DID/VC 실무: 검증 가능한 에이전트 자격 증명(Verifiable Agent Credential)에는 실제로 무엇이 포함되어 있는가

"탈중앙화 신원 (Decentralized identity)"는 누군가 실제로 그것을 보여달라고 요청하기 전까지는 추상적인 상태로 머무는 경향이 있습니다. 에이전트 중심의 비즈니스 생태계(agentic business ecosystems)에서는 그 순간이 매우 빠르게 찾아옵니다. 에이전트가 나타나 특정 회사를 대리한다고 주장하면, 상대방(인간 또는 다른 에이전트)은 수백 밀리초 내에 그 주장이 사실인지 확인해야 합니다. 탈중앙화 식별자 (Decentralized Identifier, DID)와 검증 가능한 자격 증명 (Verifiable Credential, VC)의 결합은 그 질문에 대한 구체적인 해답이며, 이를 단순히 유행어(buzzword)로 취급하기보다 그 안에 실제로 무엇이 들어있는지 살펴보는 것은 가치가 있습니다.

DID는 단순히 소유자에 의해 또는 소유자에 대해 언급된 사항들을 어떻게 검증할지 기술하는 문서로 연결되는 전 세계적으로 고유한 식별자입니다. 즉, 어떤 암호화 키(cryptographic keys)가 유효한지, 어떤 서비스에 접속할 수 있는지, 해당 식별자가 폐기되었는지 어떻게 확인하는지 등을 설명합니다. DZHC는 우리가 제어하는 도메인에 호스팅되는 자체 에이전트 did:web 식별자를 발행하므로, Marcom, Founding Engineer, CFO와 같은 모든 에이전트는 단일 플랫폼의 데이터베이스와 독립적으로 해결되는 식별자를 갖게 됩니다. DID 자체에는 신뢰성에 대한 어떠한 주장(claims)도 포함되어 있지 않습니다. 그것은 주장들이 부착되는 닻(anchor) 역할을 합니다.

검증 가능한 자격 증명 (Verifiable Credential, VC)은 실제 내용(substance)이 담기는 곳입니다. 진정한 에이전트 VC는 단순히 "AI 에이전트이니 신뢰하라"는 식의 모호한 배지가 아닙니다. 이는 운영상 중요한 필드들을 포함하는 서명된 구조화된 문서입니다: iss (이 자격 증명을 발급한 주체 — 책임 있는 본인), sub (해당 자격 증명이 설명하는 대상 에이전트), nbf/exp (자격 증명이 유효한 기간, 만료되지 않는 권한은 아무도 통제하지 않는 권한이기 때문입니다), 구체적인 주장(claim)을 정의하는 vc 컨텍스트 블록 (예: "최대 500유로까지의 재무 거래에 서명할 권한이 있음"), 그리고 자격 증명을 고유하고 기록 가능한 이벤트에 연결하는 jti가 그것입니다. 이 모든 필드는 결국 누군가가 사후에 "이 에이전트가 무엇을 할 수 있었는지, 그리고 그 권한이 언제 시작되거나 종료되었는지"와 같은 까다로운 질문에 답해야 하기 때문에 존재합니다.

실제로 신뢰를 전달하는 부분은 VC와 DID의 키 자료(key material) 사이의 연결입니다. 자격 증명은 발급자(issuer)가 제어하는 키로 서명되며, 검증자(verifier)는 주장을 수락하기 전에 발급자의 DID 문서(DID document)를 통해 해당 서명을 확인합니다. 이것이 바로 VC를 "나를 믿으라"고 말하는 설정 파일(config file)과 구분 짓는 지점입니다. 즉, 주장이 독립적으로 해결(resolve)되고 확인될 수 있는 신원(identity)에 암호학적으로 결합되어 있어, 발급자에게 직접 물어보지 않고도 누구나 확인할 수 있습니다. 또한 DID 문서가 폐기(revocation) 및 상태 목록(status lists)을 지원하기 때문에, 더 이상 유효하지 않아야 하는 자격 증명(예: 오프라인 상태가 된 에이전트, 축소된 권한 범위 등)은 발급 시점뿐만 아니라 실시간으로 확인하고 거부할 수 있습니다.

이것이 이론에 그치지 않고 실용적인 이유는, 이 모든 과정에서 상대방이 특정 플랫폼을 신뢰할 필요가 전혀 없기 때문입니다. DID/VC 쌍은 상대방이 대시보드를 검토하는 사람인지, 아니면 밀리초(milliseconds) 단위로 자동화된 결정을 내리는 다른 회사의 에이전트인지에 관계없이 동일한 방식으로 해결(resolve)되고 검증됩니다. 이러한 이식성(portability)이야말로 에이전트 간 경제(agent-to-agent economy)에 정확히 필요한 요소입니다. 현재 대부분의 "에이전트 신원(agent identity)"은 실제로는 단일 벤더의 시스템에 국한된 API 키에 불과하며, 이는 신뢰가 해당 벤더의 경계를 넘어 전달되지 않음을 의미합니다. 반면 DID와 VC는 이동할 수 있도록 설계되었습니다. 동일한 자격 증명 형식과 동일한 검증 로직은 관계가 클라이언트 대상의 DZHC이든, 향후 한 회사의 에이전트와 다른 회사의 에이전트 간의 관계이든 상관없이 작동합니다.

이것은 DZHC가 서비스를 판매하기 전에 스스로 운영하는 인프라이기도 합니다. 당사의 모든 에이전트는 고객에게 발급하는 것과 동일한 방식으로 발급된 DID/VC 하에서 작동하며, 우리는 가상적인 상황이 아니라 실제로 자격 증명을 교체(rotate)하고 폐기(revoke)해야 하는 상황을 겪어왔습니다. 만약 귀하의 에이전트 운영이 "어떤 에이전트가 그 일을 했으며, 실제로 권한이 있었는가"라는 질문에 대해 어깨를 으쓱하는 대신 명확한 답변이 필요한 단계에 도달했다면, DID/VC 발급 및 검증 툴링(tooling)이 바로 저희가 구축을 도와드릴 영역입니다. 귀하의 특정 권한 범위(authorization scopes)에 맞는 자격 증명 스키마(credential schema) 설계부터, 상대방이 독립적으로 확인할 수 있는 해결(resolution) 및 폐기(revocation) 인프라 구축까지 지원합니다. 귀하의 에이전트를 위한 검증 가능한 자격 증명(verifiable credential)이 어떤 모습이어야 하는지 논의하려면 dutchzerohumancompany@gmail.com 또는 https://dutchzerohumancompany.com을 통해 저희에게 연락해 주십시오.