Vishal Sharma의 제로 트러스트 경고: AI 에이전트에는 통제의 증거가 필요하다
Vishal Sharma는 익숙한 보안 약속에 의문을 제기한다. AI 에이전트에게 규칙을 따르라고 지시하는 것만으로 그 규칙이 실제로 지켜졌다는 사실이 입증되지는 않는다는 것이다. Vishal Sharma의 제로 트러스트 경고는 목표 달성을 위해 모델과 소프트웨어 도구를 사용하는 시스템인 AI 에이전트에 관한 것이다. Queen’s University Belfast의 이 연구자는 에이전트가 정보를 삭제했고, 제한을 준수했으며, 권한이 부여된 작업을 완료했다고 주장할 때 어떤 증거가 남는지를 묻는다.
이 주장은 기업 구매자와 개발자에게 협조와 강제 가능한 통제를 구분하라는 압박을 가한다. 성공을 보고하는 에이전트는 답변을 제공한 것이다. 관련 작업을 독립적으로 기록하는 시스템은 구매자가 조사할 수 있는 근거를 제공한 것이다. 두 결과물에는 서로 다른 수준의 신뢰가 부여되어야 한다.
역사적 기준점은 네트워크 위치나 소유권을 근거로 한 자동 신뢰를 거부하는 보안 접근법인 NIST의 제로 트러스트 아키텍처다. Sharma의 문제 제기는 에이전트가 정보를 해석하고, 작업을 위임하며, 작업 간 맥락을 전달할 때 이 원칙이 어떻게 유지되는지에 관한 것이다. 핵심적인 상충 관계는 분명하다. 유용한 자율성에는 접근 권한이 필요하지만, 책임 있는 자율성에는 모델이 실수하더라도 계속 효력을 발휘하는 경계가 필요하다.
Vishal Sharma의 제로 트러스트 경고는 증거의 부재에서 출발한다
IEEE Spectrum이 공개한 Sharma의 대학 후원 에이전트 보안 분석은 조직이 에이전트의 행동을 어떻게 검증하는지에 의문을 제기한다. 후원 주체는 중요하다. 독자는 이를 상용 보안 시스템에 대한 독립적 검증이 아니라 제도권의 논의 기여로 받아들여야 한다.
이 글은 작업을 조율하는 소프트웨어인 오케스트레이터 아래에서 작동하는 에이전트를 설명한다. 이후 프롬프트가 에이전트가 이전에 잊으라는 지시를 받았던 정보를 다시 가져올 가능성을 제기한다. 또한 에이전트가 조율한 인증 해제 공격이 2~3초 만에 이뤄진 Queen’s University Belfast 내부 실험도 소개한다. 인증 해제 공격은 기기의 인증된 무선 연결을 중단시킨다.
이 글의 가장 강력한 기여는 증거를 요구한다는 데 있으며, 실험적 주장은 폭넓은 결론을 뒷받침하기 전에 더 많은 세부 정보가 필요하다.
공개된 설명은 일반적인 공격 속도 벤치마크를 확립하기에 충분한 방법론을 제공하지 않는다. 맥락 복구에 관한 논의 역시 물리적으로 삭제된 정보가 재구성됐다는 사실을 입증하지는 않는다. 워크플로 어딘가에서 계속 접근 가능한 정보는 더 이상 존재하지 않는 데이터를 복구하는 문제와는 다른 문제를 제기한다.
이 구분은 대응 방식을 결정해야 한다. 망각에 관한 진술에는 메시지, 저장된 기록, 접근 가능한 문서 또는 모델의 학습된 행동처럼 정의된 대상이 필요하다. 이런 정의가 없다면 조직은 성공적인 삭제가 어떤 모습이어야 하는지 합의할 수 없다.
