검증된 에이전트는 모두 신뢰할 수 있다고 생각하는가? 이는 마치 면허를 소지한 모든 운전자가 훌륭한 운전자라고 말하는 것과 같다. AI 업계는 자율 에이전트의 아이덴티티 문제를 해결하기 위해 경쟁하고 있으며, IAM 기존 강자들도 함께 경쟁하고 있다. 그들은 올바른 문제를 풀고 있다. 다만 그 절반만을 풀고 있을 뿐이다. 이 가이드는 별도로 답해야 하는 두 가지 질문, OAuth와 역할(role)만으로는 두 질문 모두에 답할 수 없는 이유, 그리고 행동 계층이 실제로 배포되었을 때 어떤 모습인지를 다룬다.
자율 에이전트에 대한 모든 접근 결정은 두 가지 서로 다른 질문에 답한다. 이 둘을 혼동하는 것이 프로덕션 거버넌스가 실패하는 이유다.
아이덴티티 계층. 이 에이전트는 누구인가? 누가 만들었는가? 누구를 대표하는가? 제시하는 자격 증명은 암호학적으로 검증 가능한가? 취소된 적은 없는가? 모든 IAM 플랫폼은 이 질문에 잘 답한다.
행동 계층. 이 에이전트는 범위 내에 머물러 왔는가? 환각(할루시네이션)을 일으킨 적은 없는가? 툴 호출을 통해 PII를 유출한 적은 없는가? 리스크 프로필이 변화하고 있는가? IAM 플랫폼은 이 질문에 답할 수 없다. 애초에 그렇게 설계되지 않았기 때문이다.
아이덴티티 검증에 실패한 에이전트는 차단되어야 한다. 아이덴티티 검증을 통과했지만 잘못 행동하는 에이전트는 제한되어야 한다. 두 계층 중 어느 하나만으로는 충분하지 않다.
Okta, SailPoint, Microsoft Entra, IBM, Auth0, Curity, 그리고 표준 중심 생태계(W3C DID, OpenID Foundation)의 나머지 기존 강자들은 자율 에이전트의 아이덴티티 문제에 대한 정교한 답으로 수렴하고 있다. 용어는 벤더 전반에 걸쳐 일관적이다. 적시(just-in-time) 프로비저닝, 동적 권한 부여, 단명 자격 증명, 위임된 권한, 증명 체인 등이다. NIST의 NCCoE도 동일한 영역을 다루는 소프트웨어 및 AI 에이전트 아이덴티티·인가 프로젝트를 운영하고 있다.
이는 훌륭한 작업이다. 아이덴티티 계층은 어렵고, 여기서 출발하는 것이 옳다. 이어지는 내용은 아이덴티티가 불필요하다거나 기존 강자들이 틀렸다는 주장이 아니다. 그들은 틀리지 않았다.
에이전트의 아이덴티티를 단순히 프로비저닝된 것이 아니라 실제로 검증 가능하게 만드는 요소에 대해서는 검증 가능한 에이전트 아이덴티티를 참고하라.
IAM은 자격 증명을 발급한 시점에 누구에게 어떤 접근 권한이 부여되었는가라는 질문에 답한다. 자율 에이전트에는 다른 질문에 대한 답이 필요하다. 즉, 이 자격 증명을 지닌 이 엔티티가, 이 맥락에서, 지금 접근 권한을 유지할 만한 방식으로 행동하고 있는가라는 질문이다.
2025~2026년의 기록은 이 갭이 실제로 어떻게 나타나는지 보여준다.
이러한 사고들은 발생한 그 순간에는 모두 Okta 감사를 통과했을 것이다. 자격 증명은 올바르게 발급되었고, 역할은 올바르게 범위가 지정되었으며, 인증은 성공적이었다. 그럼에도 실패를 막지 못한 것은, 실패가 아이덴티티의 하류에서 발생했기 때문이다.
행동 계층은 다섯 가지 차원에 걸쳐 에이전트를 지속적으로 평가한다 — 아이덴티티 신뢰도(그렇다, 아이덴티티도 다섯 가지 중 하나이지만 영구적인 사실이 아니라 정직한 감쇠 모델로 다뤄진다), 리스크, 신뢰성, 자율성, 그리고 캘리브레이션(에이전트가 보고한 확신도가 실제 결과와 일치하는지)이다. 이를 바탕으로 결정마다 정책 등급(allow / review / deny)을 산출한다. 결정적으로, 다섯 가지 차원은 서로 직교한다. 에이전트는 암호학적으로 검증되었으면서도(높은 아이덴티티 신뢰도) 신뢰성 점수가 악화되고 있을 수 있으며, 정책 등급은 두 가지 모두를 반영한다.
5차원 스코어링 모델에 대한 전체 가이드는 에이전트 신뢰 스코어링 — 기술 가이드에 있다. 단일 복합 점수가 프로덕션에서 살아남지 못하는 이유에 대한 더 깊은 논증은 아이덴티티, 리스크, 신뢰성, 자율성: 프로덕션 에이전트에 단일 신뢰 점수만으로는 충분하지 않은 이유에 있다.
