요약

  • Agent Authorization Center 제안은 사용자와 에이전트의 연결 및 자율 접근 명단을 관리한다. 허용 명단에 오른 서비스는 사람에게 다시 묻지 않고 승인하고, 금지 명단은 거부하며, 어느 쪽에도 없으면 확인을 요청한다.
  • 접근 토큰에는 사용자 계정, 에이전트, 승인센터의 식별자가 들어가야 한다. 사람이 승인했는지 자동 승인인지 밝히는 표시는 선택 사항이며 보안 고려 항목은 아직 TBD다.

문 앞에서 매번 벨을 누르지 않게 하려면 누군가 먼저 명단을 써야 한다. Agent Authorization Center 초안은 개인 기기의 에이전트에 그런 길을 마련한다. 이용자를 반복해서 방해하지 않는다는 이점은 분명하다. 대신 이후 요청에 대한 판단이 과거에 작성한 명단으로 옮겨간다.

초안의 AAC는 사용자 신원, 에이전트 그룹과 개별 에이전트의 연결, 맞춤형 자율 접근 정책을 보관한다. 에이전트가 사용자와 AAC 식별자를 들고 서비스에 요청하면 서비스가 센터로 안내한다. 센터는 사용자·에이전트·서비스 정보를 받아 명단을 대조한다. 자율 허용 명단에 있으면 해당 교환에서 사람 없이 승인한다. 금지 명단이면 거부하고, 양쪽에 없으면 이용자에게 확인한다.

승인 후에는 OAuth 방식의 인가 코드가 발급된다. 서비스가 코드를 토큰으로 바꿔 검증한 다음 이용자의 권리에 따라 제공한다. 초안은 토큰에 사용자 계정, 에이전트, AAC 식별자가 포함돼야 한다고 적었다. 그러나 자동 승인과 사람 승인을 구분하는 값은 넣을 수 있다고만 한다. 수신 서비스는 유효한 토큰을 확인하고도 이번 요청을 사람이 보았는지 알지 못할 수 있다.

명단은 잦은 심부름에 잘 맞는다. 여섯 쪽짜리 초안은 명단에 오른 서비스에서 허용할 개별 행동, 정책 변경 이력, 항목 만료 시점, 철회 절차를 정하지 않았다. 초안은 서비스가 사용자의 권리에 따라 동작한다고 하지만, 어떤 서비스에 들어갈 권한과 그 안에서 무엇을 살 수 있는지는 다른 결정이다. 더 좁은 선을 누가 긋고 서비스가 무엇을 검증할지 명시해야 한다.

Security Considerations 절은 TBD 한 줄이다. 기존 RFC 9700은 OAuth 보안 지침을, RFC 7636은 인가 코드에 대한 PKCE 보호를 제공한다. 새 초안에는 에이전트·센터·서비스가 그 보호를 어떻게 적용하는지 적어야 한다. 배포 시험 기록도 없다.

Datatracker 기록은 개인 Informational 초안을 I-D Exists로 표시한다. 시험은 단순하다. 서비스를 자동 명단에 넣고 한 가지 제한된 일을 허용한 뒤 명단을 바꾼다. 다음 토큰을 받은 서비스가 무엇을 검증할 수 있는지 살펴보면, 토큰의 유효성과 이번 행동에 대한 사람의 동의를 구분할 수 있다.