가상의 고객 프로파일링 보조 도구를 생각해 보자. 사용자가 이전 인터뷰의 사용 허가를 철회한다. 보조 도구는 해당 인터뷰를 고려하지 않겠다고 확인한 뒤, 이전 평가와 유사한 추천을 제시한다. 그 유사성만으로는 보조 도구가 인터뷰를 검색했는지, 요약을 보존했는지, 혹은 독자적으로 같은 결론에 도달했는지를 판단할 수 없다.
조사에는 시스템이 실제로 무엇을 보존했고 무엇에 접근했는지 검토해야 한다. 생성된 설명은 단서가 될 수 있지만, 그 설명 자체가 문제를 종결하지는 못한다. 논란이 된 행동은 어떤 기록이 계속 사용 가능했는지를 포함해 답변을 둘러싼 구조와 관련이 있다.
구매자에게 이는 요청할 가치가 있는 증거를 바꾼다. 잘 다듬어진 데모는 준비된 세션에서 보조 도구가 올바르게 응답한다는 점을 보여줄 수 있다. 통제된 실패 테스트는 제한이 예상치 못한 요청에도 유지되는지를 드러낼 수 있다. 두 시연은 서로 다른 조달 질문에 답한다.
뉴스 가치가 있는 부분은 이러한 강조점의 변화다. Sharma는 구두 약속이 운영상 주장으로 바뀌는 지점에 주의를 돌린다. 에이전트가 민감한 정보나 중대한 결과를 낳는 행동을 다루기 시작하면, 그 지점은 명시적으로 검토할 가치가 있다.
이는 공급업체에 더 공정한 기준도 제시한다. 공급업체는 자사 모델이 결코 바람직하지 않은 응답을 생성하지 않는다고 약속할 필요는 없다. 대신 배포 환경의 한계를 설명하고 그 한계에 적합한 증거를 제시할 수 있어야 한다.
제로 트러스트는 여전히 적용되지만, 신원만으로 의도를 판단할 수는 없다
2020년 8월 공개된 NIST의 제로 트러스트 아키텍처는 신뢰할 수 있는 내부 네트워크를 가정하는 대신 리소스 자체에 보호를 집중한다. 이 문서는 신원을 확인하는 인증과 허용된 접근을 결정하는 인가를 구분한다.
소프트웨어가 자연어를 해석할 수 있게 됐다고 해서 이 프레임워크가 시대에 뒤떨어지는 것은 아니다. 이는 유용한 출발점을 제공한다. 조직 내부에 있는 에이전트라고 해서 조직의 리소스에 접근할 정당성이 자동으로 부여되는 것은 아니다.
분석의 핵심 문제는 인증된 에이전트가 현재 진행 중인 작업을 위해 어느 정도의 권한을 받아야 하는가다.
공급업체 비교 자료를 준비할 권한을 받은 보조 도구를 상상해 보자. 승인된 제안서를 읽는 일은 그 업무에 부합한다. 그러나 동일한 보조 도구가 이메일을 보낼 기술적 능력을 갖고 있더라도, 기밀 협상 브리핑을 공급업체에 보내는 일은 별도의 문제를 제기한다.
성공적인 인증은 어떤 계정이 전송을 시도했는지는 입증할 수 있다. 하지만 그것만으로 사용자가 그 특정 공개를 의도했음을 입증하지는 못한다. 따라서 보안 논의는 요청된 행동과 이를 뒷받침하는 권한을 검토해야 한다.
바로 이 지점에서 에이전트 배포는 익숙한 기업 의사결정을 복잡하게 만든다. 사람의 지시는 모든 중간 작업을 나열하지 않고도 결과를 설명할 수 있다. “비교 자료를 준비해”라는 말에는 해석의 여지가 있다. 조직은 여전히 그 해석이 어떤 작업까지 권한을 부여할 수 있는지 결정해야 한다.
