승인 게이트는 모든 단계에 붙이는 버튼이 아니라 권한 확대와 비가역적 외부 행동 직전에 두는 통제 지점이다.
초안을 쓰는 행동과 돈을 보내거나 공개 글을 발행하는 행동은 실패 비용이 다르다. 자동화 수준은 모델의 말솜씨가 아니라 영향 범위, 되돌릴 수 있는지, 잘못된 대상을 식별할 가능성으로 정해야 한다. 승인 뒤 입력이 바뀌지 않았는지도 함께 확인해야 한다.
AI 핵심 지식 52편 중 37편입니다. 제품 화면이 바뀌어도 남는 원리와 판단 기준을 다룹니다.
승인 수준을 정하는 세 기준
| 기준 | 낮은 위험 신호 | 높은 위험 신호 |
|---|---|---|
| 외부 영향 | 내부 초안·읽기 전용 조회 | 발행·전송·결제·권한 변경 |
| 가역성 | 버전으로 즉시 복구 가능 | 삭제·공개·금전 이동처럼 복구 곤란 |
| 권한 범위 | 단일 문서·제한된 데이터 | 다수 계정·넓은 시스템 접근 |
승인 게이트 배치 순서
- 도구 행동을 읽기·초안·변경·비가역 행동으로 분류한다.
- 에이전트 자격 증명을 작업에 필요한 최소 범위로 줄인다.
- 고위험 행동 직전에 대상·변경 내용·영향을 승인 화면에 제시한다.
- 승인 시점의 입력 해시와 실행 직전 입력을 비교하고 결과를 기록한다.
승인은 위험한 행동 직전의 계약이다
사람 승인에는 무엇을 승인하는지가 고정되어 있어야 한다. '계속할까요?'라는 질문만으로는 대상, 금액, 수신자, 공개 범위가 보이지 않는다. 승인 화면에는 에이전트가 하려는 행동, 사용될 권한, 외부에 미치는 변화, 되돌리는 방법을 요약해야 한다. 승인 이후 에이전트가 새 데이터를 읽어 행동 내용을 바꿀 수 있다면 이전 승인은 효력을 잃는다. 실행 직전 입력과 승인 당시 입력을 비교하는 이유가 여기에 있다.
이메일 발송이라면 수신자, 제목, 본문 최종본, 첨부파일, 발송 계정을 한 묶음으로 승인한다. 승인 뒤 첨부파일이나 수신자가 바뀌면 자동 실행하지 않고 다시 확인을 요청한다. 이 내용을 적용할 때는 AI 에이전트 승인 게이트 설계: 최소 권한과 되돌릴 수 없는 행동이라는 이름만 문서에 적지 말고, 입력이 무엇인지, 어떤 변환이나 판단이 일어나는지, 결과를 누가 확인하는지, 실패하면 어디에서 멈추는지를 함께 기록해야 한다. 그래야 같은 용어를 쓰면서 서로 다른 시스템을 상상하는 문제를 줄일 수 있다.
최소 권한은 모델 지시가 아니라 시스템 경계다
프롬프트에 '허용된 폴더만 읽어라'라고 적는 것은 접근 통제가 아니다. 실제 자격 증명과 도구 인터페이스가 허용 폴더 밖을 읽을 수 없게 제한해야 한다. 읽기 권한과 쓰기 권한을 분리하고, 일회성 작업에는 수명이 짧은 자격을 사용하며, 대상 리소스도 가능한 좁게 지정한다. 에이전트가 잘못 판단하거나 외부 문서의 악성 지시를 따르더라도 시스템 경계를 넘지 못하게 만드는 것이 최소 권한의 목적이다.
보고서 작성 에이전트에는 지정된 자료 읽기와 초안 저장 권한만 준다. 게시 권한은 별도 실행자에게 두고, 게시 요청은 승인된 콘텐츠 식별자와 목적지만 받도록 인터페이스를 좁힌다. 이 내용을 적용할 때는 AI 에이전트 승인 게이트 설계: 최소 권한과 되돌릴 수 없는 행동이라는 이름만 문서에 적지 말고, 입력이 무엇인지, 어떤 변환이나 판단이 일어나는지, 결과를 누가 확인하는지, 실패하면 어디에서 멈추는지를 함께 기록해야 한다. 그래야 같은 용어를 쓰면서 서로 다른 시스템을 상상하는 문제를 줄일 수 있다.
가역성에 따라 자동화 수준을 다르게 둔다
되돌릴 수 있는 내부 작업은 자동화 범위를 넓혀도 피해를 제한하기 쉽다. 반면 공개 게시, 계정 권한 변경, 고객 통지, 금전 이동은 한 번의 오류가 외부 신뢰와 법적 책임에 영향을 줄 수 있다. 가역성은 단순히 '취소 버튼이 있는가'가 아니라 완전한 원상 복구가 가능한지, 복구까지 노출이 지속되는지, 제3자에게 복제되는지를 함께 본다. 영향이 큰 행동은 사람 승인 외에도 속도 제한, 대상 허용 목록, 이중 확인을 결합한다.
