코딩 에이전트가 대부분 저장소 지침을 지켜도 작업에 필요한 것보다 큰 권한을 가질 수 있다. Mozilla AI가 지적하는 틈은 글로 쓴 의도와 기술적으로 강제되는 권한이 다르다는 점이다. 더 좋은 모델은 판단을 개선하지만 오판 때에도 남는 경계를 자동으로 만들지는 않는다.
Mozilla의 인프라 주장은 저장소 조사, 파일 수정, 명령과 테스트 실행, 풀 리퀘스트 준비를 맡는 에이전트를 다룬다. 위임은 개발자의 개별 확인을 관찰·행동·수정 루프로 압축한다. 완료한 작업량뿐 아니라 주변 시스템이 무엇을 막고 기록하고 복구하는지가 중요하다.
지침의 역할과 실행 경계는 다르다
세 책임을 분리해야 한다. 지침은 원하는 행동을 설명하고 모델은 해석하며 인프라는 가능한 동작을 결정한다. 먼저 폭넓게 접근을 주고 자제를 요구하면 작업자가 자신의 주된 통제자가 되는 역전이 생긴다.
AGENTS.md는 빌드 명령, 테스트, 관례와 보안 맥락을 코드 옆에 두어 협업을 돕는다. 보도 당시 사이트는 오픈소스 프로젝트 60,000개 이상이 사용한다고 밝혔다. 공유·버전 관리된 지침은 제품 간 옮길 수 있고 중첩 파일은 큰 저장소 내 서비스별 요구를 설명한다.
그래도 에이전트가 파일을 찾아 겹친 규칙을 해결하고 작업에 적용하며 오래 기억해야 한다. 불완전한 문서, 잘린 맥락, 중첩 충돌, 지나치게 넓힌 예외는 연결을 약화한다. Markdown 자체가 셸, 네트워크, 클라우드 계정, 패키지 저장소나 운영 데이터베이스를 제한하지 않는다.
기능 브랜치에서 게시하지 말라거나 인증 변경 전 승인, 특정 디렉터리만 읽으라는 말은 의도를 전한다. 파일 경계, 네트워크 정책과 승인 서비스가 제한을 집행한다. 단순 파일 규칙으로 표현 못하는 맥락도 필요하므로 지침의 가치가 줄어드는 것이 아니라 역할이 다르다.
유용한 자율성은 평범한 실수의 결과를 키운다
통합 테스트 수정은 환경 파일, 서비스 실행, 의존성 설치와 스냅샷 재생성까지 이어질 수 있다. 모호한 작업은 의도 범위를 벗어난다. 악의 없이도 파괴적 정리를 통상 유지보수로, 자격 증명을 버려도 되는 것으로, 이슈나 의존성 텍스트를 믿을 지침으로 오해할 수 있다.
프롬프트 인젝션은 처리할 데이터에 적대적 지시를 넣어 이를 악화한다. 자연어 경고는 유용하지만 다른 자연어의 신뢰성을 판단하는 주체도 같은 모델이다. 외부 경계는 오판 이후 결과를 좁힌다.
원문에서 인용한 샌드박스 구조는 신뢰 하니스와 모델이 지시한 명령의 실행 환경을 분리한다. 승인, 추적, 복구와 상태를 컨테이너 밖에 둘 수 있다. 실행자는 조직의 모든 자격 증명과 자원을 자동 상속하지 않는다.
문서 수정에는 패키지 게시 키, 서비스 하나 수리에는 무관한 저장소, 테스트 작성에는 운영 DB 권한이 필요하지 않다. 이는 단순한 프롬프트가 아니라 허용 동작과 접근 자원이라는 실행 능력의 결정이다. 로컬 노트북에도 코드, 브라우저 세션, 클라우드 자격 증명, 개인 문서와 서명 키가 있을 수 있다. 관리자 권한 없이도 과도한 자격 증명 하나는 중요하다.
통제 품질은 숨은 구현이 아니라 제품의 일부가 된다. 플랫폼·보안 팀은 무제한 권한 없이 유용한 위임을 가능하게 해야 한다. 업체와 개인 개발자도 모델 점수가 답하지 못하는 신원·자격 증명·승인·로그·복구 문제를 마주한다.
정책과 승인을 모델의 서술 밖에 둔다
신뢰 제어 계층은 접근, 라우팅, 예산, 정책과 운영 상태를 관리한다. 모델이 제안하고 다른 계층이 실행 여부와 방법을 정한다. 실행별 신원으로 사람 및 다른 자동화와 구별하고 지정 파일, 명령, 서비스와 네트워크 대상 권한은 누적하지 말고 작업과 함께 만료시켜야 한다.
원문의 샌드박스 보안 지침은 격리, 제한된 송신, 자격 증명 분리와 중개를 설명한다. 신뢰 프록시가 허용 대상에만 자격 증명을 붙이면 실행자는 재사용 비밀을 보지 않고 요청한다. 환경 출력이 장기 운영 키를 드러낼 필요가 없고 철회도 각 작업 공간이 아니라 중개자에서 가능하다.