합리적인 조달 질문이 뒤따른다. 보조 도구가 불필요한 단계를 선택하면 어떻게 되는가? 답변은 해당 작업을 허용하거나 거부하는 역할을 맡은 구성 요소를 밝혀야 한다. 보조 도구가 대체로 합리적인 단계를 선택한다는 약속은 행동에 관한 것이지만, 구매자가 묻는 것은 권한에 관한 것이다.
같은 논리는 위임에도 적용된다. 조정 역할의 보조 도구가 다른 에이전트에게 공급업체 이력을 조사하라고 요청한다고 가정해 보자. 이 요청에는 기밀 계약을 검토할 권한도 포함되는가? 추가 위임도 허용되는가? 어떤 최초 제한이 요청을 받는 서비스에 계속 표시되는가?
이는 모든 에이전트 플랫폼이 위임을 잘못 처리한다는 발견이 아니라 가상의 설계 질문이다. 목적은 구매자가 광범위한 접근 권한을 부여하기 전에 가정을 드러내는 데 있다. 배포 환경은 질서정연해 보이면서도 권한 모델이 제대로 명시되지 않은 상태일 수 있다.
결과적으로 보안팀은 범위 문제에 직면한다. 에이전트를 하나의 애플리케이션으로 평가하면 읽기, 편집, 전송, 삭제 간의 중요한 차이를 놓칠 수 있다. 무해한 모든 작업을 수동으로 평가하면 또 다른 부담이 생긴다. 유용한 평가는 그 양극단 사이에 있다.
따라서 제품팀은 작업 의도와 실행 가능한 권한의 관계에 관한 질문을 예상해야 한다. 고객이 이 관계를 묻는다면, 이는 단순히 또 하나의 모델 지시가 아니라 시스템 속성을 요청하는 것이다.
Vishal Sharma의 제로 트러스트 경고는 이 관점에서 읽을 때 가장 유용하다. 이는 기존의 모든 접근 제어 원칙이 실패했다고 주장하지 않으면서도, 조직이 자신의 가정을 검증 가능하게 만들도록 요구한다.
메모리는 이 상충 관계를 더 외면하기 어렵게 만든다
OWASP의 AI 에이전트 보안 지침은 메모리 격리, 만료, 민감 데이터 처리, 그리고 에이전트 맥락 외부의 인가를 다룬다. 맥락은 모델이 응답을 생성하는 동안 제공되는 정보를 뜻한다.
이 지침은 이후 행동에 영향을 주는 악성 정보의 지속성인 메모리 오염도 지목한다. 이 우려는 각 응답을 고립된 사건으로 취급하지 않고, 보존된 정보와 미래 행동을 연결한다.
기업 구매자에게 해결되지 않은 상충 관계는 보조 도구가 얼마나 유용한 이력을 보존해야 하며, 누가 계속해서 그 권한을 보유해야 하는가다.
인터뷰를 프로젝트 브리프로 바꾸는 가상의 조사 워크플로를 생각해 보자. 과거 기록은 보조 도구가 같은 질문을 반복하지 않고 결정을 보존하는 데 도움이 된다. 이러한 이점은 정보를 보존할 정당한 이유를 만든다. 동시에 철회 요청을 평가하는 일을 더 복잡하게 만든다.
한 인터뷰 참여자가 민감한 발언의 삭제를 요청한다고 가정해 보자. 구매자는 제품이 어떤 약속을 제공하는지 알아야 한다. 원본 녹취록을 삭제하는 것, 이후 검색에서 제외하는 것, 파생 브리프를 수정하는 것은 서로 구분되는 결과다.
의미 있는 계약은 적용되는 결과를 명시해야 한다. 시연은 그 결과를 직접 시험해야 한다. 보조 도구에게 해당 발언을 기억하는지 묻는 방식은 행동이 논쟁 대상인 바로 그 인터페이스에 의존하기 때문에 더 약한 증거가 된다.
