AI 에이전트가 온체인 실행 권한을 획득할 때: 누가 그것이 본 정보와 발신한 명령을 검증할 것인가?

이 글을 읽으려면 15 분

점점 더 많은 AI 에이전트가 스마트 계정, 전략 지갑 또는 제한된 서명 서비스를 통해 온체인 실행 능력을 확보하고 있습니다.

1. KelpDAO 사고가 드러낸 것

2026년 4월 18일, KelpDAO의 rsETH 크로스체인 브리지가 공격을 받아 116,500개의 rsETH가 비정상적으로 방출되었으며, 당시 가치는 약 2억 9,200만 달러에 달했습니다. LayerZero의 사고 보고서에 따르면, 공격자는 사회공학적 기법을 통해 개발자 세션 키를 탈취하여 LayerZero Labs DVN이 의존하는 내부 RPC를 오염시키고, 서비스 거부 공격으로 외부 RPC를 억제하여 서명 서비스가 잘못된 데이터를 기반으로 위조 메시지에 대한 증명을 발행하도록 만들었습니다. KelpDAO는 당시 검증 경로를 2-of-2에서 1-of-1 DVN으로 변경했습니다. 유일하게 지정된 DVN이 잘못된 증명을 발행하면, 시스템은 더 이상 두 번째 독립 DVN이 동일한 메시지를 교차 검증할 필요가 없게 됩니다. CrowdStrike와 Mandiant는 이 사건을 높은 신뢰도로 북한 연계 TraderTraitor(UNC4899)로 귀속시켰습니다.

이러한 사고는 단독 사례가 아닙니다. 많은 체인 상 주요 보안 사건에서 문제는 종종 암호학적 가정 자체가 무너지는 데 있지 않고, 키 제어, 데이터 출처, 검증자 구성, 프로토콜 구현 및 운영 권한과 같은 부분에 있습니다. 시스템은 단순히 "이 서명이 유효한가"라는 질문에 답해야 할 뿐만 아니라, "누가 서명할 권한이 있는가, 어떤 정보를 기반으로 서명했는가, 그리고 서명이 대응하는 상태가 실제로 발생했는가"에도 답해야 합니다.

점점 더 많은 AI 에이전트가 스마트 계정, 전략 지갑 또는 제한된 서명 서비스를 통해 온체인 실행 능력을 확보하고 있습니다. 한 번의 유효한 서명은 특정 권한 경로가 호출되었음을 증명할 수 있을 뿐, 에이전트가 의존하는 데이터가 신뢰할 수 있고, 결정이 설정된 전략에 부합하며, 또는 해당 거래가 원래 이 시점에 발생해야 했음을 증명하지 못합니다. 검증의 대상은 "서명의 진위"에서 "입력, 결정 및 실행의 일관성"으로 확장되고 있습니다.

2. 기존 솔루션이 해결한 것과 남긴 것

기존의 여러 솔루션은 각각 신뢰 문제의 일부를 해결했으며, 각자 남은 신뢰를 서로 다른 역할에 의존하고 있습니다:

오라클과 분쟁 판정: Polymarket의 시장 결과는 먼저 참가자가 제안하며, 챌린지 기간 내에 이의가 제기된 경우에만 UMA의 토큰 보유자 투표 판정에 들어갑니다. 문제는 "재검증이 없는 것"이 아니라 재검증의 신뢰성에 있습니다. 규칙이 모호하고, 실제 사건에 여러 해석이 존재하거나, 투표권이 소수의 주소에 집중될 때, 시스템은 사실상 "누가 사실을 정의하는가"라는 문제를 또 다른 거버넌스 구조에 맡기게 됩니다.

크로스체인 브리지 다중 서명과 DVN: 두 방식은 구현이 다르지만, 모두 애플리케이션 측이 검증자 집합과 임계값을 명확히 구성하도록 요구합니다. KelpDAO가 경로를 1-of-1 DVN으로 구성한 후, 전체 검증 경로는 단일 검증 서비스에 의존하게 되었습니다. 그리고 해당 서비스가 의존하는 데이터 소스와 장애 대응 메커니즘은 다시 다음 계층의 단일 실패 지점이 될 수 있습니다.

