NetEase Yidun Agent Guard, AI 콘텐츠 필터를 넘어 에이전트의 행동을 겨냥
NetEase Yidun은 우전에서 Agent Guard를 공개하며, AI 응답을 필터링하는 수준을 넘어 에이전트가 실제로 무엇을 하는지 점검하는 보안 전략을 제시했다. 공개 보도에 따르면 NetEase Yidun Agent Guard는 의도 정합성, 권한, 위험한 도구 호출, 행동 차단을 겨냥한다. AI 어시스턴트가 최종 답변을 내놓기 전에 비공개 기록에 접근하거나 비즈니스 시스템을 변경할 수 있는 상황에서는 이 구분이 중요하다.
이번 발표는 중국 저장성에서 열린 2026 세계인터넷대회 라이트 오브 인터넷 엑스포에서 11월 3일에 이뤄졌다. Pandaily는 다음 날 공개 소식을 보도했다. Yidun은 생성형 콘텐츠, 신원, 모델, 그리고 연결된 도구를 통해 작업을 수행하는 소프트웨어인 에이전트를 아우르는 더 광범위한 보안 시스템 안에서 Agent Guard를 제시했다.
핵심 쟁점은 통제가 어디에서 이뤄지는가에 있다. 응답을 심사하면 사용자가 보는 내용을 다루지만, 실행을 통제하면 연결된 시스템이 허용하는 행위를 다룬다. Microsoft는 이미 외부 콘텐츠에 포함된 악의적 지시에 대응하는 다층 방어를 설명하고 있어, Yidun의 발표에는 확립된 참조점이 존재한다. 이제 기업 구매자는 유용한 자동화를 비현실적으로 만들지 않으면서, 약속된 통제가 실제 업무 행동까지 도달한다는 증거를 필요로 한다.
NetEase Yidun Agent Guard, 보안 점검 지점을 확장하다
Yidun의 발표는 제안된 보안 점검 지점을 에이전트가 비즈니스 도구를 사용하는 순간에 더 가깝게 옮긴다.
Pandaily의 Agent Guard 출시 보도에 따르면, 이 제품은 의도 일관성을 점검하고, 권한을 통제하며, 위험한 도구 호출을 감지하고, 행동을 차단한다. 도구 호출은 에이전트가 연결된 소프트웨어에 작업 수행을 요청하는 행위다.
이 기능들은 서로 다른 질문을 다룬다. 의도 점검은 제안된 행동이 사용자의 요청에 부합하는지를 묻는다. 권한 점검은 사용자와 에이전트가 이를 수행할 권한을 갖는지를 묻는다. 위험 감지는 작업 자체를 평가하며, 차단은 시스템이 해당 작업을 멈출 수 있는지를 판단한다.
이 기능들을 하나의 제품 아래 묶는다고 해서 이들이 어떻게 상호작용하는지는 입증되지 않는다. 에이전트는 사용자의 요청과 일치하는 행동을 제안할 수 있지만, 그 사용자의 접근 권한을 초과할 수도 있다. 다른 행동은 기술적으로 허용되더라도 사용자가 실제로 부여한 업무와 충돌할 수 있다.
예를 들어, 청구 내역의 불일치를 설명해 달라는 요청을 받은 가상의 고객 서비스 어시스턴트를 생각해 보자. 관련 거래를 읽는 것은 그 요청을 뒷받침한다. 그러나 계정의 결제 정보를 변경하는 것은, 같은 연결 애플리케이션에서 두 작업을 모두 수행할 수 있더라도 별개의 책임을 수반한다.
최종 설명만 살피는 콘텐츠 필터로는 그 이전 변경이 승인된 것인지 판단할 수 없다. 관련 결정은 어시스턴트가 접근을 요청하거나 변경을 제출하는 지점에서 이뤄진다. 그것이 Yidun의 포지셔닝이 부각하는 운영 경계다.
Agent Guard는 함께 발표된 다른 기능들과도 나란히 놓인다. 출시 보도에 따르면 별도의 에이전트 보안 플랫폼은 AI 자산을 파악하고, 연결된 구성 요소를 검사하며, 민감 데이터 유출을 다룬다. 이들은 관련된 책임이지만, 서로 대체 가능한 제품 기능으로 취급해서는 안 된다.