이 구분은 일상적인 지식 업무에도 중요하다. 개인 지식 기반을 선택하는 사람은 수집, 검색, 삭제가 어떻게 연결되는지 이해해야 한다. 편의성만으로는 이런 질문에 답할 수 없으며, 제품 범주가 보안 보장을 확립하지도 않는다.
조사와 최소화 사이에는 긴장도 존재한다. 조직은 중대한 추천을 설명하기에 충분한 이력을 원할 수 있다. 동시에 불필요한 개인 정보를 보관하지 않으려 할 수도 있다. 보조 도구가 업무를 수행한다고 해서 어느 목표도 사라지지 않는다.
가상의 조사는 그 어려움을 보여준다. 고객이 기반 인터뷰가 삭제된 후 추천 결과에 이의를 제기한다. 조사관은 어떤 권한 있는 증거가 결정에 영향을 미쳤는지 설명할 수 있어야 한다. 모든 원본 기록을 영구히 보관하면 삭제 약속을 훼손하고, 아무것도 보관하지 않으면 조사가 어려워진다.
편집상 함의는 “메모리”에 더 정확한 제품 언어가 필요하다는 것이다. 구매자는 관련 기록과 각각에 적용되는 보장에 대한 설명을 기대해야 한다. “잊기”라고 적힌 단일 스위치는 서로 양립할 수 없는 기대가 생길 여지를 너무 많이 남긴다.
상업적 압력은 프로젝트 간 연속성을 판매하는 공급업체에 가해진다. 그 연속성이 유용해질수록, 민감한 업무를 평가하는 고객에게 그 경계는 더 중요해진다. 메모리 기능의 가치와 거버넌스 요구 사항은 함께 커진다.
따라서 Sharma의 질문은 이례적인 공격 시나리오를 넘어선다. 이는 대화가 지나간 뒤에도 조직이 정보 처리 방식을 검증할 수 있는지라는 근본적인 구매 문제를 드러낸다.
브라우저 연구는 아키텍처가 왜 위험도를 바꾸는지 보여준다
University of Washington 연구자 Franziska Roesner와 David Kohlbrenner는 7개의 에이전틱 브라우저에서 브라우저 오리진 경계를 검토했다. 이들의 연구는 상호 신뢰할 수 없는 웹사이트를 분리하는 브라우저 규칙인 동일 출처 정책과 관련이 있다.
그들의 2026년 4월 보고서는 1월 말과 2월 초에 수행한 실험을 설명한다. 이 보고서는 Agent Mode의 ChatGPT Atlas와 관련된 교차 출처 공격 시연을 담고 있다. 그 밖의 여러 제품에 대해서는 동등하게 완료된 공격이 아니라 공격의 전제 조건을 식별한다.
이 시나리오는 성공적인 프롬프트 인젝션, 즉 에이전트가 신뢰할 수 없는 콘텐츠를 지침으로 취급하게 만들려는 시도를 비롯한 특정 조건에 의존한다. 테스트된 버전과 구성도 중요하다. 이러한 결과가 현재의 모든 브라우저 릴리스에 대한 근거 없는 주장으로 확대되어서는 안 된다.
더 큰 아키텍처상의 질문은 어시스턴트의 접근 권한이 일반 웹사이트 코드에는 없는 경로를 만들어 내는지 여부다.
구매자에게 이 질문은 모델 지능에 대한 일반적인 순위보다 더 유용한 비교 기준을 제공한다. 유능한 어시스턴트도 제한적인 접근 경계 안에서 작동할 수 있다. 다른 배포 환경은 어시스턴트의 판단에 더 크게 의존하는 대신 더 광범위한 정보를 노출할 수 있다.
이러한 구성은 시연이 비슷해 보여도 서로 다른 구매 결정을 요구한다. 둘 다 페이지를 성공적으로 요약할 수 있다. 하지만 각 어시스턴트가 그 작업 중 추가로 어떤 정보에 접근할 수 있는지는 더 면밀히 살펴봐야 드러난다.
