secure-agent-design은(는) 무엇을 하나요?
Meta가 Muse(2026년 9월)를 위해 공개한 보안 아키텍처에서 추출했습니다: 각 에이전트는 자체 보안 VM에서 실행되며, 별도의 '센티넬' 시스템이 VM을 떠나기 전에 모든 작업을 확인하고, 에이전트는 실제 비밀번호나 카드 번호를 절대 보지 못합니다. 보안을 약속이 아닌 아키텍처로 프레이밍한 것이 도입의 핵심이었습니다.
패턴들
사용자별 격리된 컴퓨팅
각 사용자의 에이전트는 자체 가상 머신에서 실행됩니다: 해당 사용자 전용의 격리된 컴퓨터입니다. 하나의 에이전트가 침해되어도 다른 사용자의 데이터에 도달할 수 없습니다. VM은 사용자가 자리를 비워도 백그라운드에서 계속 작동합니다.
센티넬: 실행 전 검증
별도의 시스템이 VM을 떠나기 전에 모든 작업을 확인합니다. 에이전트가 제안하면, 센티넬이 정책(허용된 앱, 지출 한도, 민감도 규칙)에 따라 실행 전에 검증합니다. 부작용이 있는 작업은 이 게이트를 우회할 수 없습니다.
자격 증명 격리
에이전트는 실제 비밀번호나 카드 번호를 절대 보지 못합니다. 구매는 트랜잭션별로 발급된 일회용 가상 카드 번호를 통해 진행되므로, 실제 결제 자격 증명은 에이전트의 컨텍스트에 절대 들어가지 않으며 프롬프트, 로그, 모델 출력을 통해 유출될 수 없습니다.
인간 승인 게이트
에이전트는 민감한 작업(이메일 보내기, 돈 지출, 데이터 삭제) 전에 물어봅니다. 승인은 포괄적이지 않고 구체적(이 작업, 이 금액, 이 수신자)이어야 합니다. 일상적인 저위험 작업은 사용자가 동의하면 자율적으로 실행될 수 있습니다.
최소 권한 커넥터
사용자가 에이전트가 접근할 수 있는 대상을 정확히 결정합니다: 어떤 앱이 연결되는지, 접근이 읽기 전용인지 읽기-쓰기인지, 그리고 언제든지 철회할 수 있습니다. 기본값은 작업을 완료하는 가장 좁은 범위로 설정하고, 명시적인 요청이 있을 때만 확장합니다.
투명성
사용자는 에이전트가 수행한 모든 작업을 볼 수 있습니다: 완전하고 사람이 읽을 수 있는 작업 로그입니다. '잊기' 컨트롤을 포함하여 사용자가 에이전트가 자신에 대해 학습한 내용을 삭제할 수 있도록 합니다.
메시징 방법
형용사('은행 수준', '군사 수준')가 아닌 아키텍처('자체 보안 VM에서 실행, 모든 작업이 떠나기 전에 확인됨')로 시작하세요. 구성 요소(VM, 센티넬, 일회용 카드)의 이름을 명시하여 기술 사용자가 주장을 검증할 수 있도록 하세요. 트레이드오프를 정직하게 인정하세요: 더 넓은 접근은 더 높은 위험을 의미하며, 이것이 바로 아키텍처가 존재하는 이유입니다.