2026년 7월 14일, Linux Foundation는 x402 Foundation을 설립했습니다. 이는 AI 에이전트들이 HTTP 402를 통해 서로에게 결제할 수 있도록 하는 프로토콜을 위한 중립적인 거버넌스입니다. 멤버 목록에는 Visa, Mastercard, Amex, Stripe, AWS, Google, Cloudflare, Coinbase, Circle, Ripple, Shopify 및 20여 개의 기업을 포함한 결제 산업 전체가 포함되어 있습니다.

출시 보도 자료를 처음부터 끝까지 읽어보면 한 가지가 빠져 있습니다. 적합성 스위트(Conformance suite)가 없습니다. 보안 프로필(Security profile)도 없습니다. 인증 프로그램(Certification program)도, 검증 절차(Validation procedure)도 없습니다. 업계는 방금 에이전트 결제에 표준의 집을 마련해주고 _레일(rails)_을 표준화했을 뿐입니다. _에이전트가 실행한 결제가 권한을 부여받은 바로 그 결제였다는 증명_을 표준화한 것이 아닙니다.

이것은 일회성 사건이 아니라 하나의 패턴입니다.

표준 기구는 프로토콜을 표준화합니다. 적합성 영역(Conformance surface)은 뒤처지며, 보안 영역(Security surface)은 그보다 더 뒤처집니다.

MCP에서도 같은 일이 일어났습니다. 프로토콜은 빠르게 성숙했지만, 이에 대한 테스트는 나중에 도착했으며 여전히 따라잡고 있는 중입니다. x402에서도 더 압축된 일정 속에서, 더 많은 자본과 함께 같은 일이 다시 일어나고 있습니다.

이 간극은 중요합니다. 왜냐하면 서명된 잘 구성된 기록(Signed, well-formed record)이 반드시 진실된 기록(True record)과 동일한 것은 아니기 때문입니다.

이번 달 연구에 발표된 내용을 살펴보십시오. ShareLock (arXiv 2606.27027, Liu et al., 2026년 6월)은 Shamir 임계값 방식(Shamir threshold scheme)을 사용하여 악성 명령을 여러 MCP 도구 설명(Tool descriptions)에 걸쳐 무해해 보이는 비밀 공유(Secret shares) 형태로 분산시킵니다. 각 조각은 도구별 검사를 통과합니다. 페이로드(Payload)는 서버 업데이트 중 조용한 트리거가 발생한 후, 공유된 조각들이 합쳐질 때만 재구성됩니다. 해당 논문은 도구 설명 탐지기(Tool-description detectors)를 상대로 평균 90% 이상의 공격 성공률을 보고했습니다.

모든 개별 기록은 유효했습니다. 하지만 결합된 결과물은 적대적이었습니다. 각 도구 설명을 개별적으로 검증하는 적합성 검사(Conformance check)는 전체 공격을 그대로 통과시켜 버립니다.

이것이 에이전트 결제(agent payments)가 직면할 문제의 형태입니다. 서명된 영수증, 콘텐츠 주소 지정 증거 기록(content-addressed evidence records), 정규화된 봉투(canonicalized envelopes) — 업계는 신뢰할 수 있는 에이전트 증거의 _형식(format)_으로 빠르게 수렴하고 있으며, 이 형식을 크고 신뢰할 수 있는 저장소 내부에서 승인받으려 합니다. 형식은 필요합니다. 하지만 충분하지 않습니다.

검증 가능한 영수증이 진실한 영수증을 의미하는 것은 아니다

결제 영수증은 세 가지 별개의 주장을 합니다: 그 행동이 발생했다는 것, 그것이 승인된(authorized) 것이었다는 것, 그리고 그것이 실행되었다고 주장하는 검사들이 실제로 실행된 검사들임을 말합니다. 기록에 서명하는 것은 첫 번째 주장을 깔끔하게 방어합니다. 하지만 두 번째와 세 번째에 대해서는 거의 아무것도 말해주지 않습니다.

실행된 결제가 의무화된 것이었음을 증명하고 — 그리고 '승인됨'이라고 보고한 검증자가 신호처럼 위장한 실패 개방(fail-open)이 아니었음을 증명하는 것은 다른 영역입니다. 이는 기록이 _존재한다_는 것과, 이를 적극적으로 위조(forge), 재전송(replay), 분할(split), 비동기화(desynchronize)하려는 적대자 하에서 _증명 가능하다_는 주장 사이의 차이입니다.

업계가 영수증을 표준화하고 있습니다. 하지만 이를 위조하려는 적대자는 아무도 만들지 않습니다.

왜 적대자가 독립적이어야 하는가

이 계층(layer)이 비어 있는 동안 형식(format) 계층이 채워지는 구조적인 이유가 여기에 있습니다: 프로토콜 작성자는 자신의 프로토콜을 신뢰성 있게 레드팀(red-team) 할 수 없으며, 공급업체는 자신의 스택 보안을 신뢰성 있게 인증할 수 없습니다. 중요한 적합성 증거는 _무관심한 적대자(disinterested adversary)_가 깨뜨릴 수 없는 증거입니다 — 이는 테스트 중인 형식을 가진 당사자로부터 나올 수 없다는 것을 의미합니다.

이것이 x402의 새로운 표준 홈이 첫날부터 열어둔 공간입니다. 에이전트 결제 권한에 대한 공급업체 중립적, 적대적 적합성 테스트 —

저는 방법론적인 측면에서 이를 위해 준비해 왔습니다. present-vs-provable 및 forensic-vs-gate(포렌식 대 게이트)의 구분은 검증 가능한 기록 (verifiable record)과 증명 가능한 권한 주장 (provable authority claim)을 분리하기 위한 정확한 도구입니다. 표준 홈 (standards home)은 새롭습니다. 하지만 비어 있는 계층 (vacant layer)은 새로운 것이 아닙니다.

궤도 (rails)는 표준화되었습니다. 이번 출시 버전이 답하지 못하는 질문 — 그리고 에이전트를 결제 엔드포인트 (payment endpoint)에 연결하는 모든 운영자가 던져야 할 질문 — 은 바로 누가 권한에 대한 적합성 테스트 (conformance-tests)를 수행하느냐 하는 것입니다.