이 구분은 조달에 영향을 미친다. 행동 차단을 평가하는 구매자는 어떤 구성 요소가 집행을 수행하는지, 어떤 구성 요소가 맥락을 제공하는지, 어떤 구성 요소가 결과를 기록하는지를 확인해야 한다. 광범위한 제품군 설명만으로는 특정 애플리케이션 통합이 완전한 보호를 받는지 알 수 없다.
따라서 이번 출시는 측정된 보안 성과라기보다 제품 방향성을 제시한다. Yidun은 기업이 에이전트 보안과 연관 짓기를 원하는 구체적 기능을 제시했다. 이 기사를 위해 검토한 공개 보도는 운영 환경 전반에서 해당 기능의 효과를 입증하지는 않는다.
그렇다면 발표 뒤에는 구체적인 질문이 남는다. 시스템은 에이전트 활동의 어느 정도를 관찰하고 통제할 수 있는가? 점검되지 않은 비즈니스 애플리케이션 경로는 그 밖의 신중한 심사를 약화시킬 수 있으므로, 적용 범위가 중요하다.
기업 팀은 에이전트 행동의 결과를 떠안는다
직접적인 부담은 AI에 비즈니스 시스템 접근 권한을 부여하고, 그에 따른 변경에 책임을 지는 팀에 돌아간다.
Yidun의 사업적 근거는 명확하다. 어시스턴트가 회사 정보와 운영 도구에 접근하게 되면서, 실수는 부정확한 답변을 넘어설 수 있다. 출시 보도는 마케팅, 고객 서비스, 개발, 거래 운영을 관련 비즈니스 환경으로 지목한다.
NetEase 기업 서비스 사업부 부총경리이자 Yidun 책임자인 Zhu Haoqi는 우전에서 이러한 변화를 제시했다. Xinhua의 보도는 회사의 AI 보안 프레임워크가 생성 콘텐츠, 접근 데이터, 실행 행동에 걸쳐 있다고 설명한다. 이는 사고 감소에 대한 독립적 증거가 아니라 회사 측의 설명이다.
그에 따른 부담은 조직의 경계를 넘는다. 애플리케이션 팀은 어시스턴트에 어떤 도구를 제공할지 결정한다. 신원 관리 팀은 계정과 접근 권한을 관리한다. 보안 팀은 의심스러운 활동을 조사하며, 업무 책임자는 어시스턴트가 독립적으로 내릴 수 있는 결정을 정해야 한다.
계정 요약을 준비하는 가상의 영업 어시스턴트를 생각해 보자. 유용한 정보를 수집할 만큼의 접근 권한은 필요하지만, 그렇다고 고객 데이터베이스를 내보내는 것이 자동으로 정당화되지는 않는다. 비즈니스 목적은 연결된 계정이 기술적으로 허용할 수 있는 범위보다 더 좁은 업무를 정의한다.
이 간극은 위임을 복잡하게 만든다. 직원들은 대개 일상 언어로 목표를 설명하지만, 비즈니스 애플리케이션은 구체적 결과를 수반하는 개별 작업을 제공한다. 누군가는 계정을 돕는 것과 기록을 변경하는 것의 차이를 집행 가능한 권한으로 번역해야 한다.
지식 노동자는 어시스턴트가 여러 출처의 정보를 결합할 때 관련된 문제에 직면한다. 문서는 업무와 관련될 수 있지만, 그 안에 언급된 모든 행동을 승인하는 것은 아니다. 관련성은 어시스턴트가 무언가를 읽어야 하는 이유를 뒷받침하지만, 그 지시를 따를 권한을 부여하지는 않는다.
같은 구분은 개인 지식 베이스에도 적용된다. 유용한 맥락을 찾는 일과 이를 공유할 권한을 얻는 일은 별개의 결정이다. 검색을 외부 행동과 연결하면 이 분리는 사용자에게 중요한 결과를 낳는다.
구매자는 거부된 행동의 명확한 책임자도 필요로 한다. 정당한 작업이 멈췄다면 직원은 그 결정을 이해하고 해결할 방법이 있어야 한다. 그렇지 않으면 보안 통제는 업무 팀이 우회하는 설명되지 않은 중단으로 변할 수 있다.
개발자에게는 다른 부담이 있다. 의미 있는 결정을 내릴 수 있도록 충분한 맥락을 제공해야 한다. 보안 계층은 고립된 작업 이름만 받는다면 업무 경계를 안정적으로 평가할 수 없다. 요청된 대상, 영향을 받는 기록, 작업을 시작한 사용자는 행동의 타당성을 판단하는 요소가 될 수 있다.
