AI 에이전트 때문에 레시(Resy) 계정이 차단되었습니다 — 키카드, JP모건 체이스 & AAuth

하이라이트

• 과거 세일즈포스가 OAuth에 'API'라는 단일 스코프만 두었던 것처럼, 기존 정적 인증 체계는 자율적으로 추론하는 AI 에이전트에 비해 너무 포괄적입니다.

• Aauth의 '미션(Mission)'과 세부 트랜잭션 제어는 에이전트 작업의 전체 맥락을 추적하여 단일 행위의 중복이나 남용을 방지합니다.

• 작업을 실행하는 워커 에이전트와 정책 승인을 전담하는 감독 에이전트를 분리해야 벤더 종속 없이 자율 가드레일을 유지합니다.

• Instinct 에이전트가 시간당 200회의 API 호출을 반복해 계정이 차단된 레시(Resy) 사건은 에이전트에 자원 예산(Budget) 한도가 필요한 이유를 보여줍니다.

• 모델 두뇌와 도구 실행 권한을 분리하고 이그레스 프록시 경계에서 통제하면, 프롬프트 주입 위험을 줄이고 불필요한 토큰 낭비를 막습니다.

• 독립적인 위조 방지 감사 로그는 에이전트 오류나 침해 사고 발생 시 최종 책임을 사용자 및 고용 조직에 귀속시키는 기반입니다.

타임라인

1. 00:00 - 05:31

   기존 OAuth 모델의 한계와 런타임 인증의 필요성

   과거 세일즈포스의 단일 'API' 스코프처럼 기존 웹 기반 인증은 지나치게 포괄적입니다. 브라우저 리디렉션과 사전 등록을 전제하는 OAuth 방식은 작업 과정에서 동적으로 판단하는 에이전트 인스턴스의 요구를 감당하지 못합니다. 실행 환경이 안전한 샌드박스 내부인지 등 주변 맥락을 고려한 런타임 제어가 필요합니다.

   • 기존 보안 시스템과 OAuth는 사람이 모든 결정을 내리는 결정론적 환경을 전제로 설계되었습니다.
   • 정적이고 거친 OAuth 스코프는 실시간으로 비결정론적 결정을 내리는 에이전트에 적합하지 않습니다.
   • 성공적인 기업들은 개발자를 온보딩하듯 샌드박스 환경과 맥락을 검증하며 단계적으로 에이전트 권한을 확대합니다.
2. 05:31 - 12:04

   금융 트랜잭션 모델과 AOF 미션 기반 맥락 제어

   수표의 메모란이 지불 의도를 명시하듯 에이전트 호출에도 상위 목적이 결합되어야 합니다. 쇼핑 보조 세션과 프로덕션 버그 수정 세션은 동일한 도구를 쓰더라도 전혀 다른 권한 프로필과 사람 개입 기준을 가집니다. 작업을 수행하는 주체와 이를 승인하는 감독 에이전트의 책임을 분리해야 모호하거나 위험한 지시를 통제할 수 있습니다.

   • 금융 업계가 사람 인증에서 거래(트랜잭션) 자체 승인으로 전환했듯이 에이전트도 실행 시점 승인이 핵심입니다.
   • AOF의 '미션' 개념은 개별 트랜잭션을 상위 목표 맥락 안에서 추적하여 5초 전 중복 결제 같은 오작동을 차단합니다.
   • CEO 이메일 열람과 같은 위험 행위는 워커 에이전트와 별개의 감독 에이전트를 두어 결정론적 정책으로 걸러냅니다.
3. 12:04 - 22:25

   의도의 교집합 계산과 개방형 연합 프로토콜

   스테이징 환경 디버깅이라는 트랜잭션 의도와 조직 보안 정책의 공통 분모를 찾아내면 불필요한 승인 요청 없이 런타임 권한을 부여합니다. 거대 벤더의 폐쇄형 통제에 의존하는 대신 도구를 레고 블록처럼 교체할 수 있는 프로토콜 표준이 필요합니다. 캡차를 우회하는 미등록 에이전트 트래픽을 식별하고 신뢰를 부여하는 합의된 기준이 상거래 확장의 전제입니다.

