에이전트 루프 제어 장치(Governor) 적용하기: 사이클 감지, PII 마스킹 및 비밀 관리(Secret Brokering)를 AURA

프로덕션 LLM 에이전트가 어떻게 루프에 빠지고, PII를 유출하며, 예산을 소진하는지 — 그리고 AURA 0.3.6이 기존 에이전트 스택에 비침습적인 런타임 거버넌스를 추가하는 방법.

만약 프로덕션 환경에 자율 에이전트를 배포했다면, 이들 중 적어도 하나의 조용한 재앙을 경험했을 가능성이 높습니다:

1. 새벽 3시 루프: 에이전트가 예상치 못한 API 응답을 만나고, 약간의 변형만 준 동일한 도구를 시도하다가 2-상태 진동($A \leftrightarrow B$)에 빠지고, 하드 타임아웃이 트리거되기 전에 OpenAI 토큰 $200를 소진합니다.
2. 추적 로그 내 PII: 에이전트가 고객 질의를 처리하고 SSN(사회보장번호)이나 신용카드 번호가 포함된 비마스킹 데이터베이스 레코드를 가져와, 원본 텍스트를 중앙 텔레메트리 또는 LLM 컨텍스트 창에 바로 작성합니다.
3. 비밀 유출: API 호출을 위해 LLM에 프롬프트 컨텍스트 내에서 원본 bearer 토큰이나 AWS 비밀 키가 제공됩니다. 한 번의 프롬프트 주입(prompt injection)만으로 해당 토큰이 손상됩니다.
4. 스키마 드리프트: 모델이 유효하지 않은 파라미터 타입을 환각(hallucinates)하여, 페이로드가 실패한 이유에 대한 감사 추적(audit trail) 없이 다운스트림 도구 실행을 충돌시킵니다.

대부분의 에이전트 프레임워크(LangGraph, CrewAI, AutoGen 또는 사용자 정의 while True: 루프)는 오케스트레이션 및 추론에 중점을 둡니다. 이들은 에이전트가 실행되도록 설계되었습니다.

하지만 런타임 경계에서 이를 **거버넌스(govern)**하도록 설계된 경우는 드뭅니다.

이것이 바로 저희가 **AURA Harness**로 해결하고 있는 문제입니다.

AURA란 무엇인가?

AURA는 에이전트 루프를 위한 오픈 소스 Python **런타임 코트(runtime coat)**입니다.

이는 사용자의 프레임워크, 오케스트레이터 또는 모델을 대체하지 않습니다. 에이전트를 새로운 DSL로 다시 작성할 필요가 없습니다. 대신 AURA는 막처럼 에이전트의 경계에 위치합니다:

⚠️ [IMG:N] 형식 토큰은 이미지 placeholder 입니다. 번역하지 말고 원래 위치에 그대로 유지하세요.

• Ingress: 검증된 오퍼레이터 컨텍스트와 선언된 세션 변수를 주입(Inject)합니다.
• Egress: 호출이 실행되기 전에 도구 정책, 스키마 및 자격 증명 브로커링(credential brokering)을 강제합니다.
• Observers: 추가 전용 인과 사슬(append-only causal spine)에서 실행 추적(execution traces)을 병렬로 모니터링합니다.
• Audit: 세션이 종료될 때 위변조 방지(tamper-evident), SHA-256 해시 체인 JSONL 감사 영수증(audit receipts)을 생성합니다.

오늘 v0.3.6을 출시했습니다. 여기서는 무엇이 새롭고 왜 이러한 패턴들이 신뢰할 수 있는 에이전트 시스템을 구축하는 모든 사람에게 중요한지 설명해 드립니다.

1. 궤적 사이클 감지 및 루프 거버넌스 (preset: break)

반복적인 도구 호출이 항상 나쁜 것은 아닙니다. 장기간 실행되는 리서치 에이전트가 40턴에 걸쳐 web_search를 15번 호출하는 것은 정상적인 행동입니다.

단순한 전역 속도 제한기(global rate-limiters)는 건강한 세션에서 작동을 멈추거나 위험한 로컬 교착 상태(local deadlocks)를 놓치기 때문에 실패합니다.

AURA 0.3.6에서는 break 옵저버 프리셋이 슬라이딩 윈도우 궤적 지역성(sliding-window trajectory locality) ($K=8$) 및 다중 사이클 토폴로지 감지로 업그레이드되었습니다:

from aura.api import agent

# 에이전트 거버넌스 정책 선언
...

실제 사례에서 포착하는 것:

1. 액션 고착 (Action Fixation) (1사이클): 에이전트가 이전 출력을 이해하지 못하여 동일한 도구를 동일한 인자(argument)로 3회 연속 실행하는 경우.
2. 상태 진동 (State Oscillation) (2사이클): 에이전트가 토글 트랩에 빠지는 경우 — 예를 들어, git status를 가져오고, 변경 사항을 stashing하고, 상태를 확인하고, unstashing한 후 반복하는 식.
3. 실행 안무 (Execution Choreography) (3사이클): 여러 단계의 안무 루프 ($A \to B \to C \to A \to B \to C$)로, 예를 들어 검색을 반복하거나, 파일을 편집하고, 정확히 같은 패턴으로 실패하는 테스트를 실행하는 경우.
4. 추론 관성 (Reasoning Inertia): 모델의 사고 단계가 멈춰서(stall), 진행 없이 본질적으로 동일한 추론 텍스트를 생성하는 경우 (>85% 연속 턴 텍스트 유사도).
5. FinOps 토큰 가드: AURA는 반복되는 시퀀스에 걸친 토큰 소비량을 추적합니다. 만약 한 사이클이 정의된 임계값을 초과하여 소비하면, 즉시 burn_rate_spike 경고가 발생합니다.
6. EU AI Act Art. 14 암호화 증명: 경고가 울리면 AURA는 불변의 SHA-256 스파인 이벤트 해시(cycle_entry_hash, cycle_recurrence_hash)를 경고 페이로드에 직접 캡처하여, 규정 준수 감사관에게 알고리즘 교착 상태(deadlock)에 대한 부인할 수 없는 증거(non-repudiable proof)를 제공합니다.