이는 Yidun에 특화된 검증된 배포 문제가 아니라 제품 범주가 낳는 실질적 결과다. 이번 발표는 이를 구매 의제로 올려놓는다. Agent Guard를 평가하는 기업은 보안 결정과 이를 둘러싼 운영 책임을 모두 검토해야 한다.
의도 점검은 권한 집행을 대체할 수 없다
에이전트의 의도된 작업을 이해하는 일과 그 권한을 집행하는 일은 같은 문제의 서로 다른 부분을 해결한다.
의도 점검은 일반적인 권한이 완전한 비즈니스 목표를 좀처럼 담아내지 못하기 때문에 매력적이다. 직원은 문서에 합법적으로 접근할 수 있지만, 이를 다른 곳으로 보내야 할 이유까지 갖는 것은 아닐 수 있다. 작업을 평가하면 단순 접근 점검이 놓칠 수 있는 맥락을 제공한다.
하지만 추론된 의도에는 판단이 수반된다. 사용자는 세부 사항을 밝히지 않거나 요청을 수정하고, 익숙한 비즈니스 관행을 전제한다. 보안 시스템은 합리적인 중간 단계와 승인되지 않은 업무 확장을 구분해야 한다.
권한 집행은 다른 종류의 제약을 제공한다. 이는 특정 신원이 지정된 리소스에 대해 정의된 작업을 수행할 수 있는지를 묻는다. 에이전트가 달리 해야 한다는 설득력 있는 설명을 내놓더라도, 이 결정은 구속력을 유지할 수 있다.
OWASP의 과도한 에이전시 지침은 불필요한 기능, 과도한 권한, 과도한 자율성을 각각 별개의 위험 원인으로 지목한다. 이 지침은 도구와 권한을 제한하고, 중요한 결과를 초래하는 행동을 승인하며, 하위 시스템에서 권한 부여를 집행할 것을 권고한다.
이 프레임워크는 Yidun의 주장을 평가하기 위한 독립적 참조점을 제공한다. 의심스러운 의도를 인식하는 가드는 유용한 검토를 더할 수 있다. 하지만 애플리케이션이 작업을 허용할지를 결정하는 유일한 권위가 되어서는 안 된다.
가상의 구매 워크플로우에서 어시스턴트는 공급업체를 조사하고 주문을 준비할 수 있다. 제출은 회사의 의무를 변경한다. 명확한 승인 경계는 유용한 준비 작업은 유지하면서, 중요한 약정은 권한을 가진 사람의 통제 아래 둘 수 있다.
그 대가는 마찰이다. 무해한 모든 단계에 확인을 요구하면 자동화의 가치는 약화된다. 폭넓은 재량을 허용하면 실수와 조작된 지시의 결과가 더 커진다. 유용한 배포에는 실제 워크플로우를 반영하는 경계가 필요하다.
이 때문에 의도 일관성 기능은 정당한 작업을 통해 신중하게 테스트할 필요가 있다. 명백히 관련 없는 요청을 차단하는 것은 한 가지 사례일 뿐이다. 더 어려운 사례는 도움이 되어 보이지만 사용자의 권한이나 업무 범위를 초과하는 행동과 관련된다.
Agent Guard의 의도 점검에서 중요한 증거는 이러한 구분을 명시적으로 보여줘야 한다. 구매자는 시스템이 필요한 중간 작업은 허용하고, 승인되지 않은 변경은 거부하며, 관리자가 검토할 수 있는 방식으로 그 차이를 설명하는 사례를 필요로 한다.
출시 보도는 Yidun이 추론된 의도와 고정 규칙을 어떻게 결합하는지 판단하기에 충분한 구현 세부 사항을 공개하지 않는다. 또한 지원되는 모든 행동이 피할 수 없는 집행 지점을 통과하는지도 입증하지 않는다.
이 불확실성은 발표의 중요성을 지우지 않으면서 해석에 반영되어야 한다. Yidun은 올바른 통제 범주를 제시하고 있다. 남은 질문은 이들의 통합이 또 하나의 자문 신호가 아니라 신뢰할 수 있는 경계를 만들어 내는가이다.
