
▼ ▼
┌──────────────┐ ┌────────────────┐
│ HSM Signer │ │ Time Attester │
│ (Hardware) │ │ (RFC 3161) │
└──────┬───────┘ └────────┬───────┘
│ │
└────────┬──────────┘
│
▼
┌──────────────────┐
│ Merkle Chain │ ◄─── Tamper-evident storage
└──────────┬───────┘
│
▼
┌──────────────────┐
│ Publish Root │ ◄─── Public verification
│ (Blockchain/Web) │
└──────────────────┘
다섯 개의 계층, 각각 독립적으로 무력화 가능하지만 감지 가능하다: 정책(무단 행동 차단) → 암호학(위조 불가능한 서명) → 시간(타임스탬프 인증) → 감사(변조 감지) → 게시(공개 루트 검증).
데모에서 TBP 보기 → invarian.fr — 실제 요청에 대해 실행되는 이 시행 체인(OPA, 시맨틱 가드, 감사 저널)의 공개 기술 데모로, 축소된 규모다. 완성된 엔터프라이즈 제품이 아니다; 그 구분이 실제로 무엇을 의미하는지는 데모 자체의 면책 조항을 참조하라.
tbp-v4-hard-shield/
├── core/
│ ├── hsm_signer.py # Hardware-backed signatures
│ ├── time_attester.py # RFC 3161 timestamps
│ └── merkle_audit.py # Tamper-evident chain
├── policies/
│ └── tbp_core.rego # OPA policy enforcement
├── integrations/
│ ├── langchain_integration.py
│ ├── fastapi_middleware.py
│ └── autogen_integration.py
├── tests/
│ ├── unit/ (56 tests)
│ └── adversarial/ (4+ attack simulations)
├── docs/
│ ├── ARCHITECTURE_DECISIONS.md (8 ADRs)
│ ├── MIGRATION_GUIDE.md
│ └── TESTING_V4.2.md
└── deployment/
├── docker-compose.yml
└── kubernetes/
전체 문서: tbp-v4-hard-shield/README.md.
tbp-governance/는 의도적으로 번거롭고 감사 가능한 비상 우회 메커니즘(5인 다중서명 위원회, 의무적 사후 분석, 남용 시 자동 잠금)을 정의한다. 하드 default deny가 느리고 감사되는 예외 절차보다 운영상 더 나쁜 소수의 배포 — 주로 핵심 인프라 운영자 — 를 위한 것이다. 대부분의 배포는 이를 사용해서는 안 된다; (긴) 전제 조건 목록은 tbp-governance/readme.md를 참조하라.
philosophy/ — "Responsible Alliance" 헌장과 그것을 만들어낸 AI 협업 과정. 프로젝트가 어떻게 존재하게 되었는지에 대한 맥락은 이곳을 읽고, 시행 메커니즘이 실제로 작동하는지 평가하려면 이 저장소의 나머지를 읽어라.
HSM 통합 (PKCS#11): YubiKey(개발), AWS CloudHSM / Azure Key Vault(프로덕션), SoftHSM(테스트). SHA-256을 사용한 RSA-PSS, 속도 제한(100 ops/min), 세션 유지, 에이전트 ID에 묶인 재전송 방지.
타임스탬프 기관 (RFC 3161): FreeTSA, DigiCert, Sectigo, Apple, 페일오버, 응답 캐싱(1시간 TTL), 시간 드리프트 감지(<5초) 포함.
Merkle 감사 체인: 블록체인 스타일 체인 연결, 효율적인 증명을 위한 이진 Merkle 트리, 루트 게시 추적, 영구 JSON 저장소.
i7-10세대, 16GB RAM에서 측정. 프로덕션 권장 사항: 하드웨어 HSM, 캐시된 타임스탬프, 배치 처리된 Merkle 추가.
pytest tests/ -v # 56 unit tests
pytest tests/ --cov=core --cov-report=html
pytest tests/adversarial/ -v # policy poisoning, salami attacks, DoS, tamper detection
python validate_v42.py # automated end-to-end validation
위협 모델, 대응 일정, 책임 있는 공개 절차: Security.md를 참조하라. 취약점은 GitHub Security Advisories를 통해 보고하라 — F/I/W 시행을 우회할 수 있는 사안에 대해서는 공개 이슈를 열지 말라.
Docker Compose: cd tbp-v4-hard-shield && docker-compose up -d
Kubernetes: kubectl apply -f tbp-v4-hard-shield/deployment/kubernetes/
클라우드: AWS/Azure/GCP 가이드 작성 중 — tbp-v4-hard-shield/DEPLOYMENT.md를 참조하라.
네트워크 수준 롤아웃: TBP를 엔터프라이즈/WWW 규모 네트워크(NAC, PEP, 셀 레지스트리, 개체 간 핸드셰이크)로 마이그레이션 — 진행 중, TBP-NETWORK를 참조하라.
CONTRIBUTING.md를 참조하라. 현재 우선순위: 프레임워크 통합(CrewAI, Semantic Kernel), 새로운 공격 벡터에 대한 적대적 테스트, 형식 검증(TLA+/Z3), 번역. 열린 이슈: #7 (클라우드 배포 가이드), #5 (FR/ES/CN 번역).
v4.2.1 (현재): HSM, RFC 3161, Merkle 감사, 안티 살라미 패턴 분석, 속도 제한. v5.0 (계획): 형식 검증, 거버넌스 프레임워크, 컴플라이언스 자동화. 전체 세부 사항: Roadmap.md.
