판사인가 수학인가: 자율 에이전트 결제를 위한 두 가지 신뢰 모델

사람의 감시 없이 AI 에이전트가 거래를 결제할 때, 그 거래를 신뢰할 수 있게 만드는 무언가가 반드시 필요합니다. 이를 수행하는 두 가지 진지한 방법이 있으며, 이 둘은 서로 다릅니다. 하나는 루프(loop) 안에 판사를 두는 것이고, 다른 하나는 판사를 수학으로 대체하는 것입니다. 현재 "에이전트를 위한 신뢰 계층(trust layers for agents)"에 관한 대부분의 논쟁은 사실 이 두 모델 사이의 논쟁이며, 종종 그 이름을 명시하지 않은 채 진행됩니다. 이 포스트는 그 모델들의 이름을 명시하고 양측 모두에게 공정하고자 합니다.

좁게 정의한 문제

자율 에이전트는 거래를 구성하며 — 이것을 지불하고 저것을 받는 방식이며, 어쩌면 두 개의 체인(chain)에 걸쳐 일어날 수도 있습니다 — 사람이 각 단계를 승인하지 않고도 이를 실행합니다. 리스크는 명백합니다. 에이전트는 자신의 역할을 수행했지만 상대방은 자신의 역할을 수행하지 않거나, 혹은 더 나쁜 버전으로 수행하는 것입니다. "내가 지불했다"와 "내가 약속받은 것을 받았다"가 둘 다 일어나거나, 혹은 둘 다 일어나지 않음을 보장하는 무언가가 있어야 합니다.

두 모델은 그 보장을 무엇이 제공하느냐에 따라 갈라집니다.

모델 1: 평가자 (루프 안의 판사)

평가자(evaluator) 모델에서는 신뢰할 수 있는 제3자가 거래를 관찰하고 그것이 올바르게 수행되었는지 여부를 판결한 다음, 그에 따라 에스크로(escrowed)된 자금을 해제합니다. Ethereum의 ERC-8183 초안은 클라이언트(Client) / 제공자(Provider) / 평가자(Evaluator) 작업 구조를 통해 이 방식의 깔끔한 버전을 공식화합니다. 즉, 클라이언트가 작업을 의뢰하면, 제공자가 이를 수행하고, 평가자가 결제가 완료되기 전에 결과에 대해 증명(attest)하는 구조입니다. 이는 ERC-8004와 같은 에이전트 신원 및 권한 부여 작업, 그리고 x402와 같은 결제 레일(payment rails)과 결합되도록 설계되었습니다.

이 모델이 존재하는 이유는 실제 에이전트 상거래의 상당 부분이 주관적이기 때문입니다. "제공자가 정확한 요약본, 작동하는 통합(integration), 혹은 사용 가능한 데이터셋을 전달했는가?"는 해시 함수(hash function)가 답할 수 있는 질문이 아닙니다. 판단(judgment)이 필요합니다. 평가자는 결과물을 읽고, 루브릭(rubric, 평가 기준)을 적용하여 판결을 내릴 수 있습니다. 순수 암호학(cryptography)은 이 모든 것에 대해 눈이 멀어 있습니다. 암호학은 바이트(bytes)와 잔액(balances)이 이동했는지는 볼 수 있지만, 그것이 올바른 바이트였는지는 알 수 없습니다.

따라서 공을 돌리자면, 분쟁의 내용이 "이 작업이 제대로 수행되었는가"인 경우, 평가자(evaluator)는 암호학이 근본적으로 할 수 없는 일을 수행하고 있는 것입니다. 이것은 오버헤드(overhead)가 아닙니다. 그것이 바로 핵심입니다.