가장 강력한 아키텍처는 각 계층이 분명한 역할을 유지하도록 할 것이다. 작업 맥락은 판단에 정보를 제공하고, 권한은 권위를 제한하며, 연결된 애플리케이션은 자체 규칙을 집행한다. 해석의 실패가 자동으로 추가 접근 권한을 부여해서는 안 된다.
Microsoft와 Anthropic은 유용한 참조점을 제공한다
Yidun의 경쟁 맥락은 어떤 모델이 더 많은 의심스러운 텍스트를 거부하는지의 단순한 경쟁이 아니라 다층 보안 접근 방식이다.
Microsoft는 AI 시스템이 읽는 자료에 포함된 악의적 지시인 간접 프롬프트 인젝션을 연결된 기업 워크플로우의 위협으로 설명한다. 이러한 지시는 사용자의 원래 요청이 정당하더라도 행동의 방향을 바꿀 수 있다.
Microsoft는 2025년 7월 프롬프트 인젝션 방어에 관한 설명에서 예방, 탐지, 데이터 거버넌스, 동의 워크플로, 차단을 제시했다. Spotlighting 기법은 모델이 신뢰할 수 없는 자료와 사용자 지시를 구분하도록 돕는다.
이는 Yidun의 포지셔닝과 의미 있는 비교를 만든다. Microsoft의 설명은 모델에 직접 적용되는 조치와 애플리케이션 제어를 모두 포괄한다. Yidun 역시 에이전트 보호를 단순한 콘텐츠 스크리닝이 아니라 접근과 실행을 둘러싼 점검 체계로 제시한다.
이 비교가 동등한 역량을 입증하는 것은 아니다. 검토한 자료는 서로 다른 제품과 평가 맥락을 다룬다. 해당 출처에는 Yidun과 Microsoft의 순위를 매길 수 있는 공통 테스트가 없으며, 기능 범주의 중복은 성능 비교가 아니다.
Anthropic은 2025년 11월 브라우저 보안 연구를 통해 또 다른 기준점을 제시한다. 이 회사는 악의적인 이메일 콘텐츠가 어시스턴트를 기밀 메시지 전달로 유도하는 공격 시나리오를 설명했다. 또한 방어가 개선되었다고 해서 프롬프트 인젝션 문제가 해결된 것은 아니라고 강조했다.
이 사례는 보안 문제를 일상적인 사용자 작업과 연결한다. 어시스턴트는 정당한 접근 권한과 유용한 업무를 부여받은 상태에서 시작한다. 위험은 어시스턴트가 접한 콘텐츠가 이후 행동에 영향을 미치기 시작할 때 발생한다.
Microsoft와 Anthropic의 자료 어느 쪽도 Yidun 출시를 겨냥한 반응은 아니다. 관련성은 아키텍처 측면에 있다. 두 사례 모두 최종 응답에 부적절한 언어가 포함되었는지만 확인하는 방식으로는 문제가 해결되지 않는 이유를 보여준다. 또한 보호 주장 해석을 위한 신중한 기준선도 제공한다.
기업에게 경쟁의 핵심 질문은 통합의 깊이가 된다. AI 플랫폼 내부의 보안 기능은 해당 플랫폼의 실행 경로를 직접 파악할 수 있다. 별도의 보안 제품은 지원 애플리케이션 전반에서 동등한 맥락을 어떻게 확보하는지 입증해야 한다.
이는 여러 애플리케이션을 아우르는 보안 공급업체에 기회가 될 수 있지만, 동시에 까다로운 엔지니어링 의무이기도 하다. 구매자는 어떤 작업이 보호 대상인지, 업데이트가 적용 범위에 어떤 영향을 미치는지, 그리고 제품이 어디에서 애플리케이션별 통합에 의존하는지를 알아야 한다.
Agent Guard의 포지셔닝은 Yidun이 이러한 경계를 구체적으로 제시할 수 있을 때 가장 설득력 있어질 것이다. 광범위한 호환성 표현보다 시스템이 무엇을 관찰하고, 무엇을 차단하며, 권한이 어디에서 다른 주체에게 남는지를 보여주는 문서화된 사례가 더 유용하다.
따라서 업계 맥락은 Yidun 발표의 관련성을 뒷받침하지만, 그 구현을 검증하지는 않는다. 계층형 보호는 에이전트 위험에 대응하는 확립된 방식이다. 경쟁력은 실제 워크플로 전반에서 그러한 계층을 제공하고 문서화하는 데 달려 있다.