OAuth와 머신 아이덴티티 시스템(SPIFFE/SPIRE, mTLS, OIDC 클라이언트 자격 증명)은 안정적인 식별자, 장수명 자격 증명, 그리고 접근 결정 루프 안에 사람이 있는 서비스를 위해 설계되었다. 자율 에이전트는 이 세 가지 전제를 모두 깨뜨린다. 단명하고, 머신 속도로 자율적으로 접근 결정을 내리며, 그 자격 증명은 원래 프로토콜이 표현하도록 설계되지 않았던 위임 권한, 범위, 행동 등급 신호를 담아야 한다.
2026년 MCP에 추가된 OAuth 2.1은 실질적인 진전이다. 하지만 약 2,000개의 MCP 서버를 대상으로 한 보안 스캔 결과, 예외 없이 모든 서버가 인증이 결여되어 있는 것으로 나타났다. 스펙은 존재하지만 구현은 그렇지 않다. (전체 내용은 MCP 서버 보안: PII 갭 참고.) A2A의 Agent Card는 서명되어 있지만 자체 신고에 불과하다 — 증명 결속도 없고, 행동 이력도 없으며, 관찰된 행동을 근거로 신뢰를 철회할 메커니즘도 없다. 두 프로토콜 모두 디스커버리와 상호운용성은 해결하지만, 반대편 에이전트가 지금 하려는 일에 대해 신뢰할 만한지는 알려주지 않는다.
VeriSwarm 안에서 서로 연결된 두 계층:
아이덴티티 계층. 암호학적 검증, TTL 1시간의 ES256 JWT 자격 증명, 멀티 에이전트 워크플로를 위한 위임 체인, 우리 API를 호출하지 않고도 어떤 플랫폼이든 검증할 수 있는 JWKS 엔드포인트. 전체 세부 사항은 Agent Passport: 이동 가능한 자격 증명에 있다.
행동 계층. 다섯 가지 차원에 걸친 지속적인 스코어링, 동적 정책 등급, 24개 이벤트 분류 체계. 무료 등급. 유료 플랜과 동일한 해시체인 감사 원장을 사용한다.
증명 계층. 아이덴티티 이벤트, 행동 신호, 정책 결정, 모든 상태 변화를 포괄하는 변경 불가능한 해시체인 감사 원장. 온디맨드 체인 검증 — 실행 방법은 Vault 체인 검증하기에 있다.
에이전트가 Passport 자격 증명을 제시하면, 이를 받는 플랫폼은 그것이 누구인지 알게 된다. 그 자격 증명에 Gate 신뢰 점수가 함께 실려 있으면, 플랫폼은 그 에이전트가 어떻게 행동해 왔는지도 알게 된다. Vault는 그 전체 과정이 실제로 일어났음을 증명한다. 이것이 바로 운전면허증과 운전 기록의 차이다.
EU AI Act는 AI 시스템을 누가 만들었는지에 대한 투명성만을 요구하지 않는다. 제9조는 전체 라이프사이클에 걸친 지속적인 리스크 관리 프로세스를 의무화하며, 일회성 아이덴티티 점검이 아니다. 제12조는 시스템 수명 전체에 걸친 자동 이벤트 기록을 요구하는데, 이는 행동 로깅이지 아이덴티티 검증이 아니다. 제14조는 결과 해석을 가능하게 하는 인간의 감독을 요구하며, 해석에는 행동 모니터링이 필요하다. 규제는 이미 아이덴티티가 신뢰가 아니라는 전제 위에 서 있다. 컴플라이언스에는 둘 다 필요하다. 에이전트 스택을 위한 EU AI Act 전체 프레이밍.
네. 아이덴티티는 첫 번째 계층이며, VeriSwarm은 이를 대체하지 않습니다. 에이전트가 Okta, SailPoint, Entra, Auth0 또는 다른 커스텀 IAM을 통해 인증한다면 그대로 유지하세요. VeriSwarm은 그 옆에 자리 잡고, IAM에 없는 행동 계층을 추가하며, 플랫폼이 이미 발급하는 아이덴티티와 통합됩니다. 두 계층은 함께 작동하며 서로 경쟁하지 않습니다.
아닙니다. 그것들은 아이덴티티 제공자로서 '이 엔티티는 누구이며 어떤 역할을 갖고 있는가'라는 질문에 답합니다. 이는 어려운 문제이며 그들은 이를 잘 해결합니다. VeriSwarm은 다른 질문에 답합니다 — '이 엔티티가 지금 접근 권한을 유지할 만한 방식으로 행동하고 있는가'입니다. 아이덴티티 스택은 에이전트 A가 6개월 전에 역할 X로 프로비저닝되었다는 사실을 알려줍니다. 행동 스택은 에이전트 A가 화요일부터 환각을 일으키고 있으며 오늘 역할 X에서 물러나야 한다는 사실을 알려줍니다. 서로 다른 질문이며, 둘 다 필요합니다.