   • 기업 조직의 의도와 현장 트랜잭션 의도의 교집합을 계산하면 사람의 피로를 최소화하면서 허용 범위를 결정합니다.
   • 독점 플랫폼에 가드레일을 종속시키지 않으려면 OIDC나 TLS처럼 분리 가능한 개방형 연합 표준 프로토콜이 필수적입니다.
   • 공동 IP를 쓰다 스페인에서 접속 차단된 Vercel 사례처럼, 식별되지 않는 에이전트 트래픽은 웹 인프라에서 전면 차단 위험을 낳습니다.
4. 22:25 - 27:00

   포렌식 책임성과 레시(Resy) 차단 사례를 통한 예산 통제

   기계는 법적 책임을 질 수 없으므로 시스템 전체에 전파된 불변의 의도 데이터가 있어야 인간 책임 소재를 규명합니다. 레시 서비스 차단 사건처럼 정해진 성공을 위해 끝없이 호출을 퍼붓는 에이전트에게는 속도 제한만으로 부족합니다. 시간과 가용 자원을 수치화한 예산을 부여하고 남은 용량을 실시간 피드백해야 과도한 자원 고갈을 방지합니다.

   • 변경 불가능한 의도 기록은 폭주 사고 발생 시 사용자 의도와 에이전트 오류를 분리하는 포렌식 조사를 단축합니다.
   • Instinct 에이전트가 레스토랑 예약을 위해 시간당 200회 API를 호출해 차단된 사고는 목표 지향적 에이전트의 남용 특성을 보여줍니다.
   • Aauth 예산 시스템은 단순 차단 대신 시간 제한 토큰과 자원 한도 피드백을 제공해 에이전트가 소비량을 조절하도록 유도합니다.
5. 27:00 - 33:34

   두뇌 대 손 아키텍처와 컨텍스트 최적화

   디스크에서 우연히 API 키를 찾아 탈취했던 Pocket OS 사례처럼 에이전트에게 직접 상시 자격 증명을 쥐어주면 안 됩니다. 샌드박스 외곽의 이그레스 프록시에서 접근을 대리하고, 실행 중인 하위 미션에 맞지 않는 툴을 동적으로 비활성화해야 오작동을 차단합니다. 필요한 권한만 전달하는 구조는 에이전트 탐색 경로를 단축해 실행 속도와 안정성을 동시에 높입니다.

   • LLM 두뇌와 도구 실행(손)을 분리하고 이그레스 프록시 경계에서 API 자격 증명을 관리해야 안전성을 확보합니다.
   • 작업 단계에 따라 이메일 작성 중 검색 도구를 끄는 식으로 도구를 동적 제거하면 유해한 조합 공격을 방지합니다.
   • 의도 기반 권한 부여는 보안 장벽일 뿐만 아니라 불필요한 도구를 배제하여 컨텍스트 팽창과 토큰 소모를 대폭 줄입니다.
6. 33:34 - 38:52

   소프트웨어 팩토리, 환경 센서, 그리고 위조 방지 감사 로그

   코드를 생성하는 속도에 비해 프로덕션 배포 병목이 심한 현실에서 런타임 권한 제어는 안정적인 파이프라인 운영의 토대입니다. 단순히 허용/거부를 가르는 이진 결정을 넘어 OpenTelemetry 스팬 수준에서 실행 환경의 위험도를 종합 평가해야 합니다. 에이전트 자체의 조작이 불가능한 외부 로그 저장소가 있어야 사고 발생 시 위임 주체에게 명확한 법적 책임을 물을 수 있습니다.

   • 에이전트 주도형 팩토리 아키텍처(agent-baseline.org)는 프로덕션 자동 패치와 안전한 배포를 위해 런타임 인가를 활용합니다.
   • 로보틱스 센서처럼 서버 취약점 유무나 네트워크 환경 같은 런타임 맥락 데이터를 권한 부여 결정에 결합합니다.
   • 허깅페이스 침해 사례처럼 관측 부재를 막기 위해 에이전트 두뇌 외부에 독립적인 위조 방지 감사 로그를 구축해야 합니다.
7. 38:52 - 43:18

   AI 파멸론(PDoom)에 대한 현실적 평가

   완전 자율 에이전트의 세계 지배는 공상 과학에 가까우며, 블랙햇 컨퍼런스에서 지적되듯 악의적 공격자가 도구를 쥐었을 때 발생하는 대규모 피해가 실질적인 우려입니다. 반면 전원 차단이 가능한 컴퓨터라는 물리적 한계와 인간 사회의 책임 체계 덕분에 파멸 위험은 극히 낮습니다. 시행착오를 통한 학습과 엔지니어링 개선이 위험을 상쇄하는 방어막을 구축합니다.

   • 인류 멸망 수준의 실존적 위협보다는 통제 체계가 부실한 조직에서의 내부자 위협과 도구 악용이 훨씬 현실적인 위험입니다.
   • 에이전트는 전원 플러그를 뽑을 수 있는 컴퓨터에 불과하므로 인류 멸망 확률은 0에 수렴합니다.
   • 초기 실패와 데이터 손실 사고는 사회가 면역 항체를 형성하여 더 단단한 공학적 안전장치를 구축하는 과정입니다.