공개 공급업체 페이지의 요약을 요청하는 가상의 직원을 생각해 보자. 의도된 결과물은 해당 페이지에 관한 것이다. 워크플로가 비공개 비즈니스 자료에도 접근할 수 있다면, 평가자는 그 접근 권한이 왜 존재하는지와 사용을 제한하는 요소가 무엇인지 이해해야 한다.
직원의 요청은 유용한 기준점을 제공한다. 이는 추가 접근 권한을 평가할 수 있는 비즈니스 목적을 정의한다. 성공적인 요약만으로는 시스템이 과업에 필요한 것보다 더 많은 정보를 노출했는지 알 수 없다.
이 때문에 비교에는 신중한 언어가 필요하다. 위해로 이어질 수 있는 경로를 발견한 연구자는 조사할 가치가 있는 사실을 확립한 것이다. 하나의 설계 특성을 공유하는 모든 제품에 대한 성공적인 공격을 반드시 입증한 것은 아니다.
구매자는 공급업체의 대응에도 같은 원칙을 적용해야 한다. 패치된 사례는 시연된 경로를 차단할 수 있지만, 관련된 모든 경로가 사라졌다는 사실까지 입증하지는 않는다. 반대로 과거 연구 결과가 오늘날에도 해결되지 않은 취약점으로 자동 제시되어서는 안 된다.
현재 논쟁에서 얻어야 할 교훈은 방법론적이다. 보안 주장은 테스트한 경계, 관련 조건, 관찰된 결과를 식별할 때 더 유익해진다. 제품명만으로는 그 설명을 담아낼 수 없다.
이는 Sharma의 증거 요구를 뒷받침하는 동시에 중요한 한계를 더한다. 증거는 이를 만들어 낸 시스템과 상황에 계속 연결되어 있어야 한다. 이를 더 넓게 확장하려면 더 강한 수사가 아니라 추가 테스트가 필요하다.
더 나은 모델 행동만으로는 격리 문제를 해결할 수 없다
Anthropic의 2025년 11월 프롬프트 인젝션 방어에 관한 설명은 브라우저 사용을 위한 학습, 탐지 시스템, 적대적 테스트를 다룬다. 이 회사는 브라우저 에이전트가 여전히 취약하다는 점을 명시적으로 인정한다.
2026년 5월의 에이전트 격리 논의는 모델 방어와 에이전트가 작동하는 환경에 대한 제한을 구분한다. 격리는 시스템이 도달하거나 수행할 수 있는 일을 제한하는 것을 뜻한다. Anthropic은 모델 행동을 개선하기 위한 조치와 함께 환경적 경계를 사용한다고 설명한다.
이는 해당 회사의 접근 방식에 대한 공급업체 측 설명이다. 모든 배포 환경이 의도한 보호를 달성한다는 독립적 증명이 아니라, 회사가 밝힌 보안 논리를 보여 준다.
중요한 비교는 오류 발생 가능성을 낮추는 것과 오류가 발생했을 때의 결과를 제한하는 것 사이에 있다.
가상의 문서 어시스턴트는 이 차이를 구체적으로 보여 준다. 더 나은 판단력은 제안서 내부의 기만적인 지시를 거부하는 데 도움이 될 수 있다. 접근 제한은 해당 지시를 어떻게 해석하든 관계없이 관련 없는 기밀 문서를 가져오지 못하게 할 수 있다.
이러한 결과는 별개의 질문에 답한다. 고객은 정당한 업무 중 합리적인 행동을 원한다. 고객은 실패 상황에서 어떤 일이 일어나는지에 관한 방어 가능한 답변도 원한다. 철저한 평가는 둘 다 검토해야 한다.
이는 조달 프레젠테이션에 실질적인 과제를 만든다. 모델 시연은 눈에 보이는 행동을 보여 주므로 이해하기 쉽다. 환경적 제한은 평가자가 시스템에 금지된 경계를 넘도록 요청하기 전까지는 덜 인상적으로 보일 수 있다.