공급망 스캔은 중요한 질문을 남긴다
보안 제품군은 관련 위험을 식별할 수 있지만, 홍보된 모든 구성 요소가 이를 신뢰성 있게 방지한다는 점까지 입증하지는 않는다.
Sina Tech의 에이전트 보안 보도는 Yidun의 입출력 가드레일, Agent Guard, 에이전트 보안 플랫폼을 별개의 요소로 설명한다. 보도는 자산 탐색, 구성 요소 스캔, 민감 데이터 보호를 더 넓은 플랫폼의 기능으로 분류한다.
구성 요소 스캔에는 패키지화된 에이전트 지시 또는 역량인 Skills와 AI 애플리케이션을 도구 및 데이터에 연결하는 Model Context Protocol인 MCP가 포함된다. 공급망은 애플리케이션이 통합하는 외부 구성 요소와 종속성으로 이뤄진다.
이러한 연결은 에이전트의 동작이 기반 모델만으로 결정되지 않기 때문에 중요하다. 지시문, 도구 설명, 연결된 서비스 및 그 업데이트는 어떤 작업을 사용할 수 있는지에 영향을 줄 수 있다. 모델만 검토해서는 그 주변의 모든 종속성을 고려할 수 없다.
그럼에도 스캔은 출시 발표만으로는 해결할 수 없는 질문을 제기한다. 스캐너는 어떤 자료를 검사하는가? 구성 요소를 설치 전, 운영 중, 업데이트 후 중 언제 평가하는가? 어떤 발견 사항이 경고를 발생시키고, 어떤 경우 실행을 막는가?
가상의 구성 요소는 초기 검토에서는 문제가 없어 보이지만 원격 서비스가 변경된 뒤 다르게 동작할 수 있다. 이 가능성은 깨끗한 스캔 결과와 지속적인 운영 제어가 서로 다른 질문에 답하는 이유를 보여준다. 이는 문서화된 Yidun 장애의 증거는 아니다.
자산 탐색도 또 다른 경계를 만든다. 승인되지 않은 AI 애플리케이션을 식별하면 관리자는 노출 현황을 파악할 수 있다. 그러나 탐색만으로 조직이 그 활동을 검사하거나 접근을 제한하거나 Agent Guard의 제어 아래 둘 수 있다는 점이 입증되지는 않는다.
보도에 따르면 이 플랫폼은 승인된 IT 감독 범위 밖에서 직원이 도입한 AI 도구를 뜻하는 섀도 AI를 겨냥한다. 실질적 가치는 탐색 이후 관리자가 무엇을 할 수 있는지에 달려 있다. 인벤토리 항목과 강제 가능한 제한은 서로 다른 결과다.
증거는 실제로 평가된 제품에 계속 연결되어야 한다. Sina의 보도에는 Yidun의 얼굴 위조 방지 제품인 DeepGuard의 평가 결과가 포함되어 있다. 그 결과가 Agent Guard가 안전하지 않은 도구 호출을 막을 수 있음을 입증하지는 않는다.
마찬가지로 박람회의 첫 출시 인증서는 제품 시스템의 첫 공개를 인정한다. 이를 모든 보안 주장을 독립적으로 검증한 것으로 해석해서는 안 된다. 출시 인정과 공격에 대한 측정된 저항성은 서로 다른 목적을 가진다.
검토한 보도는 독립적인 Agent Guard 벤치마크, 재현 가능한 공격 평가, 상세한 실제 운영 고객 결과를 제공하지 않는다. 따라서 효과성, 오탐, 운영 부담은 아직 해결되지 않은 상태다. 그렇다고 제품에 그러한 역량이 없다는 점이 입증되는 것은 아니다.
따라서 구매자는 제품군의 폭넓은 기능을 신뢰로 단순히 치환하지 않아야 한다. 관련 기능이 많이 포함된 제품은 조사할 가치를 가질 수 있다. 신뢰를 얻으려면 해당 기능들이 구매자가 실제로 마주하는 조건에서 함께 작동한다는 증거가 필요하다.
배포 증거, 강제 적용 범위, 구성 요소 업데이트를 지켜봐야 한다
가장 유용한 다음 전개는 Yidun의 제품 설명을 실제 배포 환경에서 관찰 가능한 동작과 연결하는 것이다.