대량 고객 메시지는 먼저 내부 미리보기와 소수 테스트 대상으로 제한한다. 문구와 링크, 개인화 변수를 확인한 뒤 범위를 확대하고, 이상 신호가 있으면 남은 발송을 멈출 수 있게 배치한다. 이 내용을 적용할 때는 AI 에이전트 승인 게이트 설계: 최소 권한과 되돌릴 수 없는 행동이라는 이름만 문서에 적지 말고, 입력이 무엇인지, 어떤 변환이나 판단이 일어나는지, 결과를 누가 확인하는지, 실패하면 어디에서 멈추는지를 함께 기록해야 한다. 그래야 같은 용어를 쓰면서 서로 다른 시스템을 상상하는 문제를 줄일 수 있다.
중단과 재개도 하나의 보안 경계다
승인을 기다리는 동안 프로세스가 종료되거나 데이터가 갱신될 수 있다. 재개 시 단순히 다음 줄부터 실행하면 승인하지 않은 최신 값이 섞이거나 이미 수행한 행동을 반복할 수 있다. 체크포인트에는 승인 대상의 식별자, 내용 요약 또는 해시, 요청자, 만료 시각, 실행 여부를 남긴다. 재개자는 승인 권한을 다시 확인하고, 만료되었거나 입력이 달라진 요청은 폐기한다. 결과 로그에는 실제 실행된 값과 외부 시스템 응답을 연결한다.
승인 링크를 무기한 재사용하지 않고 요청별 일회성 토큰과 만료 조건을 둔다. 실행 성공 뒤에는 동일한 요청 키로 재호출되어도 외부 행동을 반복하지 않게 막는다. 이 내용을 적용할 때는 AI 에이전트 승인 게이트 설계: 최소 권한과 되돌릴 수 없는 행동이라는 이름만 문서에 적지 말고, 입력이 무엇인지, 어떤 변환이나 판단이 일어나는지, 결과를 누가 확인하는지, 실패하면 어디에서 멈추는지를 함께 기록해야 한다. 그래야 같은 용어를 쓰면서 서로 다른 시스템을 상상하는 문제를 줄일 수 있다.
판단 체크리스트
- 모든 도구 행동을 영향도와 가역성으로 분류했는가
- 에이전트가 가진 실제 권한이 작업 범위보다 넓지 않은가
- 승인 화면에 대상·내용·영향·복구 방법이 보이는가
- 승인 뒤 입력 변경과 중복 실행을 차단하는가
자주 생기는 오해
- 사람이 한 번 승인하면 이후 변경도 승인된 것이다 — 승인 대상이 달라지면 새 판단이 필요하며 실행 직전 동일성을 확인해야 한다.
- 프롬프트 금지 문구가 최소 권한을 만든다 — 권한은 자격 증명, 도구 범위, 네트워크와 데이터 경계에서 강제해야 한다.
자동 실행과 사람 승인 경계
| 상황 | 해석 | 다음 행동 |
|---|---|---|
| 내부 초안 생성 | 외부 영향이 없고 버전 복구 가능 | 자동 실행하되 변경 이력을 남긴다 |
| 고객에게 메시지 발송 | 외부 노출과 대상 오류 위험 | 최종 내용·대상·계정을 승인받는다 |
| 결제나 권한 확대 | 비가역성 또는 넓은 피해 범위 | 최소 권한과 강한 승인·중복 방지를 결합한다 |
자주 묻는 질문
모든 외부 행동에 승인이 필요한가?
위험과 맥락에 따라 다르다. 허용 목록 안의 낮은 영향 행동은 정책으로 자동화할 수 있지만 고위험 예외는 중단해야 한다.
승인자가 내용을 이해하지 못하면?
원시 도구 호출 대신 사람이 판단할 수 있는 대상, 변화, 근거, 복구 가능성을 보여주고 불명확하면 실행하지 않는다.
두 사람 승인은 언제 필요한가?
조직 정책상 금전·권한·대량 외부 영향처럼 단일 실수의 피해가 큰 행동에 독립 확인을 둘 수 있다.
승인이 너무 많아 느려지면?
저위험 작업을 묶고 허용 목록과 한도를 정하되, 권한 확대와 비가역 행동의 게이트는 유지한다.
관련 좌표
작성·검증 정보
- 작성·검토: AI좌표 편집부
- 원문 확인일: 2026-07-27
- 다음 재검토일: 2026-10-31
- 재검토 조건: 원 논문의 정정·철회, 표준 정의 변경, 장기 평가에서 핵심 반례가 확인될 때