설득력 있는 시연은 경계를 넘으려는 시도를 눈에 보이게 해야 한다. 그러면 평가자는 무엇이 이를 차단했는지, 어떤 증거가 남았는지, 정당한 과업을 계속 수행할 수 있었는지를 살펴볼 수 있다. 거부 자체는 결과의 일부일 뿐이다.
평가는 제한의 비용도 고려해야 한다. 엄격하게 제한된 어시스턴트는 추가 사용자 입력을 요구하거나, 그 외에는 합리적인 작업을 완료하지 못할 수 있다. 그렇다고 제한이 잘못된 것은 아니다. 그것은 운영상 영향이 구매 결정의 일부라는 뜻이다.
마찬가지로 잦은 중단이 자동으로 더 뛰어난 보안의 증거가 되는 것은 아니다. 중단은 사람이 중요한 결과를 이해하고 승인하는 데 도움이 될 때 주목할 가치가 있다. 모호한 승인 요청은 근본적인 결정을 여전히 불분명하게 남길 수 있다.
따라서 구매자에게 유용한 질문은 구체적이다. 제안된 어떤 조치가 누구의 권한을 기다리고 있으며, 승인 이후 정확히 무엇이 달라지는가? 답변은 비즈니스 결과에 책임이 있는 사람도 이해할 수 있어야 한다.
이러한 틀은 더 똑똑한 모델과 더 강한 경계 사이의 인위적인 경쟁을 피한다. 고객은 둘 다에서 이익을 얻지만, 공급업체에는 각각이 무엇을 제공하는지 설명하도록 요구해야 한다. 한 영역의 개선이 다른 모든 영역의 개선을 입증하지는 않는다.
또한 이는 경쟁 압력을 더 선명하게 만든다. 더 광범위한 자율성을 판매하는 공급업체는 제품이 요구하는 권한에 비례하는 증거를 제시해야 한다. 잘못된 조치의 결과가 클수록 그 부담도 커진다.
Vishal Sharma의 제로 트러스트 경고는 이 논쟁에 부합하지만 결론을 내리지는 않는다. 핵심은 협조적 행동만으로 충분하지 않을 때 배포 환경이 신뢰할 만한 통제 설명을 제공하는지 여부다.
다음 증거는 실패 테스트에서 나와야 한다
향후 3개월 동안 가장 유용한 신호는 재현 가능성, 강제 적용, 현실적인 실패 조건에서의 행동과 관련될 것이다. 이는 발표된 출시 약속이 아니라 편집상 주시할 지점이다.
가장 강력한 증거는 무엇이 실패했는지, 무엇이 보호된 채 남았는지, 그리고 정당한 업무가 여전히 완료됐는지를 설명할 것이다.
첫째, Queen’s University Belfast 실험에 대한 재현 가능한 설명을 주시해야 한다. 더 완전한 출판물이라면 보고된 공격 속도를 평가하는 데 사용된 장비, 구성, 시간 측정 방법, 기준선을 식별하는 것이 바람직하다.
독립 팀이 명시된 조건에서 비슷한 결과를 얻는다면, 그러한 증거는 실험적 주장을 강화할 것이다. 더 제한적인 결과도 여전히 유익할 수 있다. 이는 독자가 특정 실험실 관찰과 에이전트 지원 공격에 관한 일반적 주장 사이를 구분하는 데 도움이 된다.
같은 기준은 컨텍스트 복구에도 적용된다. 유용한 테스트라면 어떤 정보가 제거됐는지, 그 정보가 어디에 있었는지, 어떤 검색 경로가 남아 있었는지를 정의해야 한다. 이런 세부 사항이 없으면 겉으로 보이는 회상에는 너무 많은 설명 가능성이 남는다.
