사람처럼 보이는 에이전트를 겨냥한 Resemble AI Agent Detection

Resemble AI는 10월 29일, 사람 방문자처럼 보이면서 웹사이트를 이용하는 AI 에이전트를 겨냥한 Agent Detection을 출시했다. Resemble AI Agent Detection은 까다로운 구분을 다룬다. 자동화된 방문자는 고객 계정을 어떻게 운영하는지 감추면서도 정당한 고객을 대리할 수 있다. 자동화를 식별하면 웹사이트가 해당 활동을 이해하는 데 도움이 되지만, 그 활동에 권한을 부여해야 하는지까지 판단해 주지는 않는다.

이 긴장 관계는 이번 발표를 일반적인 봇 차단 제품 출시와 구분 짓는다. 목표를 향해 행동을 선택하는 소프트웨어인 AI 에이전트는 다른 사람을 대신해 상품을 탐색하고, 양식을 작성하며, 구매를 시도할 수 있다. 웹사이트는 이러한 위임을 허용할지, 특정 행동을 제한할지, 또는 세션을 거부할지 결정해야 한다.

Cloudflare와 HUMAN Security는 이미 에이전트 트래픽을 식별하거나 측정하는 접근법을 제공하고 있어, Resemble에는 기존 경쟁사와 상호 보완적인 기술이 존재한다. Resemble의 구체적인 주장은 자동화를 위장하는 에이전트에 관한 것이다. 공개된 결과는 주목할 만하지만, 사람 트래픽에서 발생한 오류 역시 같은 비중으로 고려할 필요가 있다.

Resemble AI Agent Detection은 차단 결정 전에 라벨을 추가한다

이 제품이 즉시 가져오는 변화는 자동화된 방문에 대한 가시성이며, 접근을 자동으로 거부하는 결정은 아니다.

Resemble은 출시 분석에서 내부 테스트가 위장된 에이전트 방문의 최소 98.8%를 식별했다고 밝혔다. 회사에 따르면 비교 대상인 6개 도구는 해당 범주에서 3.1%에서 14.8% 사이를 식별했다.

이 수치는 웹 전반에서 독립적으로 확립된 성능이 아니라 공급업체가 수행한 벤치마크를 설명한다. 비교에는 Cloudflare Turnstile, BotD, F5, Google reCAPTCHA, Akamai, Vercel BotID가 포함됐다. Resemble은 자동화가 인식 가능한 흔적을 남겼을 때는 모두 좋은 성능을 보였다고 말한다.

이 구분이 중요한 이유는 회사의 가장 강한 결과가 모든 종류의 자동화 트래픽이 아니라 은폐된 자동화에 관한 것이기 때문이다. 이미 명백한 스크립트를 차단하고 있는 사이트라면, 추가 탐지기가 기존 통제가 놓치는 의미 있는 활동을 찾아낸다는 근거가 필요하다.

같은 발표에서는 기본 설정에서 에이전트로 잘못 분류된 사람 방문을 의미하는 오탐률이 약 5%에서 6%라고 보고한다. 에이전트만을 대상으로 한 비교는 이 오류를 측정하지 않는다. Resemble은 벤치마크 범위도 일관되지 않게 설명하며, 12개와 8개의 웹사이트 스택을 모두 언급한다.

이러한 공개 내용은 독자가 내릴 수 있는 결론의 범위를 좁힌다. 이번 출시는 특정 탐지 접근법을 검토할 근거를 제공한다. 하지만 웹사이트가 반환되는 모든 분류를 신뢰하거나 현재 방어 체계를 교체해야 한다는 점을 입증하지는 않는다.

기업의 경우 관찰 전용 배포가 이러한 질문들을 분리할 수 있다. 탐지기는 방문에 라벨을 붙이되, 사이트는 기존 운영을 계속할 수 있다. 이후 담당자는 의심되는 에이전트가 식별 가능한 고객 여정을 따르는지, 또는 확인된 악용 행위와 연관되는지를 살펴볼 수 있다.

이 과정은 시스템 간 판단 차이도 드러낸다. 기존 보안 서비스는 새 탐지기가 자동화로 분류한 세션을 허용할 수 있다. 어느 한쪽의 판단만으로는 방문자가 무언가를 구매하려는지, 정보를 가져가려는지, 계정을 악용하려는지 설명할 수 없다.

