AWS와 키팩터, X.509 기반 AI 에이전트 암호화 신원 인증 아키텍처 공개

PKI 기반 신원 연계

AWS와 키팩터 엔지니어링 팀이 다중 에이전트 시스템 환경에서 안전하게 상호 통신하고 도구를 호출할 수 있도록 지원하는 X.509 공개키 기반구조(PKI) 참조 아키텍처를 발표했다. 대규모 언어 모델을 활용하는 에이전트가 데이터베이스나 외부 도구에 접근할 때 상호 신원을 증명하고 위조 및 재전송 공격을 방지하도록 돕는 보안 체계다.

이번 아키텍처는 AWS의 인공지능 추론 서비스와 키팩터의 엔터프라이즈 인증서 발급 관리 플랫폼인 EJBCA를 결합하여 설계되었다. 에이전트 간 통신에 쓰이는 모델 컨텍스트 프로토콜(MCP) 자체에는 내장된 인증 표준이 없다는 점에 착안하여 세 가지 인증 계층과 네 가지 보완 보안 메커니즘을 구성했다.

인증 부재와 제로 트러스트

최근 다중 에이전트 환경에서 널리 쓰이는 모델 컨텍스트 프로토콜은 전송 계층에 독립적으로 설계되어 자체적인 인증 표준 규격이 존재하지 않는다. 이로 인해 식별 메커니즘이 없으면 악의적인 주체가 정상 에이전트를 사칭하거나 가로챈 자격 증명을 재사용하여 무단으로 도구를 실행하는 보안 위협에 노출된다.

기존 방식처럼 시스템 구성 요소 간에 단순 API 키를 공유하거나 에이전트 체인을 거치며 OAuth 토큰을 그대로 넘겨주는 구조는 엔터프라이즈 환경의 제로 트러스트 요구 기준을 충족하기 어렵다. 이에 따라 호출 주체를 명확히 입증하고 사용자가 허용한 권한 안에서만 에이전트가 작동하도록 강제하는 암호화 신원 체계가 요구되었다.

4대 암호화 검증 체계

참조 아키텍처는 서명된 요청 봉투, 사용자 서명 위임 어설션, 대상 범위 축소 토큰, 실시간 온라인 인증서 상태 프로토콜(OCSP) 폐기 검증이라는 상호 보완적인 네 가지 메커니즘을 작동시킨다. 서명된 봉투는 RSA-PSS-SHA256 알고리즘을 사용해 도구 이름, 인자, 타임스탬프, 암호화 난수를 포함한 전체 페이로드에 서명하여 소유 증명을 제공한다.

사용자가 로그인하면 사용자 개인키로 위임 어설션 문서에 서명하여 3개 에이전트의 인증서 지문을 명시하며 에이전트는 사용자의 원본 비밀키 없이도 정당성을 입증한다. 동시에 표준 토큰 교환을 통해 대상 수신처가 도구 서버로 제한된 축소 토큰만 전달하여 유출 피해 범위를 한정하고, 기본값 60초의 유효 시간과 128비트 난수 캐시를 통해 재전송 공격을 차단한다.

최종 도구 서버는 실행 직전 키클록 토큰 검사, 서명 봉투 검증, 위임 어설션 검증, 신원 교차 확인이라는 4단계 심층 방어 검사를 수행한다. 검증 항목 중 하나라도 실패하면 동작을 즉시 중단하는 폐쇄형 실패 설계를 적용했으며, 세션 종료나 사용자 인증서 폐기 시 실시간 OCSP를 통해 하위 에이전트의 모든 서명 봉투와 권한이 연쇄적으로 즉시 무효화된다.

개발 및 운영 환경 변화

엔지니어링 팀은 이번 설계를 통해 사용자 개인키를 외부로 전송하지 않고 클라이언트 환경에서 로컬로 생성하는 구조를 확립할 수 있다. 개인키는 EJBCA나 에이전트 및 파일시스템에 저장되지 않으며 공개키가 포함된 인증서 서명 요청만 전달하므로 자격 증명 유출 위험이 크게 낮아진다.

또한 허용된 호출자 역할 맵을 통해 오케스트레이터 에이전트만 하위 에이전트를 호출하도록 단방향 신뢰 체인을 강제할 수 있다. 하위 에이전트끼리 상호 호출하거나 오케스트레이터를 사칭할 수 없으며 유효한 역할 인증서가 없으면 언어 모델이 임의의 지시를 생성하더라도 데이터베이스 도구 자체를 실행할 수 없다.

요구 사양 및 확장 한계

해당 참조 아키텍처를 구현하려면 표준 토큰 교환 규격을 지원하는 키클록 26.2 이상 버전과 REST API 및 OCSP 응답기가 구성된 키팩터 EJBCA 엔터프라이즈 환경이 필수적이다. 파이썬 3.9 이상 개발 환경과 함께 관계형 데이터베이스, 비밀 관리 서비스, 언어 모델 추론을 위한 AWS 계정 접근 권한도 사전에 준비되어야 한다.

대규모 분산 환경으로 확장할 때는 인메모리 난수 캐시를 분산 캐시 저장소로 대체하고 고가용성 모드의 부하 분산 장치 뒤에 OCSP 응답기를 배치해야 하는 운영 복잡도가 수반된다. 아울러 공개키 기반 신원 제어 외에도 콘텐츠 필터링이나 비정상 주제 방지를 다루는 안전 가드레일 체계를 별도로 병행 운영해야 완전한 거버넌스가 완성된다는 점을 원문은 명시하고 있다.