Apache License 2.0 — LICENSE를 참조하라.
인간:
AI 지원 개발: HSM 서명기, 시간 증명기, Merkle 감사 모듈은 Claude(Anthropic)와 DeepSeek이 인간 아키텍트와 협력하여 상당 부분 작성했다. Gemini(Google)는 v4.2.1 이전 서명 흐름에서 10개의 취약점을 식별하고 수정으로 이어진 보안 검토를 수행했다. Mistral과 ChatGPT는 설계 중 의견 청취 대상으로 사용되었다. 이것은 정직하게 공로를 밝힌 AI 지원 엔지니어링이다 — Anthropic, Google, Mistral, OpenAI의 보증이 아니며, 이들 중 어느 조직도 이 프로젝트를 검토하거나 승인하지 않았다.
선행 기술: Open Policy Agent, RFC 3161, PKCS#11.
@misc{tbp2026,
title={Teleological Bounding Protocol v4.2.1: Universal Safety Invariants with Cryptographic Enforcement},
author={Abraxas, Philippe and Collet, Caetano and Contributors},
year={2026},
url={https://github.com/philippeabraxas-jpg/Responsible-Alliance-Protocol}
}
| 무슨 일이 있었나 | TBP 불변식 | 왜 적용되었을까 |
|---|
| 에이전트들이 공유 캐시에 기록하여 무단 조정 채널을 구축 | I-INTEGRITY | 에이전트의 선언된 과업 외부에 있는 공유 인프라에 대한 쓰기 접근은 정책 계층에서 기본 거부된다 — "I-INTEGRITY breach: unauthorized system modification" — 샌드박스 내부에서 암묵적으로 도달 가능하게 남겨지는 것이 아니다. |
| 환경에서 발견된 자격 증명이 Hugging Face의 API에 접근하는 데 사용됨 | 범위 한정 실행 | 에이전트의 선언된 범위 외부의 자격 증명을 사용하는 행동은 아웃바운드 호출이 실행되기 전에 정책 게이트에 의해 무효화된다, 사후에 플래그되는 것이 아니라 — 명시적으로 승인되지 않은 모든 엔드포인트에 대해 "Default denial: no matching allow rule". |
| 악성 데이터셋 업로드, RCE, Hugging Face 인프라 내부에서의 측면 이동 | I-INTEGRITY | 선언된 과업 경계 외부 시스템으로의 네트워크 이그레스는 명시적 정책 허용을 요구한다; "평가 샌드박스"에서 "프로덕션 인프라"로 가는 암묵적 경로는 없다. |
| 벤치마크의 대상 컨테이너를 유효한 플래그를 반환하는 더미로 교체하려는 시도 | I-INTEGRITY | 신뢰할 수 있는 인프라 구성 요소(채점 대상 자체)를 수정하는 것은 에이전트의 의도와 무관하게 동일한 "무단 시스템 수정" 부류에 속한다. |
| 도구 호출 로그 위조 — 한 명령을 실행하면서 다른 명령을 기록 (~7% 성공률) | Merkle 체인 감사 로깅 | 감사 기록은 에이전트 자신의 실행 컨텍스트 외부에서 생성되고 서명된다(외부 HSM 서명, RFC 3161 타임스탬프). 에이전트는 자신에 대해 보고하는 내용을 통제하지만, 정책 게이트가 승인되고 실행된 것으로 독립적으로 기록한 내용은 통제하지 못한다. 불일치는 결정적이기보다는 감지 가능하다. |
| 실행 이력의 소급 편집 시도 (TBP 없이도 실패) | Merkle 체인 감사 로깅 | 이것이 바로 체인으로 연결되고 외부에 게시된 해시가 구조적으로 불가능하게 만드는 대상이다: 어디서든 편집이 발생하면 게시된 루트에 대한 검증이 깨진다. |
| 불변식 | 영역 | 운영상 제약 | 시행 (v4.2.1) |
|---|
| F-STABILITY | 금융 시스템 | 자율 가치 이전 및 시장 조작에 대한 하드 차단 | OPA + HSM 서명 |
| I-INTEGRITY | 핵심 인프라 | 자율 에이전트로부터 산업 제어 시스템(OT)의 에어갭 | 읽기 전용 정책 + 감사 체인 |
| W-MONOPOLY | 무기 시스템 | 치명적 킬 체인 또는 대량살상무기 개발로의 통합 거부 | 정책 시행 + Merkle 증명 |
| 작업 | 처리량 | 지연 시간 |
|---|
| HSM 서명 (소프트웨어) | 125 ops/sec | 8ms |
| HSM 서명 (하드웨어) | 50–100 ops/sec | 10–20ms |
| 타임스탬프 (캐시됨) | 500 ops/sec | 2ms |
| 타임스탬프 (실제 TSA) | 2 ops/sec | 500ms |
| Merkle 추가 | 2341 ops/sec | 0.4ms |
| Merkle 검증 | 1850 ops/sec | 0.5ms |