따라서 유용한 변화는 웹사이트의 트래픽 이해에 추가되는 하나의 범주다. 소프트웨어가 수행하더라도 기존에 허용되던 활동은 계속 허용될 수 있다. 사람이 브라우저를 제어하는 것처럼 보이더라도, 기존에 의심스러웠던 활동은 여전히 조사가 필요하다.

Resemble의 발표는 이 구분을 상업적 제안의 중심에 둔다. 에이전트를 탐지하면 웹사이트가 활용할 수 있는 정보가 생긴다. 그 가치는 운영자가 그 정보로부터 무엇을 책임 있게 추론할 수 있는지에 달려 있다.

고객 접근은 탐지를 비즈니스 결정으로 만든다

압박을 받는 팀은 악용을 막는 동시에 고객이 업무를 마칠 수 있게 해야 하는 팀들이다.

가상의 결제 세션을 생각해 보자. 고객이 보조 도구에 교체용 사무실 모니터를 찾고 승인된 한도 내에서 주문을 완료해 달라고 요청한다. 그 결과 발생하는 브라우저 활동은 자동화되지만, 구매 자체는 여전히 실제 수요를 나타낼 수 있다.

이제 공격자가 자동화를 이용해 탈취한 계정 자격 증명을 시험하는 경우를 생각해 보자. 두 세션 모두 탐색, 입력, 익숙한 양식과의 반복적인 상호작용을 포함할 수 있다. 탐지기가 동일한 광범위한 에이전트 라벨을 부여하더라도 비즈니스상 의미는 다르다.

여기서 AI 에이전트 식별은 정책 문제가 된다. 보안 담당자는 의심스러운 행동에 대한 증거가 필요하다. 커머스 담당자는 고객이 거래를 완료해야 한다. 지원 담당자는 누군가 보조 도구가 예상치 못한 제한에 부딪혔다고 보고할 때 설명할 수 있어야 한다.

일괄 거부 규칙은 정당한 자동화 접근을 희생해 분류 문제를 해결한다. 무제한 허용 규칙은 접근성을 보존하는 대신 민감한 행동을 노출된 상태로 남긴다. 어느 대응도 추가 정보를 매우 신중하게 활용하지는 않는다.

더 타당한 구분은 세션이 무엇을 시도하는지에 관한 것이다. 공개 상품 설명을 읽는 일은 계정의 복구 주소를 바꾸는 일과 다른 결과를 낳는다. 같은 방문자도 이러한 행동 전반에서 서로 다른 요구 사항을 마주하는 것이 합리적이다.

이 분석은 소매를 넘어 적용된다. 직장용 보조 도구는 참고 자료를 수집하거나, 서비스 요청을 제출하거나, 공유 기록을 업데이트할 수 있다. 업무를 위임한 사람이 같더라도 각 행동에는 고유한 결과가 따른다.

지식 근로자에게 실질적인 우려는 연속성이다. 정보를 성공적으로 수집했지만 제출 단계에서 실패한 보조 도구는 불완전한 워크플로를 남긴다. 사용자는 어떤 행동이 수행됐고 어떤 행동이 여전히 자신의 주의를 필요로 하는지 알아야 한다.

이는 탐지와 함께 추적 가능성이 유용한 이유다. 검색 가능한 지식 기반을 유지하는 팀은 중단된 워크플로를 검토할 때 원본 자료와 결정을 보존할 수 있다. 이러한 기록은 누가 브라우저를 제어했는지 판단하는 것과는 다른 목적을 수행한다.

따라서 엔터프라이즈 구매자는 트래픽 분류와 거래 책임성을 구분해야 한다. 탐지기는 자동화에 관한 증거를 제공할 수 있다. 그러나 분류만으로 고객 지시의 범위를 확립하거나 잘못된 행동에 대한 책임을 확정할 수는 없다.

조직상의 과제는 대응의 책임자를 정하는 일이다. 보안 팀이 접근 규칙을 바꾸면 커머스와 지원 팀은 그 결과를 이해해야 한다. 그렇지 않으면 기술적으로 성공한 탐지가 아무도 해결할 준비가 되지 않은 고객 문제를 만들 수 있다.

Resemble의 기회는 이 대화를 더 구체적으로 만드는 데 있다. 측정된 에이전트 범주는 팀에 조사할 대상을 제공한다. 동시에 팀은 실제로 어떤 자동화된 고객 활동을 지원하려는지 설명해야 한다.