향후 수개월 동안 주목할 첫 번째 신호는 문서화된 Agent Guard 평가 또는 고객 배포 사례다. 여기에는 워크플로, 지원 도구, 공격 조건, 허용된 작업이 명시되어야 한다. 이러한 맥락이 없는 결과는 해석하기 어렵다.
증거에는 차단된 오용 사례와 함께 정상적으로 성공한 작업도 포함되어야 한다. 의심스러운 작업을 멈추지만 정당한 업무까지 중단시키는 보안 제품은 예상 동작을 유지하는 제품과 다른 절충점을 제시한다. 두 결과 모두 도입에 중요하다.
상세한 배포 사례는 Yidun의 제어 기능이 비즈니스 운영에 어떻게 맞춰지는지를 보여줌으로써 Yidun의 주장을 강화할 수 있다. 운영 증거가 없는 또 하나의 광범위한 발표는 현재의 검증 공백을 그대로 남길 것이다. 이는 공개된 회사 출시 일정이 아니라 관찰 기준이다.
두 번째 신호는 강제 적용 범위에 대한 문서화다. 구매자는 결정이 어디에서 이뤄지는지와 어떤 실행 경로가 그 결정을 따라야 하는지를 확인해야 한다. 다이어그램이나 통합 가이드는 실제 작업을 통제하는 경계를 식별할 때 유용해진다.
예를 들어 문서는 작업 이후 생성되는 경고와 작업을 사전에 막는 결정을 구분할 수 있다. 둘 다 보안 팀에 도움이 될 수 있지만, 제공하는 보호는 다르다. 구매자가 이점을 판단하려면 시점이 명확해야 한다.
명확한 문서는 Agent Guard가 위임된 작업 주변에 강제 가능한 계층을 추가한다는 주장을 강화할 것이다. 반대로 경계가 불명확하면, 특히 구매자가 연결된 어떤 작업이 제품의 적용 범위 밖에 남는지 판단할 수 없다면 그 주장은 약화될 것이다.
세 번째 신호는 Yidun이 연결된 구성 요소의 변화를 어떻게 처리하는지다. Skills와 도구 서비스는 최초 도입 이후에도 반드시 고정된 상태로 유지되지는 않는다. 구매자는 재평가, 변경된 권한, 이전에 승인된 연결의 처리 방식에 대한 증거를 필요로 한다.
업데이트가 어떻게 검토를 촉발하는지 보여주는 공개 사례는 공급망 주장을 더 구체적으로 만들 것이다. 초기 스캔에 한정된 설명은 더 좁은 결론만 뒷받침한다. 지속적인 보호는 다른 제어 수단과 운영 관행에 의존하게 된다.
이러한 신호는 개발자가 어떤 정보를 보존해야 하는지 판단하는 데도 도움이 된다. 유용한 기록은 시작 요청, 영향을 받은 리소스, 제안된 작업, 보안 결정, 최종 결과를 연결한다. 이러한 연결은 관리자가 다듬어진 응답에서 추론하는 대신 동작을 조사할 수 있게 해준다.
지식 근로자에게 즉각적인 조치는 어시스턴트의 접근 권한이 어디에서 권한 행사로 바뀌는지 살피는 일이다. 파일을 읽고, 초안을 준비하고, 변경 사항을 제출하는 일은 서로 다른 결과를 낳는다. 워크플로를 담당하는 사람들에게 이러한 경계가 어디에서 강제되는지 물어야 한다.
NetEase Yidun Agent Guard는 발표가 이러한 운영 경계를 중심에 둔다는 점에서 주목할 가치가 있다. 현재 이용 가능한 보도는 Yidun이 시스템의 적용 범위라고 말하는 내용을 보여주지만, 실제 효과성은 열어 둔다. 어떤 에이전트 보안 계층이든 신뢰할 수 있다고 판단하기 전에 실제 도구와 대표적인 작업을 사용한 시연을 요청해야 한다. 승인된 작업, 승인되지 않은 작업, 모호한 요청을 포함해야 한다. 각 결정이 어디에서 강제되는지, 가드를 사용할 수 없을 때 어떤 일이 일어나는지, 이후 어떤 증거가 남는지를 물어야 한다. 유용한 결과는 위임된 작업이 사용자가 부여하려 했던 권한 범위 안에 머무르는 방식을 명확히 설명하는 것이다.