2. 시퀀서 미들웨어 및 PII 마스킹 엔진

민감한 고객 데이터를 제3자 모델 제공업체에게 전송하는 것은 GDPR, HIPAA, CCPA 하에서 규정 준수(compliance) 측면의 악몽입니다.

AURA 0.3.6은 단계 경계(step boundaries) 또는 명시적인 파이프라인 작업으로 실행되는 2단계 PII 정제 엔진을 도입합니다:

from aura.api import agent

data_agent = agent(
...

결정론적 가명화 (Deterministic Pseudonymization)

단순히 마스킹([REDACTED])하는 대신, AURA는 결정론적인 세션 범위의 가명 토큰 (예: EMAIL_PSEUDO_a1b2c3d4)을 생성할 수 있습니다.

이는 다중 턴 추론 전반에 걸쳐 개체 동등성(entity equivalence)을 유지합니다. LLM은 실제 이메일 주소를 전혀 보지 않고도, 1번째 턴의 고객 A가 4번째 턴의 고객 A와 동일하다는 것을 이해할 수 있습니다.

• Tier 1 (내장형, 의존성 없음): 신용카드에 대한 Luhn 검증이 적용된 알고리즘적 정규표현식 패턴, RFC 이메일, E.164 전화번호, SSN(사회보장번호), IPv4/IPv6 및 API 키.
• Tier 2 (플러그인 가능): 문맥 기반 NER 모델(Presidio, Skillware 또는 사용자 지정 모델)을 위한 선택적 제공자.

3. Capability Broker: LLM 프롬프트에 더 이상 비밀 정보를 넣지 마세요

에이전트 설계에서 흔히 발생하는 안티 패턴은 모델에게 원시 API 키를 제공하거나 환경 변수에서 비밀 정보를 읽으라고 지시하는 것입니다.

AURA 0.3.6에서는 에이전트가 원시 비밀 정보가 아닌, 비밀 참조(secret references)와 함께 기능을 선언합니다:

from aura.api import agent, EnvSecretBroker

# 환경에 실제 토큰이 저장되지만, 에이전트 프로필은 참조만 알고 있음
...

모델은 API 키를 절대 보지 못하고, 프롬프트에는 토큰이 포함되지 않으며, 내보내진 감사 로그는 모든 비밀 값과 민감한 키를 자동으로 마스킹합니다.

4. Egress JSON Schema 구성 검사

에이전트가 외부 도구를 호출할 때 예상치 못한 인자 형식이 발생하면 조용한 실패(silent failures)를 일으키거나 다운스트림 데이터베이스를 손상시킬 수 있습니다.

AURA 0.3.6은 이그레스 경계(egress boundary)에서 선언적 JSON Schema 검사를 가능하게 합니다:

# 프로필 설정
variables:
  schema_refs:
...

만약 에이전트가 승인되지 않은 INSERT를 방출하거나 timeout_seconds 인자를 누락하면, AURA의 멤브레인이 constraint.violated로 실행을 차단하고, 감사 보고서에 SCHEMA_VIOLATION을 기록하며, 호출이 프로덕션 인프라에 도달하는 것을 방지합니다.

Python 코드 20줄로 보호된 세션을 실행하기

AURA로 모든 워크플로우를 감싸는 것이 얼마나 간단한지 여기에서 보여줍니다:

from aura.api import agent

# 1. 브레이크 옵저버와 스펙트럼 레벨을 가진 에이전트를 정의함
...

종료 시, AURA는 감사 보고서를 생성합니다:

{
  "verdict": "pass",
  "scorecard": {
...

AURA는 누구를 위한 것인가?

• AI 엔지니어링 팀: 좋아하는 에이전트 프레임워크를 포기하지 않으면서 루프 안전성(loop safety), 속도 제한(rate limits), 그리고 외부 전송 제어(egress controls)가 필요한 경우.
• FinOps 및 플랫폼 리드: 하룻밤 사이에 통제 불능의 추론 루프(runaway reasoning loops)로 인해 수천 달러를 태우는 에이전트를 감당할 수 없는 경우.
• 규정 준수 및 보안 팀: SOC 2, HIPAA 또는 EU AI Act 인간 감독 의무(human-oversight mandates)를 충족하기 위해 부인 방지 감사 추적(non-repudiable audit trails), PII 스크러빙(PII scrubbing), 그리고 자격 증명 격리(credential isolation)가 필요한 경우.

시작하기 (Get Started)

AURA는 MIT 라이선스를 따르며 PyPI에서 사용할 수 있습니다:

pip install aura-harness==0.3.6

• GitHub 저장소: github.com/ARPAHLS/aura
• 문서: github.com/ARPAHLS/aura/tree/main/docs
• 예제 (14가지 완전한 튜토리얼): github.com/ARPAHLS/aura/tree/main/examples

자율 에이전트를 구축하고 있다면, 한번 사용해 보시고 야생(in the wild)에서 어떤 사이클 패턴에 직면하는지 알려주세요!