MPC 커스터디: 임계 서명의 핵심 장점은 키가 한 곳에 완전히 존재하지 않는다는 점이지만, 암호학적 샤딩이 자동으로 조직 차원의 권력 분산을 가져오지는 않는다. Multichain 팀이 당시 공개한 바에 따르면, 창립자가 중국 경찰에 구금된 후 팀은 관련 MPC 노드 서버에 대한 접근 권한을 즉시 상실했으며, 해당 서버는 창립자의 개인 클라우드 계정에서 운영되고 있었다. 클라우드 계정, 운영 권한, 비상 대응이 한 사람에게 집중되면 MPC의 임계 설계는 여전히 조직 차원의 단일 실패 지점을 남길 수 있다.

TEE: 신뢰 실행 환경은 코드와 민감 데이터를 격리할 수 있지만, 신뢰를 제거하는 것이 아니라 신뢰의 위치를 바꿀 뿐이다. 하드웨어 루트 오브 트러스트와 마이크로코드 업데이트는 일반적으로 칩 제조사에 의존하며, enclave 코드, 업그레이드 권한, 인증 정책은 프로젝트 측이나 운영 측이 통제할 수 있다. TEE는 계산 과정을 보호할 수 있지만, 이러한 거버넌스 권한을 자동으로 분산하지는 않는다.

이러한 솔루션들의 장애 모드는 서로 다르지만, 동일한 유형의 문제를 가리킨다: 백서에 명시된 임계값과 탈중앙화는 데이터 소스, 계정 권한, 업그레이드 키, 거버넌스 프로세스에 실제로 적용될 때만 진정한 보안 경계를 구성할 수 있다.

셋째, CRVA: 검증 권한 분배 방식의 재설계

DeepSafe는 2025년 Bool Network에서 이름을 변경했다. CRVA는 Bool Network 관련 연구자들이 2022년에 제안한 기술적 접근 방식을 계승한다. 관련 논문은 IEEE Transactions on Information Forensics and Security(IEEE TIFS, 문서 ID 9903072)에 게재되었으며, '진화하는 숨겨진 위원회'(evolving hidden committee) 기반의 크로스체인 공증 플랫폼을 제안했다.

구체적인 방식은 다음과 같다: 노드는 Ring-VRF를 통해 무작위 선출에 참여하며, 선출된 노드는 증명과 임시 공개 키를 제출한다. 외부 관찰자는 자격을 검증할 수 있지만 장기 신원을 식별하기는 어렵다. 선출된 임시 위원회는 이후 임계 MPC를 통해 공동 서명을 수행하므로, 단일 노드가 독립적으로 결과를 생성할 수 없다. 키 관리 등 핵심 프로세스는 논문 설계에 따라 TEE(Intel SGX를 예로 들 수 있음)에서 실행되며, 이는 호스트 운영자가 키 지분을 읽거나 변조할 가능성을 낮추기 위한 것이다. 위원회는 또한 epoch 단위로 순환하며, 새로운 위원회는 검증 가능한 키 인계를 통해 새 지분을 획득하고 기존 지분은 즉시 무효화된다. 구체적인 순환 주기는 실제 네트워크 매개변수에 따라 결정된다.

프로젝트 측은 또한 TEE를 활용해 위원회의 작업 상태를 숨겨서, 노드 운영자가 자신의 노드가 특정 검증에 참여했는지 판단하기 어렵게 만들고자 한다. 이러한 목표가 어느 정도 달성될 수 있는지는 실전 네트워크 코드, 원격 인증, 호스트 측 메타데이터, 부채널 공격 방어에 달려 있으며, 'TEE를 사용했다'는 것만으로 자동으로 성립되는 결론은 아니다.

하지만 이러한 메커니즘은 "누가 검증하고, 어떻게 안전하게 공동으로 결과를 도출할 것인가"를 해결할 뿐, "어떤 결과가 올바른지"를 자동으로 정의하지는 않습니다. AI Agent 시나리오에서 위원회는 여전히 사전에 설정된 전략, 데이터 소스 및 실행 가능한 판단 규칙에 따라 결론을 내려야 합니다. 만약 이 규칙 자체에 문제가 있거나, 의존하는 데이터 소스가 신뢰할 수 없거나, 검증 대상 자체에 객관적으로 판단할 수 있는 답이 없다면, 아무리 안전한 위원회라도 공동으로 잘못된 결론을 확정할 수 있습니다.