비용 또한 실재하며, 솔직하게 말할 가치가 있습니다:

신뢰 가정 (Trust assumption). 누군가는 평가자가 되어야 합니다. 그게 누구든, 당신은 이제 그가 정확하고, 가용하며(available), 정직할 것이라고 신뢰해야 합니다.
활성 의존성 (Liveness dependency). 만약 평가자가 오프라인 상태이거나, 느리거나, 혹은 탈취당한다면, 결제(settlement)가 지연되거나 왜곡됩니다. 당신은 실패할 수 있는 구성 요소를 하나 추가한 것입니다.
선택 및 인센티브 (Selection and incentives). 누가 평가자를 선택합니까? 누가 그에게 비용을 지불합니까? 판매자가 선택한 판사와 구매자가 선택한 판사는 서로 다른 판사입니다.

이 중 어느 것도 치명적이지는 않습니다. 이것들은 모호함에 대해 판결을 내릴 수 있기 위해 지불해야 하는 대가입니다.

모델 2: 암호학적 원자성 (cryptographic atomicity) (판사를 삭제하라)

두 번째 모델은 제3자를 완전히 제거합니다. 해시 시간 잠금 계약 (HTLC, hash-time-locked contract)은 거래를 하나의 단위로 명확하게 만들거나, 아니면 아예 실행되지 않게 만듭니다. 양측 모두 동일한 해시 H = hash(s)에 대해 자신의 자산을 잠급니다. 비밀값 s를 공개하면 한쪽의 잠금이 해제되며, 동일한 공개가 다른 쪽의 잠금도 해제합니다. 만약 비밀값이 공개되지 않는다면, 모든 잠금은 타임아웃(timeout) 이후 환불됩니다. 한쪽 당사자는 지불했지만 다른 쪽은 지불하지 않은 상태가 존재하는 순간은 없습니다.

이와 동일한 아이디어를 다단계 경로(multi-leg path) 전체로 확장해 보겠습니다. 모든 단계에 동일한 해시 잠금(hashlock)을 적용합니다. s를 한 번 공개하면 전체 경로가 열리고, 공개하지 않으면 전체 경로가 환불됩니다. 중재해야 할 "1단계 완료, 2단계 대기 중"과 같은 고립된 상태는 존재하지 않는데, 왜냐하면 중재할 대상 자체가 없기 때문입니다. 평가자가 무엇인가를 증명하지 않습니다. 에스크로(escrow)가 "해제"되는 것도 아닙니다. 누구를 선택하거나, 비용을 지불하거나, 기다릴 필요도 없습니다.

판사를 삭제하는 대신 당신이 얻는 것은 다음과 같습니다:

해시 함수(hash function)와 체인 자체의 활성성(liveness) 이외의 신뢰 가정 불필요. 보장은 특정 당사자의 선의가 아닌, 구조 자체의 속성입니다.
재량적 실패 모드(discretionary failure mode) 없음. 뇌물을 주거나, 잘못 선택하거나, 오프라인으로 만들 수 있는 판사가 존재하지 않습니다.
구조적으로 MEV 저항성(MEV-resistance) 확보. preimage 공개는 원자적(atomic)입니다. 검색자(searcher)가 중간에 끼어들 수 있는 중간 상태가 존재하지 않습니다.

그리고 결제 청구에는 그 한계점도 함께 명시되어야 하기에, 요청하지 않아도 솔직한 제한 사항을 밝힙니다:

원자성(Atomicity)은 판단할 수 없습니다. 원자성은 자산이 잠긴 대로 이동했는지는 검증합니다. 하지만 오프체인(off-chain) 인도물이 양호했는지는 알려줄 수 없습니다. "작업 결과가 수용 가능한 수준이었는가"에 대해 수학은 아무런 대답을 해줄 수 없습니다.
모든 단계에서 동시에 자본이 잠기며, 관리해야 할 프리 옵션(free-option) 문제가 발생하고, 비밀(secret)을 공개하여 완료하기 위해 누군가는 온라인 상태가 되어야 합니다. 당신은 _보장된 완료가 아닌 안전성(safety)_을 얻는 것입니다. 즉, 경로가 확보되어 완료되거나 환불되거나 둘 중 하나이며, 결제가 어중간하게 처리되는 일은 없습니다.

