요약

  • 회사가 에이전트에게 파일 일부만 읽게 했다고 생각해 보자. 선택 인수를 빼면 도구의 기본값 때문에 파일 전체가 돌아올 수 있고, 허가 검사기는 그 결과를 미리 보지 못한다.
  • 새 개인 Internet-Draft의 "*" 규칙은 도구가 나중에 추가한 인수도 오래된 토큰으로 통과시킬 수 있다. 회사의 허가서는 그대로인데 실행 가능한 일은 늘어난다.

회사가 허락한 버튼, 누가 늘렸나

회사가 AI 에이전트에게 파일을 읽을 권한을 주면서 줄 수를 제한한다. 그런데 에이전트가 줄 수를 적지 않으면 도구의 기본값이 파일 전체를 돌려줄 수 있다. 담당자는 제한을 승인했다고 생각하지만, 실제 동작은 도구가 정한다. 다음 업데이트에서 도구에 새 인수까지 생겼다면 어떨까. Niki Aimable Niyikiza의 개정 초안은 오래된 토큰의 별표 하나가 새 인수를 허용할 수 있다고 적는다. 서명은 누가 발행했는지 증명할 뿐, 회사가 미래 기능을 검토했다는 회의록은 아니다.

10월 27일 공지와 IETF Datatracker는 이 문서를 개인 Internet-Draft로 표시한다. 초안의 AAT 토큰은 소유자가 원 발행자에게 다시 묻지 않고 같거나 더 좁은 권한의 토큰을 만들 수 있게 한다. 실행을 막거나 허용하는 검사기는 서명 사슬을 확인하고, 마지막 토큰에 적힌 인수 제한과 실제 호출을 대조한다. 문제는 토큰과 달리 도구의 입력 항목은 업데이트될 수 있다는 점이다.

01판은 목록에 없는 인수를 거절하고 목록에 있는 인수는 반드시 쓰게 했다. 02판의 감사 문구는 한 독립 구현이 이 방식으로는 진짜 선택 인수를 제한할 수 없다는 문제를 찾아냈다고 적는다. 개정안은 이름 있는 인수에 optional: true를 붙여 생략을 허용하고, 이름을 쓰지 않은 인수에는 "*"를 마련했다. 별표는 값을 제한하지 않는다. 빈 인수 목록도 사실상 별표를 둔 것과 같다.

빈칸에도 실행 결과가 있다

초안의 파일 읽기 예를 보자. 토큰은 path를 한 파일로 고정하고, head와 tail의 줄 수에는 상한을 두되 입력은 선택으로 한다. 에이전트가 head를 적으면 검사기는 숫자를 확인한다. 적지 않으면 도구의 기본값이 작동한다. 검사기는 그 기본값이 무엇을 돌려줄지 보지 못한다. 초안은 head를 빼면 파일 전체가 반환될 수 있다고 지적한다. ‘생략 가능’에 서명하는 순간, 생략했을 때 도구가 할 일까지 맡기는 셈이다.

별표는 시간차를 만든다. 토큰 발행 후 도구에 추가된 새 인수도 별표가 받는다. 초안은 외부에 영향을 미치는 도구에는 "*"를 쓰지 말라고 권한다. 실행 검사기가 도구의 공개 입력 구조에 없는 인수를 거절하도록 허용하기도 한다. 그러나 토큰에 도구 버전을 의무적으로 고정하거나 새 인수가 생길 때 발행자에게 다시 허락받도록 강제하지는 않는다. 그 통제는 도입하는 조직의 선택이다.

따라서 “서명 검증 성공”만으로는 책임자가 드러나지 않는다. 검사기는 토큰 사슬이 진짜이고 호출이 현재 인수표에 맞는다고 말할 수 있다. 새 인수와 지금의 기본값을 누가 승인했는지는 도구 버전, 입력 구조, 별표를 허용한 결정 기록을 봐야 한다. 오래된 서명은 새 기능의 승인 회의록이 아니다.

02판의 부록 F는 이번에 01판 구현과 호환되지 않는 규범 변화가 생겼다고 명시한다. 선택 인수와 이름 없는 인수도 그중 하나다. 유연성 덕분에 도구가 바뀔 때마다 토큰을 다시 만들 필요는 줄어든다. 대신 도구를 고치는 사람이 옛 허가의 실제 범위도 바꿀 수 있다. 회사가 내준 출입증에 빈칸이 있다면, 나중에 누가 그 칸을 채우는지 알아야 한다.

원문 자료