CRVA는 고정 검증자의 장기간 노출과 서명 권한 집중으로 인한 위험을 줄이려고 시도하지만, 거버넌스 및 구현 측면의 단일 장애점을 완전히 제거할 수는 없습니다. 노드 승인, 프로토콜 업그레이드, TEE 인증 및 소프트웨어 보안은 여전히 지속적인 감사를 받아야 합니다. 기존 지분이 안정적으로 폐기되고 새 위원회가 충분한 독립성을 유지한다는 전제하에, 순환은 고정 서명 그룹에 대한 공격 창구를 단축할 수 있지만, 소프트웨어 공급망이나 업그레이드 권한과 같은 시스템적 위험을 포괄할 수는 없습니다.

넷째, 기술 기반 및 실현 진행 상황

CRVA의 기술적 연원은 IEEE TIFS 제17권(2022년)에 게재된 Bool Network 논문으로 거슬러 올라가며, DOI는 10.1109/TIFS.2022.3209546입니다. 논문의 프로토콜 모델, 보안 증명 및 프로토타입 평가는 동료 심사를 거쳤으며, 동적 숨김 위원회, Ring-VRF, 임계 키 관리 및 TEE 보호와 같은 설계에 학술적 근거를 제공했습니다. 구분해야 할 점은 동료 심사가 논문의 모델과 구현을 대상으로 했다는 것입니다. DeepSafe가 현재 배포한 CRVA가 논문의 방안과 어떻게 대응하는지는 현행 기술 사양, 코드 감사 및 네트워크 매개변수를 결합하여 판단해야 합니다.

DeepSafe가 2025년 10월에 공개한 바에 따르면, 네트워크는 당시 누적 약 1.2억 건의 검증을 처리했으며, 활성 계정 수는 265만 개를 초과했습니다. 프로젝트 측은 또한 생태계 파트너십이 70건 이상이며, 지갑 호환, 기술 통합, 투자 및 마케팅 협력 등 다양한 유형을 포함한다고 밝혔습니다.

2025년 10월, DeepSafe는 300만 달러 규모의 시드 라운드 완료를 발표했으며, 투자자로는 Antalpha Global, ViaBTC Capital 및 Gate 등이 포함됩니다 1. 타임라인상으로 볼 때, 이번 펀딩 라운드는 주로 브랜드 변경 이후의 기술 개발 및 생태계 확장에 대응합니다.

다섯째, 검증 방안에서 범용 인프라로

블록체인 인프라가 점차 모듈화됨에 따라 합의, 실행, 데이터 가용성, 상호운용성 및 계정 체계가 서로 다른 구성 요소에 의해 담당되기 시작했습니다. 모듈화는 신뢰 문제를 사라지게 만드는 것이 아니라, 각 계층의 보안 경계를 더욱 명확하게 만듭니다. 개발자는 어떤 기술을 선택할지뿐만 아니라, 이 계층의 보안 보장을 누가 제공하는지, 문제 발생 시 누가 책임을 지는지도 판단해야 합니다. AI Agent가 온체인 실행 능력을 획득한 후, 새로운 문제가 등장합니다. 누가 에이전트가 읽은 데이터가 신뢰할 수 있고, 결정이 권한을 벗어나지 않았으며, 최종 거래가 사용자 승인과 일치하는지 확인할 것인가? 이러한 질문은 유효한 서명 한 번으로 자동으로 답을 얻을 수 없습니다.

DeepSafe는 검증 능력을 단일 애플리케이션 내부의 부속 모듈에서 추상화하여 다양한 프로토콜과 AI 에이전트가 호출할 수 있는 인프라로 전환하고자 합니다. — 「Proof, Not Promises」, 실행 주체의 약속을 검증 가능한 증거로 대체합니다. CRVA는 이미 익명 추첨, 임계값 협업, TEE를 하나의 기술 경로로 결합했습니다. 이것이 오라클, 크로스체인, AI 에이전트 등 다양한 시나리오를 더욱 포괄하고 범용 검증 인프라로 발전할 수 있을지는 실전 네트워크 능력, 독립 감사, 실제 통합의 지속적인 축적에 달려 있습니다.