당신의 AI 에이전트는 누가 통제하는가? operator와 analyst의 분리를 통한 에이전틱 AI 감시 격차 해소

Open Interpreter, Claude Code, Cursor와 같은 에이전틱 AI 시스템은 임의 코드 실행, 파일시스템 접근, 네트워크 호출과 같은 operator 권한을 클라우드 호스팅 대규모 언어 모델에 위임한다. 본 연구는 업계가 근본적으로 상이한 두 신뢰 모델, 즉 데이터 공유(제한적·사용자 게이트·이산적)와 원격 시스템 제어(무제한·연속적·위임)를 혼동함으로써 질적으로 새로운 감시 표면을 정상화해 왔다고 주장한다. 모든 프롬프트, 툴 호출, 파일 내용, 명령 출력은 단일한 미국 관할 제공자에게 관찰 가능해지며, 소환장, 수색영장, National Security Letters, FISA §702를 통해 법적으로 강제 제출될 수 있다 — 사용자의 인지 자체를 차단하는 함구 명령(gag order)과 함께. 이 위협 모델은 더 이상 가설이 아니다. 2025년에서 2026년 사이, 채팅 로그가 형사재판의 증거로 제출되었고, 소송 보존 명령이 제공자 자신의 삭제 정책을 무효화했으며, 프롬프트로부터 사용자의 신원을 특정하려는 최초의 수색영장이 알려졌다. 교훈은 일반화된다: 제공자의 프라이버시 정책은 법원 명령에 종속되며, 강제를 이겨내는 유일한 속성은 비보유 — 애초에 보유한 적 없는 것은 제출을 강제당할 수 없다 — 이다.

기존의 완화책은 이 문제를 부분적으로만 다룬다. 로컬 전용 시스템(Ollama, LM Studio)은 클라우드를 회피하지만, 비자명한(non-trivial) 작업에서는 사용자를 다시 호스팅 모델로 되돌리는 성능 격차(capability gap)를 남긴다. 기밀 컴퓨팅(Apple Private Cloud Compute)은 인프라 운영자로부터 내용을 은닉하지만 사용자 신원은 그대로 보존하며, 과금 연동 추론과 법적 강제는 여전히 가능하다. 어느 접근법도 프런티어 모델의 성능과 사용자 익명성을 동시에 보존하지 못한다.

본 연구는 이 격차를 세 가지 조합 가능한 메커니즘으로 해소하는 레퍼런스 아키텍처 SnowClaw를 제시한다. 첫째, operator/analyst 분해이다. 툴 호출을 선택하고 실행하는 구성요소인 operator는 로컬 모델(Gemma 4)에 고정되며, 그 네트워크 이그레스는 케이퍼빌리티 게이트 프레임워크가 fail-closed 규칙 — 보호 계층이 자신의 활성화를 검증하지 못하면 그 계층이 보호하는 경로 자체가 닫힌다 — 아래 차단한다. 해석(interpretation)은 operator에게 평범한 툴(analyst)로 노출되며, 그 백엔드가 로컬 미니 analyst인지 프런티어 클라우드 모델인지 operator는 구분할 수 없다. 둘째, 신뢰 3분리이다. 클라우드 analyst 질의는 서로 다른 신뢰 도메인으로 운영되는 입구 릴레이, 게이트웨이, 토큰 발급자를 경유하며, 어떤 단일 당사자도 사용자의 신원과 내용을 동시에 보유하지 않는다. 릴레이는 IP 주소와 암호문만을, 게이트웨이는 비식별화된 텍스트만을(신원 없이), 발급자는 누가 결제했는지만을(무엇에 썼는지 모른 채) 본다. 이 토폴로지는 의도적으로 Oblivious HTTP(RFC 9458)와 동형이며, Chaum 블라인드 서명의 표준화된 후예인 Privacy Pass 아키텍처(RFC 9576)의 익명 사용 토큰으로 과금과 질의의 연결을 끊는다. 클라우드 analyst는 사용자 기기로 툴 호출을 되돌려 발행할 수도, 누가 질의를 제출했는지 알 수도 없다. 셋째, 클라우드 경로 상의 온디바이스 가역적 가명화 게이트이다. 개인 식별자, 자격 증명, 호스트명, 그리고 클라우드가 결코 볼 수 없는 기기-로컬 사전에서 나온 실명과 같은 민감 엔티티가 계층화된 탐지기에 의해 탐지되어, 일관되고 형식을 보존하는 자리표시자(placeholder)로 치환되며, 치환 맵은 결코 기기를 떠나지 않는다. 탐지는 본질적으로 최선노력(best-effort) 방식일 수밖에 없으므로 게이트는 fail-closed이다: 확신 있게 비식별화할 수 없는 질의는 클라우드 대신 로컬 analyst로 라우팅된다.

이 캘리브레이션 불필요 분해(calibration-free decomposition)는 의도적이다. 소형 로컬 모델은 "내가 이것을 할 수 있는가?"라는 메타 질문에 대해서는 캘리브레이션이 부족하지만, 툴 선택에는 잘 훈련되어 있다. 로컬-클라우드 결정을 명시적 사용자 설정에 결속된 고정 라우팅 정책으로 축소함으로써, SnowClaw는 로컬 모델의 강점을 살리고 라우팅 결정을 모델의 자기 평가가 아니라 사용자 의도에 결속시킨다.

본 아키텍처는 부분 레퍼런스 구현에 기반한다. 독립적으로 개발되어 프로덕션에 배포된 종단간 암호화 메신저 SnowChat — 자체 Pure Dart Signal Protocol 구현(X3DH, Double Ratchet, Sealed Sender)과 115개의 라이브러리 수준 테스트를 갖춘 — 위에 구축되었으며, 명시적인 claims-to-invariants 원칙을 따른다: 모든 프라이버시 주장은 기계 검증 가능한 테스트에 매핑되고, 미구현 계층은 암시되는 대신 공개된다.

구현 현황. 로컬 operator, 케이퍼빌리티 게이트, analyst 출력의 구조적 격리(적대적 fixture로 검증), sealed-envelope 릴레이 골격이 구현되어 있다. 추가로 세 개의 계층이 명세되어 후속 단계로 예정되어 있다: Privacy Pass 토큰 발급·검증, 온디바이스 가명화 게이트, 그리고 릴레이와 게이트웨이의 독립 신뢰 도메인으로의 운영 분리이다.