둘째, 권한 경계를 더 쉽게 점검할 수 있게 만드는 제품 출시를 주시해야 한다. 중요한 신호는 테스트 가능한 제한과 연결된 문서화된 변경이다. 새로운 보안 라벨만으로는 그 증거가 되지 않는다.
예를 들어 가상의 출시에서는 어시스턴트가 외부 메시지를 준비할 수 있지만 별도의 구성 요소가 전송을 통제한다는 점을 보여 줄 수 있다. 평가자는 여전히 그 제한이 포괄하는 수신자, 내용, 승인 조건을 검토해야 한다.
이러한 증거는 공급업체가 일반적인 보안 원칙을 배포 가능한 통제로 전환하고 있다는 주장을 강화할 것이다. 단지 또 다른 지침을 추가하는 출시라면 독립적으로 강제되는 제한에 관한 주장에는 더 적은 근거를 제공할 것이다.
셋째, 공격 저항성과 함께 복구를 테스트하는 독립 평가를 주시해야 한다. 원치 않는 작업을 차단하는 것은 가치 있다. 구매자는 시스템이 시도를 반복하지 않고, 승인된 작업을 잃지 않으며, 과도한 개입을 요구하지 않고 복구할 수 있는지도 알아야 한다.
가상의 평가는 같은 과업을 접근 제한 전후로 비교할 수 있다. 결과는 금지된 조치와 정당한 완료를 모두 설명해야 한다. 그렇지 않으면 거의 아무것도 수행하지 않는 시스템이 도움이 되지 않는 이유로 안전해 보일 수 있다.
피해가 제한되고 승인된 업무가 성공적으로 완료됐다는 결과는 실용적 자율성에 대한 근거를 강화할 것이다. 유용한 완료에 광범위하고 제대로 설명되지 않은 접근 권한이 필요하다는 결과는 지속되는 트레이드오프를 드러낼 것이다.
이 신호들이 중요한 이유는 현재의 논쟁이 그렇지 않으면 순환 논리가 될 수 있기 때문이다. 연구자는 검증을 요구한다. 공급업체는 보호 장치를 설명한다. 구매자는 그러한 보장이 무엇을 포괄하는지에 대한 공통된 설명 없이 확언을 받는다.
더 정밀한 증거는 더 좁고 생산적인 이견을 가능하게 할 것이다. 한 배포 환경은 초안 작성과 리서치에 적합할 수 있고, 다른 환경은 중요한 결과를 수반하는 작업을 지원할 수 있다. 그 근거는 각 시스템이 자기 행동에 관해 무엇을 입증할 수 있는지 식별해야 한다.
개발자에게 즉각적인 의미는 에이전트의 책임을 확대하기 전에 보안 주장을 테스트 가능하게 만드는 것이다. 엔터프라이즈 구매자에게는 요청하는 증거를 구체적인 비즈니스 결과와 연결하는 일이다. 지식 근로자에게는 민감한 업무를 맡기기 전에 어시스턴트에 부여된 권한을 이해하는 일이다.
다음 에이전트 파일럿 전에 논쟁의 여지가 있는 조치를 하나 선택하고 이를 해결할 증거를 정의하라. 승인되지 않은 수신자, 철회된 문서 또는 최초 과업을 넘어서는 요청을 고려해 보라. 공급업체에 어떤 일이 일어나는지, 제한이 어디에서 작동하는지, 이후 어떤 기록이 남는지를 보여 달라고 요청하라. 그런 다음 승인된 작업이 여전히 완료되는지 평가하라. 시연은 한계가 명확히 명시된 해당 배포 환경과 구성에 대한 증거로 다뤄야 한다. Vishal Sharma의 제로 트러스트 경고는 이 대화를 시작하는 데 유용한 질문을 제공한다. 어시스턴트가 규칙을 따랐다고 말할 때, 다른 사람이 실제로 검증할 수 있는 것은 무엇인가?
