엔드포인트는 에이전트 시스템의 일부입니다

코딩 에이전트(Coding agents)는 워크스페이스를 읽고, 로컬 도구를 사용하며, 네트워크 작업을 요청할 수 있습니다. 일단 그런 일이 발생하면, 안전 프롬프트(safety prompt)는 전체 그림의 일부일 뿐입니다. 팀은 또한 무엇이 관찰되었는지, 나중에 무엇을 재구성(reconstruct)할 수 있는지, 그리고 작업이 발생하기 전에 무언가가 개입할 수 있는지도 물어야 합니다.

numbat은 이를 AI 에이전트를 위한 엔드포인트 가시성(endpoint visibility)으로 정의하는 Apache-2.0 프로젝트입니다. 공개된 v0.1.1 릴리스는 현재 버전을 나열하고 있으며, README에서는 로컬 훅(hooks) 또는 플러그인(plugins), OTLP/HTTP 로그, 그리고 지원되는 온디스크(on-disk) 세션 아티팩트(artifacts)로부터의 입력을 설명합니다. 명시된 설계는 이러한 입력들을 하나의 이벤트 모델로 정규화하고 CEL 규칙을 평가합니다.

테스트 또는 실행되지 않음: 이것은 저장소와 공개 문서를 읽고 분석한 결과이며, 독립적인 호환성, 탐지 품질 또는 보안 평가가 아닙니다.

관찰(Observation), 재구성(reconstruction), 그리고 집행(enforcement)은 서로 다른 작업입니다

이 세 가지를 모두 "에이전트 보호(agent protection)"라는 하나의 개념으로 통합하고 싶은 유혹이 생길 수 있습니다. 하지만 그렇게 하면 중요한 엔지니어링적 구분이 사라집니다:

• 관찰(Observation)은 호스트가 수집할 가치가 있는 훅(hook), 플러그인 인터페이스(plugin surface), 로그 또는 영구적인 아티팩트(durable artifact)를 노출함을 의미합니다.
• 재구성(Reconstruction)은 기록이 민감한 원본 트랜스크립트(transcripts)를 아무 데나 무분별하게 복사하지 않고도 조사할 수 있을 만큼 충분한 소스 컨텍스트(source context)를 유지함을 의미합니다.
• 집행(Enforcement)은 지원되는 호스트가 도구 작업(tool action)을 실행하기 전에 거부를 요청할 수 있는 동기식 사전 작업 콜백(synchronous pre-action callback)을 호출함을 의미합니다.

numbat의 집행 문서는 그 경계를 매우 명시적으로 만듭니다. 모니터링(Monitoring)이 기본값입니다. 운영자는 enforce로 표시된 규칙을 통해 옵트인(opt in)해야 하며, 에이전트 호스트가 집행 지점(enforcement point)으로 남습니다. 이 프로젝트는 호스트 네이티브 거부 요청(host-native deny request)을 반환할 뿐, 도구 자체를 실행하거나 취소하지는 않습니다.

그것이 중요한 이유는 사후에 발견된 기록(transcript)은 조사에는 도움이 될 수 있지만, 원래의 동작을 중단시킬 수는 없기 때문입니다.

명령줄을 확인하기 전에 커버리지 매트릭스(coverage matrix)를 읽으세요

가장 유용한 프로젝트 페이지는 아마도 에이전트 커버리지 매트릭스 (agent coverage matrix)일 것입니다. 이 매트릭스는 지속적인 아티팩트(durable artifacts), 라이브 캡처(live capture), 강제 실행 지원(enforcement support), 그리고 호스트별 제한 사항(host-specific limits)을 구분합니다. 일부 형식은 완전한 텔레메트리(telemetry)로 조용히 처리되는 대신, 의도적으로 보류(deferred) 또는 지원되지 않음(unsupported)으로 표시되어 있습니다.

엔지니어링 배포를 위해, 해당 매트릭스는 다음과 같은 실질적인 체크리스트를 제안합니다:

1. 팀에서 사용하는 정확한 에이전트 호스트와 모드를 식별합니다.
2. 즉각적인 필요 사항이 감사 가능성(auditability)인지, 아니면 실행 전 개입(pre-action intervention)인지 결정합니다.
3. 훅(hook), 파싱(parsing) 또는 출력 실패 시 어떤 일이 발생하는지 확인합니다. 문서는 페일 오픈(fail-open) 경로와 호스트별 동작을 설명합니다.
4. 운영 체제 권한, 비밀 정보(secret) 접근, 네트워크 이그레스(network egress), 그리고 코드 리뷰를 위한 별도의 제어 수단을 유지합니다.

누가 관심을 가져야 하는가?

이는 여러 개의 로컬 코딩 에이전트를 실행하며 일관된 조사 계층(investigation layer)이 필요한 팀에게 유용할 수 있습니다. 검토 범위가 여러 도구에 걸쳐 있을 때는 지원되는 입력을 정규화하는 것이 관련 없는 로그를 수동으로 grep 하는 것보다 더 유용할 수 있습니다.

이것은 엔드포인트 제어(endpoint controls)의 대체제가 아닙니다. 호스트 훅(host hook)은 완전한 정책 경계가 아니며, 커버리지는 각 업스트림 호스트가 실제로 게시하는 훅과 아티팩트 형식에 의해 제한됩니다. 단일 세션에 대한 일회성 검사의 경우, 파일을 직접 읽거나 grep을 사용하는 것이 여전히 더 저렴한 도구일 수 있습니다.

보수적인 배포 방식은 먼저 인벤토리(inventory)를 파악하고, 그다음 모니터링을 수행하며, 이벤트 품질, 오탐(false positives), 데이터 보존, 그리고 호스트 동작이 이해된 후에만 좁은 범위의 강제 실행(enforcement)을 적용하는 것입니다. 이 교훈은 하나의 프로젝트보다 더 큰 의미를 갖습니다. 보안 제어는 자신의 사각지대(blind spots)를 명시함으로써 신뢰를 얻습니다.

출처: repository README, coverage matrix, 및 enforcement model.