그렇다면 둘 중 무엇인가 — 판사인가 수학인가?

유용한 답변은 "항상 수학이다"가 아닙니다. 그것은 바로 분쟁의 성격에 모델을 맞추는 것입니다.

만약 논쟁의 핵심이 "자산이 합의된 대로 이동했는가?" — 스왑(swap), 결제, 자산 대 자산 결제 등 — 라면, 평가자(evaluator)는 암호학적으로 삭제할 수 있는 오버헤드(overhead)일 뿐입니다. 당신은 해시락(hashlock)을 통해 이미 틀릴 수 없게 만든 것에 대해 판결을 내리라고 판사에게 비용을 지불하고 있는 셈입니다. 이 경우 수학은 구성 요소를 추가하는 대신 제거하기 때문에 정확히 그 지점에서 더 강력한 기본값이 됩니다.

만약 논쟁의 핵심이 "이 오프체인 작업이 수용 가능한 수준으로 수행되었는가?" — 등급이 매겨지는 인도물, 서비스, 혹은 그 어떤 주관적인 것이라도 — 라면, 원자성만으로는 루프를 닫을 수 없습니다. 판단을 내릴 누군가 혹은 무언가가 필요합니다. 이 경우 평가자는 그 신뢰 비용을 정당하게 얻게 됩니다.

흥미로운 설계 공간은 이들이 결합되는 지점입니다. 즉, 암호학적 원자성 (cryptographic atomicity)을 결제 백엔드로 사용하되, 진정으로 주관적인 부분에 대해서만 평가자 (evaluator)를 두는 방식입니다. 이렇게 하면 판사는 수학이 볼 수 없는 단 한 가지 요소에 대해 판결을 내리고, 수학은 판사 없이 나머지 모든 것을 처리하게 됩니다. ERC-8183의 승인된 의도 (authorized intents)는 원칙적으로 수탁형 (custodial) 백엔드가 아닌 원자적 (atomic) 백엔드를 통해 결제될 수 있습니다. 이들은 경쟁 관계가 아니라 계층 (layers)입니다.

우리의 접근 방식

우리는 수학적 측면을 구축합니다. Hashlock은 밀봉 입찰 방식의 RFQ (Request for Quote)를 HTLC (Hashed Timelock Contract) 원자적 결제와 융합합니다. 이를 통해 다중 단계, 다중 체인 경로를 포함한 에이전트의 전체 거래가 수탁자나 결제 경로상의 평가자 없이도 하나의 단위로 정산되거나 하나의 단위로 환불됩니다. 우리는 이것이 주관적인 작업의 등급을 매길 수 있다고 주장하지 않습니다. 그것은 불가능하며, 그 경우에는 평가자 모델 (evaluator model)을 권장할 것입니다. 우리가 할 수 있는 일은 신뢰해야 할 제3자를 추가하지 않고도 에이전트 상거래의 자산 이동 측면을 신뢰할 수 있게 만드는 것입니다.

명확하게 말씀드리자면, 체인 상태는 결코 모호해서는 안 되기 때문입니다: Ethereum 메인넷은 엔드 투 엔드 (end-to-end)로 라이브 상태입니다. Bitcoin HTLC는 Signet에서 검증되었으며, 메인넷 적용을 대기 중입니다. Sui 컨트랙트는 배포 및 CLI 테스트를 마쳤으며

여러분이 구축 중인 거래(trades)에 대한 경계선을 그어보십시오. 여러분의 에이전트가 주관적인 사항에 대해 판결을 내릴 실제적인 판사(judge)를 필요로 하는 지점은 어디이며, 평가자(evaluator)가 암호학적으로 제거할 수 있는 단순한 신뢰 가정(trust assumption)에 불과한 지점은 어디입니까? 여러분은 그 경계를 어디에 두실지 알고 싶습니다.