브라우저 식별이 부족한 곳에서 행동은 증거를 제공한다

Resemble의 기술적 제안은 브라우저가 평범한 정체성을 제시하더라도 상호작용 패턴이 자동화를 드러낸다는 것이다.

제품의 기반 모델인 RAD-S1은 행동 분석과 추가 브라우저 신호를 결합한다. Resemble의 행동 탐지 모델은 기술 설명에 따르면 움직임, 클릭, 스크롤, 입력 패턴을 분석한다.

회사는 약 25 KB의 수집 스크립트가 1.2초마다 배치를 전송한다고 설명한다. 초기 검사는 약 5회의 행동 또는 50회의 포인터 움직임 뒤에 이뤄진다. 점수 산정은 Resemble의 서버에서 실행된다.

Resemble은 서버 검사 응답 중앙값이 약 120밀리초이며, 95%가 200밀리초 내에 응답한다고 보고한다. 이 수치는 증거 수집 이후의 개별 검사에 관한 것이다. 페이지 도착부터 활용 가능한 분류까지 걸리는 전체 시간으로 해석해서는 안 된다.

이 시간 차이는 중요한 행동에 특히 중요하다. 웹사이트는 방문자가 양식을 제출하기 전에 증거가 항상 도착한다고 가정할 수 없다. 접근 정책은 분류를 아직 사용할 수 없는 기간을 고려해야 한다.

RAD-S1 탐지는 웹사이트가 방문자에 대해 제기하는 주장의 성격도 바꾼다. 브라우저 식별은 클라이언트가 자신을 무엇으로 제시하는지 설명한다. 행동 분류는 이를 조작하는 주체가 어떤 유형의 행위자로 보이는지 추정한다.

어느 범주도 의도를 확립하지는 않는다. 사람과 유사한 행동은 악의적인 세션과 함께 나타날 수 있고, 눈에 띄게 자동화된 행동은 정당한 구매와 함께 나타날 수 있다. 웹사이트는 이 질문들을 분리해 둘 때 조사에 더 강한 근거를 얻는다.

독립 연구는 Resemble의 구체적 결과를 검증하지는 않지만, 여러 신호를 조사할 필요성은 뒷받침한다. 6월 사전 공개 논문에서 Iliana Fayolle과 동료들은 네트워크, 요청, 브라우저 증거를 사용해 6개의 웹 에이전트를 연구했다. 이들의 다층 핑거프린팅 연구는 일부 에이전트가 평가된 방어 체계를 우회했지만, 결합된 신호를 통해 여전히 구별 가능하다는 사실을 발견했다.

연구진은 은폐 기법이 때때로 탐지 가능성을 높였다는 점도 발견했다. 이 결과는 위장된 브라우저가 기존 검사에서 보이지 않게 된다는 단순한 주장을 복잡하게 만든다. 은폐는 익숙한 단서를 제거하는 동시에 다른 단서를 도입할 수 있다.

이는 구매자에게 자체 트래픽에서 접근법을 비교할 이유를 제공한다. 관련 질문은 행동 증거가 이미 이용 가능한 신호를 넘어 유용한 정보를 추가하는지다. 높은 단독 탐지 점수만으로는 그 점진적 가치를 답할 수 없다.

같은 논리는 경쟁사 플랫폼 전체에 관한 결론도 제한한다. 특정 챌린지 또는 탐지 제품을 대상으로 한 벤치마크는 테스트된 구성을 평가한다. 그것이 해당 공급업체가 다른 곳에서 제공하는 모든 기능을 자동으로 설명하지는 않는다.

개발자에게 이 메커니즘은 증거 수집과 보호 대상 행동 사이에 의존성을 만든다. 수동적인 탐색은 방문자를 관찰할 시간을 남긴다. 세션 초기에 민감한 행동이 발생하면 다른 문제가 생긴다.

더 넓게 보면, 브라우저의 외형은 접근을 결정하는 불완전한 근거가 됐다. Resemble은 또 다른 증거 원천을 제안한다. 구매자는 여전히 그 증거가 언제 도착하는지, 얼마나 일관되게 도움이 되는지, 어떤 결정을 뒷받침할 수 있는지를 확립해야 한다.

선언된 정체성과 행동 탐지는 서로 다른 문제를 해결한다

경쟁 구도는 웹사이트가 자동화를 환영하는지 여부가 아니라, 정체성과 권한을 어떻게 확립하는지에 관한 것이다.