도구 중개는 인수 검사, 위험 경로 거부, 속도 제한과 승인을 맡는다. Mozilla의 mcpd 정책 플러그인은 인증, 검증, 제한과 기록을 에이전트와 서버 사이에 둔다. Model Context Protocol이 파일·DB·외부 앱을 공개하므로 에이전트마다 정책을 정확히 재현한다고 믿지 않고 일관되게 집행할 수 있다.
승인에는 승인 권한을 가진 신원과 모델이 만들 수 없는 외부 상태도 필요하다. 맥락 안의 메시지뿐이면 불신 자료가 모방한다. 토큰 절약 요청은 조언이지만 강제 예산은 루프가 길어져도 상한이다. 하위 에이전트는 사람이 채팅 하나를 보는 것보다 빨리 비용을 내므로 작업·팀·업체·결과별 한도가 중요하다.
모든 단계가 승인을 요구하지는 않는다. 읽기와 임시 브랜치 쓰기는 통상 진행하고 게시, 배포, 권한 변경과 고객 연락에는 명시 권한을 요구할 수 있다. 격리 테스트에서 허용한 명령을 운영에서는 금지하고 문서 대상 통신은 허용하되 미지 대상을 막는다. 저위험을 계속 중단하면 위임 가치를 잃고 아무 관문도 없으면 중대한 판단을 모델 안에 남긴다.
감사와 복구는 미완료 작업을 견뎌야 한다
에이전트 설명이 입력, 권한, 변경, 재시도와 거부를 완전히 기록하지는 않는다. 감사는 동작을 실행, 정책·도구 버전, 승인 상태, 신원, 입력과 결과에 독립적으로 연결해야 한다. 금지 동작 세 번 뒤 허용 경로를 찾은 경우와 처음부터 맞게 선택한 경우는 다르다.
사고 후 정책이나 자격 증명이 바뀌어도 당시 기록은 권한을 재구성한다. 반복 개입, 오탐 정책과 범위 초과도 보여주어 권한과 절차를 개선한다. 대화나 최종 결과만으로 실행 당시 권한을 복원할 수 없다.
상태 관리도 필요하다. 외부 행동을 완료하고 성공 기록 전에 실패할 수 있다. 전부 재시도하면 PR, 결제 지시나 고객 메시지를 중복시킨다. 완료 단계, 안전 재시도와 상태 대조 필요를 나눠야 하며 외부 부작용은 반복 가능한 로컬 읽기와 다르다.
Otari 제어 계층는 거버넌스를 여러 업체의 라우팅·예산·접근·배포·장애 전환에 잇는다. 라우팅은 비용뿐 아니라 개인정보 경계, 지연과 기능을 표현한다. 흩어진 앱 코드 밖에 두면 모델이나 환경 변경에도 정책, 추적과 작업 상태를 보존하기 쉽다.
지식은 알리고 정책은 제한하고 감사는 기록하며 복구는 미완료를 처리한다. 에이전트는 조직 통제 시스템의 교체 가능한 구성 요소이지 조직 규칙의 유일한 저장소가 아니다.
열린 소유권에도 운영 의무가 따른다
검사 가능한 스택은 종속을 줄이고 자체 통합과 민감 요소의 통제 환경 배치를 돕는다. 병원·은행·공공기관·개발 팀은 승인과 보존 의무가 달라 하나의 호스팅 기본값으로 모두 충족할 수 없다. 그러나 개방성은 소유 모델이지 자동 안전은 아니다.
자체 호스팅에는 업데이트, 접근 점검, 백업, 감시와 검증 복구가 필요하다. 낡은 구성, 느슨한 기본값, 공유 자격 증명, 불완전한 로그와 무제한 네트워크는 공개 코드에서도 약점이다. 상세 추적은 독점 코드, 개인 정보, 프롬프트와 결과를 담아 책임을 밝힐 만큼 보관하되 모든 민감 입력을 영구 복사해서는 안 된다.
더 많은 규칙이 항상 낫지는 않다. 겹친 예외는 틈을 만들고 과도한 제약은 미승인 도구로 몰며 불투명한 중앙 정책도 권력 문제가 된다. 작고 시험 가능한 통제에는 담당자, 이유와 검증이 필요하다. 변경은 검토·시험·버전 관리하고 긴급 예외는 만료·기록하며 거부 이유와 예외 절차를 설명해야 한다.
인프라가 유용한 코드도 보장하지 않는다. 권한 안에서 잘못 구현하거나 요구를 빠뜨릴 수 있다. 테스트와 사람 검토, 공개 검사만 최적화하는지 찾는 비공개·독립 평가, 민감 변경의 코드 담당자 검토가 남아야 한다. 자세한 사고 로그는 경과를 입증하지 예방 성공을 입증하지 않는다.
임시 작업 권한, 행동과 권한의 지속 증거, 모델 변경에도 이를 보존하는 이동성이 주장을 시험한다. 일상 마찰도 중요하다. 나은 추론은 가치 있지만 신뢰할 위임에는 추론 실패 때 사라지지 않는 경계가 필요하다.
관련 읽을거리: 기술 문서 지식 기반과 엔지니어링 맥락 보존.