What a Hash Chain Can't Prove

개요

AI 에이전트의 변조 불가능한 감사 로그를 생성하는 새로운 오픈소스 도구가 소개되었으나, 단순한 해시 체인은 보안이나 책임 소재가 걸린 상황에서 실질적인 증거로 인정받기 어렵다는 한계점을 지적한다.

주요 내용

* 해시 체인의 근본적 한계: 기록 이전의 해시를 포함하는 해시 체인은 파일 자체의 무결성은 증명하지만, 외부 체크포인트가 없다면 누구나 파일을 수정하고 해시를 재계산하여 체인의 무결성을 유지할 수 있다. 이는 외부로부터 독립적인 증거가 아닌, 파일 자체의 일관성만을 보여줄 뿐이다.
* '키'의 소유권 문제: 해시 체인에 서명이 없다면 파일을 소유한 누구나 기록을 수정할 수 있다. 서명이 없는 체인은 인증된 기록이 아닌, 수정 가능한 노트와 같다고 비유된다.
* '기록자'의 위치 문제: 기록자가 에이전트 프로세스 내에서만 실행될 경우, 에이전트가 기록할 내용을 결정하게 된다. 악의적인 에이전트는 데이터 유출 전에 로거를 건너뛸 수 있으며, 악성코드는 자체 보고를 하지 않는다. 감사 추적은 기록 대상 프로세스 외부의 경계에서 이루어져야 에이전트가 건너뛸 수 없다.
* 증인 서비스의 한계: 외부 증인 서비스는 기록된 체인의 길이와 해시를 저장하여 변경 여부를 확인할 수 있지만, 기록자가 에이전트 프로세스 내부에 있다면 기록 대상에서 누락된 내용을 증명할 수는 없다.
* Pipelock 사례 분석: Pipelock은 별도의 프록시 경계에서 트래픽을 중재하며, 자체 격리 기능을 통해 에이전트가 건너뛸 수 없는 경계에서 기록이 이루어진다. 영수증은 서명되며, 운영자가 키를 보유한다. 그러나 운영자가 기록을 누락하고 서명했을 가능성은 여전히 존재하므로, 운영자로부터의 독립성을 완전히 증명하지는 못한다.
* 외부 앵커링의 필요성: 이러한 도구들은 궁극적으로 외부 앵커링(outside anchoring)으로 나아가야 하며, 이를 위해 "감사 추적(audit trail)"과 같은 용어에 대한 명확한 정의와 공유된 어휘가 필요하다.
* Agent Evidence Levels 제안: 독립적인 검증자가 도구의 기능과 증거 아티팩트가 무엇을 확립할 수 있고 없는지를 검사할 수 있도록 공개 사양 및 검사기인 Agent Evidence Levels가 제안된다.

시사점

기술적으로 변조를 어렵게 만드는 것만으로는 법적, 또는 책임 소재가 명확히 해야 하는 상황에서 신뢰할 수 있는 증거가 되지 않으며, 독립적인 검증을 통한 명확한 증거 수준 정의가 필수적이다.