Cloudflare는 자동화된 요청을 인증하기 위해 암호화 서명을 사용하는 방법인 Web Bot Auth를 문서화하고 있다. 암호화 서명은 특정 서명 키 보유자로부터 요청이 왔다는 검증 가능한 증거를 제공한다.

이 접근법은 선언된 자동화를 다룬다. 협력하는 클라이언트가 수정 가능한 브라우저 설명보다 강한 증거를 통해 자신을 식별할 방법을 제공한다. 행동 탐지는 다른 상황을 다룬다. 방문자가 신뢰할 수 있는 식별 정보를 제공하지 않는 경우다.

이러한 접근법은 서로 보완될 수 있다. 웹사이트는 신고된 에이전트의 출처를 검증하는 한편, 별도로 세션이 허용 가능한 범위 안에서 작동하는지 확인할 수 있다. 검증된 신원을 제공하지 않는 자동화도 조사할 수 있다.

인증이 곧 권한 문제를 해결하는 것은 아니다. 어떤 서비스가 요청을 보냈는지 안다고 해서 고객이 요청된 모든 작업을 승인했다는 뜻은 아니다. 웹사이트는 인증된 서비스가 계정에서 무엇을 할 수 있는지 별도로 결정해야 한다.

이는 AI 에이전트 식별의 핵심적인 한계다. 출처, 자동화, 고객 동의, 허용된 작업은 서로 연관되어 있지만 서로 다른 사실을 설명한다. 이를 신뢰 여부라는 단일 레이블로 뭉뚱그리면 실제 의사결정에 필요한 증거가 가려진다.

HUMAN Security는 agentic visibility를 통해 시장에 접근하며, 에이전트 여정의 분류와 측정을 강조한다. 이 회사의 자료는 사람이 수행한 참여, 봇, 에이전트 참여를 구분하고, 자동화된 여정이 어디에서 전환되거나 중단되는지를 설명한다.

이러한 포지셔닝은 트래픽 이해를 둘러싼 Resemble의 사업 논리와 맞닿아 있다. 또한 에이전트 가시성이 단순한 차단 범주를 이미 넘어섰음을 보여준다. 공급업체들은 웹사이트가 자동화된 고객 활동을 해석하는 방식을 두고 경쟁하고 있다.

공개된 제품 설명만으로는 이들 기업 간의 중립적인 성능 순위를 확정할 수 없다. 이들이 주장하는 기능, 배포 환경, 평가 방식은 서로 다르다. 구매자는 한 공급업체의 주장을 다른 공급업체에 대한 판정으로 받아들이기 전에, 비교 가능한 증거를 확보해야 한다.

따라서 엔터프라이즈 비교는 해결되지 않은 과제에서 시작해야 한다. 협력하는 에이전트를 식별하는 데 어려움을 겪는 사이트는 은폐된 자동화를 조사하는 사이트와 다른 공백에 직면한다. 보조를 받은 구매를 측정하려는 사이트도 또 다른 과제를 안고 있다.

이 구분은 성공의 기준에도 영향을 미친다. 더 나은 신원 검증은 운영 주체에 대한 불확실성을 줄일 수 있다. 더 나은 행동 기반 탐지는 은폐된 통제를 드러낼 수 있다. 더 나은 여정 측정은 합법적인 자동화 고객이 작업을 포기하는 이유를 설명할 수 있다.

Resemble은 전체 에이전트 접근 문제를 포괄적으로 해결하겠다고 주장하기보다, 구체적인 행동 기반 주장을 내세워 이 시장에 진입한다. 관찰 가능한 공백을 이 증거가 메우는 곳에서 기회가 가장 크다. 이후의 의사결정에서는 기존 신원 및 권한 시스템도 여전히 중요하다.

고객에게 바람직한 결과는 예측 가능한 위임이다. 지원되는 환경에서는 보조자가 자신의 정체를 밝히고, 이해하기 쉬운 제한을 받으며, 어떤 일이 있었는지 명확히 보고해야 한다. 탐지는 그러한 예측 가능한 경험에 기여할 때 유용해진다.

오탐과 최종 판정이 한계를 규정한다

탐지기의 유용성은 주요 벤치마크 밖에서 발생하는 오류를 포함해, 오류가 초래하는 결과에 달려 있다.