그것은 다른 방향의 베팅입니다. 블록체인 기반 에이전트 아이덴티티(ERC-8004, OriginTrail, 탈중앙화 패스포트)는 검열 저항성과 온체인 증명을 우선시합니다. VeriSwarm Passport는 JWKS 검증을 사용하는 ES256 JWT를 사용합니다 — 블록체인이 필요 없는 표준 기반 접근 방식으로, 체인 조회가 필요 없어 검증이 더 빠르고 기존 엔터프라이즈 아이덴티티 인프라와도 통합됩니다. 둘 다 아이덴티티 계층으로서는 유효하며, 선택은 온체인 출처 증명이 필요한지 여부에 달려 있습니다. 어느 쪽이든 행동 계층은 여전히 빠져 있는 나머지 절반입니다.
Gate — 행동 계층 — 는 무제한 이벤트 수집, 하루 5,000건의 신뢰 결정, 5차원 스코어링 엔진, 그리고 유료 플랜과 동일한 해시체인 원장을 갖춘 무료 등급에서 동작합니다. 기본 이동 가능 자격 증명 — JWKS 검증을 사용하는 ES256 JWT — 도 무료이며 무제한입니다. Pro 이상 플랜에 제한되는 것은 더 완전한 Passport 스위트입니다. 멀티 에이전트 워크플로용 위임 체인, 서명된 매니페스트, 조직 간 아이덴티티 검증 등입니다. 기존 IAM이 이미 인증하는 에이전트에 행동 모니터링과 기본 자격 증명부터 시작한 뒤, 멀티 에이전트 위임이 필요할 때 전체 Passport를 추가할 수 있습니다.
머신 아이덴티티 시스템은 안정적인 식별자, 장수명 자격 증명, 그리고 접근 결정을 내리는 인간 운영자를 전제로 한 서비스를 위해 설계되었습니다. 에이전트는 (종종 수초에서 수분 정도로) 단명하며, 접근 결정을 자율적으로 내리고, 위임된 권한과 범위를 명시적으로 표현하는 자격 증명이 필요합니다. Passport는 호환성을 위해 JWT 기반이지만, 그 자격 증명 모델은 머신 아이덴티티 형식이 표현하도록 설계되지 않았던 위임 체인, 범위 표현, 행동 등급 신호를 담습니다. 서비스 대 서비스 계층에는 머신 아이덴티티를 사용하고, 그 위의 에이전트 대 에이전트 계층에는 Passport를 사용하세요.
둘 다이며, 결정 계층에서 결합됩니다. 정책 결정은 에이전트의 아이덴티티, 다섯 가지 차원 전체에 걸친 현재 신뢰 점수, 시도되고 있는 구체적인 액션, 그리고 킬 스위치나 Passport 검증에 의한 오버라이드 여부를 고려하여 이유 코드와 함께 단일한 allow / review / deny를 산출합니다. 아이덴티티나 신뢰 점수 중 어느 하나만으로는 결과가 결정되지 않습니다 — 결정 엔진은 먼저 테넌트의 Cedar 정책(구성된 것이 없으면 하드코딩된 기본 매트릭스)을 이 모든 맥락과 함께 평가합니다.
네, 그리고 그것이 바로 행동 계층이 존재하는 이유입니다. 유효한 Passport 자격 증명이나 IAM이 발급한 토큰은 에이전트의 아이덴티티가 정당함을 증명하지만, 그 에이전트가 지금 이 순간 특정 액션에 대해 신뢰받아야 하는지에 대해서는 아무것도 말해주지 않습니다. 킬 스위치는 가장 명확한 예입니다. 에이전트를 킬한다고 해서 그 아이덴티티 자격 증명이 취소되거나 변경되지는 않지만, 운영자가 이를 되돌릴 때까지 그 에이전트에 대한 모든 결정 검사는 reason_code: "agent_killed"와 함께 deny를 반환합니다 — 아이덴티티 계층은 초록불인 채로 남아 있지만 행동 계층이 이를 오버라이드하는 것입니다.
아니요. 아이덴티티 검증은 누가 만들었고 누가 운영하는지에 대한 투명성과 출처 요건은 충족하지만, 두 프레임워크 모두 일회성 점검이 아니라 지속적인 행동 증거를 요구합니다. EU AI Act 제12조의 자동 이벤트 기록 요건과 NIST AI RMF의 지속적 모니터링 기대치는 행동 계층의 이벤트 로깅과 Vault의 해시체인 원장으로 충족되는 것이지, 아이덴티티 자격 증명 하나만으로는 충족되지 않습니다.
Gate의 스코어링 엔진은 무료 등급에서 동작하며 플랫폼이 이미 발급하는 아이덴티티와 통합됩니다. 무언가를 뜯어낼 필요는 없습니다. IAM에 없는 계층을 추가하기만 하면 됩니다.