AI Agent에게 필요한 건 권한이 아니라 영수증이다
회사 계정으로 보도자료를 발행한다. 고객 명단을 외부 시스템으로 옮긴다. 운영 서버에 새 버전을 배포한다. 같은 행동도 어떤 AI Agent에게는 shell command이고, 다른 Agent에게는 tool call이며, 관리형 플랫폼에서는 session transition으로 남는다.
실행 형식은 다르지만 나중에 물어야 할 질문은 같다. 누가, 누구의 권한으로, 어느 계정에서, 무엇을, 어디까지 공개했고, 결과는 실제로 무엇이었는가.
권한 목록만으로는 이 질문에 답할 수 없다. 권한은 무엇을 할 수 있는지 보여줄 뿐, 왜 그 행동이 허용됐고 실제로 무슨 일이 벌어졌는지는 보여주지 않는다. AI Agent에게 정말 필요한 것은 더 넓은 권한이 아니라 행동마다 남는 영수증이다.
벤더의 실행 로그는 책임의 언어가 아니다
Zexun Wang의 논문 「Proof-Carrying Agent Actions」는 이 문제를 서로 다른 Agent 실행환경의 거버넌스 문제로 다룬다. 논문이 제안하는 PCAA(Proof-Carrying Agent Actions)의 중심에는 특정 벤더의 session log가 아니라 이식 가능한 action certificate, 즉 행동 증명서가 있다.
실행 로그는 대개 한 제품 안에서는 유용하다. 어느 도구가 호출됐고 어떤 응답이 돌아왔는지 추적할 수 있다. 하지만 회사가 여러 Agent와 자동화 플랫폼을 함께 쓰기 시작하면 기록의 문법이 갈라진다. 한쪽에는 터미널 명령이, 다른 쪽에는 API 요청이, 또 다른 쪽에는 승인 버튼을 누른 흔적만 남는다.
이 조각들을 모아도 책임은 저절로 설명되지 않는다. 기술 로그에는 실행 주체의 사업상 역할, 승인자의 권한, 대상 계정의 소유자, 공개 범위, 실행 전제와 사후 검증이 빠질 수 있기 때문이다. 로그는 사건을 보여주지만, 사건이 정당했는지는 말해주지 않는다.
행동 증명서에는 다섯 번의 멈춤이 있다
PCAA는 고위험 행동을 다섯 체크포인트로 닫는다. 실행 가능성 판정, 행동 개시, 가정 기록, 승인, 결과 종결이다.
- 실행 가능성 판정: 이 행동은 허용할 것인가, 차단할 것인가, 먼저 시뮬레이션할 것인가, 사람의 승인을 받을 것인가.
- 행동 개시: 이후의 승인과 증거가 붙을 하나의 식별 가능한 행동 객체를 만든다.
- 가정 기록: 무엇이 사실이라고 믿었고 어떤 조건에 의존해 판단했는지 남긴다.
- 승인: 누가 어떤 의미의 승인을 했으며, 그 승인이 실제 실행을 멈추거나 허용할 수 있었는지 기록한다.
- 결과 종결: 실행 결과와 오류, 대상 표면의 read-back, 재현 가능한 증거를 한 묶음으로 닫는다.
여기서 중요한 것은 승인 유무를 체크박스 하나로 줄이지 않는다는 점이다. 어떤 환경의 승인은 실행 전 강제로 멈출 수 있지만, 어떤 환경에서는 사후 검토에 불과하다. PCAA는 이 통제 깊이의 차이까지 증명서에 드러내야 한다고 본다.
또한 행동 자체만이 아니라 행동이 넘는 경계를 기록한다. 외부 write인지, 목적지는 공개면인지 내부면인지, 사용한 계정은 누구 소유인지, 민감정보가 포함됐는지, 되돌릴 수 있는지를 함께 본다. 같은 ‘발행’이라도 개인 테스트 계정의 비공개 초안과 회사 공식 계정의 대외 발표는 전혀 다른 행동이기 때문이다.
이 원칙을 받아들이면 AI Agent 거버넌스의 목표도 달라진다. 모든 Agent를 같은 방식으로 감시하는 것이 아니라, 서로 다른 실행환경에서 일어난 행동을 같은 책임의 언어로 번역하는 것이 목표가 된다.