Resemble의 통합 문서는 사람, 에이전트, 검토 판정을 설명한다. 또한 상호작용이 충분하지 않은 방문은 판정 없이 끝날 수 있다고 밝힌다. 따라서 증거가 부족한 경우는 방문자가 사람이라는 증거와 구별되어야 한다.

문서는 판정이 최종 확정되면 해당 방문에 대한 수집이 중단된다고 설명한다. 이는 이후 통제 주체가 바뀌는 세션에 관한 평가 문제를 제기한다. 구매자는 제품의 세션 경계와 최종 분류가 사람에서 에이전트로 전환되는 상황과 어떻게 상호작용하는지 물어야 한다.

이 질문이 취약점을 입증하거나 회사의 테스트 결과와 모순되는 것은 아니다. 다만 사이트가 중요한 고객 여정 전반에서 초기 분류에 의존하기 전에 명확한 설명이 필요한 동작을 짚어낸다.

Resemble은 의지가 확고한 공격자가 브라우저가 제공하는 신호를 위조할 수 있다고도 경고한다. 이 회사의 문서는 시스템을 자문적 성격의 도구로 규정한다. 이러한 단서는 반환된 분류를 결정적 증거로 해석하는 데 명확한 경계를 둔다.

개인정보 보호 역시 또 다른 경계다. Resemble은 입력된 텍스트가 아닌 핵심 범주를 기록하고, 방문자 IP 주소를 저장 전에 해싱하며, 선택된 이벤트 스트림을 보존한다고 말한다. 이는 독립적인 개인정보 평가가 아니라 회사가 설명한 수집 관행이다.

구매자는 여전히 배포 목적과 보존 방식을 이해해야 한다. 메시지 내용이 제외된다고 해서 행동 데이터가 개인정보와 무관해지는 것은 아니다. 조직은 무엇을 수집하는지, 왜 그것이 필요한지를 평가해야 한다.

공개된 사람 관련 오류율은 고객 대면 의사결정에서 특히 주의 깊게 살펴볼 필요가 있다. 잘못된 분석 레이블은 보고서를 왜곡할 수 있다. 동일한 잘못된 레이블이 자동 계정 제한에 연결되면 누군가가 필요한 업무를 완료하지 못하게 할 수 있다.

이 때문에 정밀도 평가가 중요하다. 정밀도는 표시된 세션 중 실제로 표시된 범주에 속하는 세션의 비율을 측정한다. 이는 실제 에이전트 세션 중 탐지기가 포착하는 비율을 측정하는 재현율과 다르다.

에이전트 트래픽의 비율은 이 지표들이 서로 어떻게 연결되는지에 영향을 준다. 사람의 방문이 에이전트 방문보다 훨씬 많으면, 사람에 대한 오류가 검토 대기열의 대부분을 차지할 수 있다. 탐지기가 대부분의 에이전트를 포착하더라도 상당한 확인이 필요한 레이블을 만들 수 있다.

이 관찰만으로 특정 배포 결과를 자동으로 추정할 수는 없다. 구매자에게는 자체 트래픽 분포와 독립적으로 확립된 레이블이 필요하다. 핵심은 높은 에이전트 포착률만으로는 집행에 따른 업무량이나 고객 영향을 예측할 수 없다는 점이다.

적용 범위도 중요하다. 상호작용이 많은 세션만 분류하는 탐지기는 대부분의 방문을 평가하는 탐지기와 다른 공백을 남긴다. 보고에서는 분류되지 않은 트래픽을 분모에서 조용히 제외하지 말고, 이를 가시화해야 한다.

접근성도 의도적으로 평가할 필요가 있다. 구매자는 지원되는 입력 방식과 고객 행동의 일반적인 변형을 테스트해야 한다. 검토된 출처는 특정 접근성 실패를 입증하지는 않지만, 그러한 조건 전반의 성능도 확정하지 않는다.

이 질문들은 RAD-S1 탐지를 단일 백분율을 둘러싼 경쟁이 아니라 운영상의 평가로 만든다. 유용한 기준선은 조치의 성격, 확보 가능한 보강 증거, 잘못된 결정을 내렸을 때의 비용에 따라 달라진다.

검증, 고객 결과, 위임된 접근을 지켜봐야 한다

다음 증거는 실제 고객 환경에서 Resemble의 레이블이 의사결정을 개선하는지를 보여줘야 한다.

첫 번째로 주목할 신호는 사람과 에이전트를 모두 포함하는 재현 가능한 평가다. 이 평가는 테스트한 구성, 오류율, 분류되지 않은 방문, 이전에 보지 못한 자동화에 대한 성능을 공개해야 한다. 더 큰 홍보용 점수보다 비교 가능한 조건이 중요하다.

동일한 조건의 테스트에서 우위가 유지된다면, 이러한 평가는 출시의 경쟁력 주장을 강화할 것이다. 새로운 조건에서 성능이 크게 떨어진다면, 그 주장은 모델이 유용한 결과를 입증한 환경으로 좁혀질 것이다.

독립적인 테스트는 탐지 속도와 의사결정 적용 범위도 구분해야 한다. 충분한 활동 후 빠르게 응답한다고 해서 모든 민감한 작업 전에 분류가 이뤄진다는 보장은 없다. 구매자에게는 실제 워크플로의 시점과 맞는 증거가 필요하다.

두 번째 신호는 고객 결과 보고다. 유용한 배포는 에이전트 트래픽 레이블링이 운영자가 완료된 작업, 중단, 지원 문의, 확인된 악용을 이해하는 데 도움이 되는지를 보여줘야 한다. 탐지 건수만으로는 사업적 가치를 입증할 수 없다.

관찰 전용 도입은 제한을 적용하기 전에 이러한 관계를 조사할 방법을 제공한다. 운영자는 불일치를 검토하고, 의심되는 오류를 확인하며, 추가 증거가 판단을 개선하는 작업을 식별할 수 있다. 그 결과는 집행 확대 여부를 결정해야 한다.

불필요한 고객 중단 없이 유해한 거래가 줄었다는 증거는 도입의 근거를 강화할 것이다. 반면, 기반 탐지기가 계속 에이전트를 포착하더라도 지원 불만이 늘거나 설명되지 않는 이탈이 발생한다면 선택한 대응 정책에 의문이 제기될 것이다.

세 번째 신호는 웹사이트와 에이전트 제공업체 사이의 더 명확한 위임 접근이다. 검증된 출처는 문제의 한 부분을 다룬다. 명시적이고 제한적인 고객 권한은 또 다른 부분을 다룬다. 진전하려면 웹사이트가 식별된 에이전트에게 허용된 작업을 명확히 전달해야 한다.

그렇다고 모든 웹사이트가 동일한 상업적 방식을 채택해야 하는 것은 아니다. 보조자의 신원과 권한을 더 명확히 구분해야 한다는 뜻이다. 고객이 상품 조사를 요청했다고 해서 제한 없는 계정 접근까지 의미해서는 안 된다.

협력이 개선된다면, 더 적은 수의 합법적인 에이전트만이 지원되는 작업을 완료하기 위해 일반 사람 트래픽처럼 보여야 할 것이다. 행동 기반 탐지는 신고되지 않았거나 기만적인 활동을 조사하는 역할을 계속 수행할 것이다. 그 역할은 더 구체적이고 평가하기 쉬워질 것이다.

Resemble AI Agent Detection은 은폐된 브라우저 자동화를 측정 가능한 범주로 다룸으로써 이 논의에 구체적으로 기여한다. 현재 증거는 이 접근법을 검토할 근거를 제공하지만, 벤치마크의 한계와 공개된 사람 관련 오류도 함께 고려해야 한다.

에이전트의 계정 또는 비즈니스 워크플로 접근을 확대하기 전에, 웹사이트가 실제로 무엇을 인식하는지 물어야 한다. 운영 주체를 아는가, 고객의 권한을 아는가, 아니면 상호작용이 자동화된 것처럼 보인다는 사실만 아는가? 요청된 작업 기록을 보존하고 보조자가 무엇을 완료했는지 확인하라. 이 출시를 평가하는 구매자라면 사람 관련 오류와 판정되지 않은 방문을 포함해 자체 트래픽과 유사한 트래픽의 증거를 요청해야 한다. 유용한 결과는 그 결과에 따르는 영향과 부합하는 증거에 근거해 접근 권한을 더 명확히 결정하는 것이다. 조직이 이미 소프트웨어에 위임한 워크플로에서 이 결정의 어느 부분이 아직 해결되지 않았으며, 다음 제한이 적용되기 전에 누가 이를 검토할 것인가?