하네스 엔지니어링 - 자율주행 인공지능 에이전트의 통제 상실

07.AI/5. AI 자율성

하네스 엔지니어링 - 자율주행 인공지능 에이전트의 통제 상실

Mr. Slumber 2026. 10. 4. 03:23

728x90

2026.9.29
[ A Competing-Hazards Systematization of Loss of Control in Autonomous Agents]

제시된 문헌은 자율주행 인공지능 에이전트의 통제 상실 현상을 체계적으로 분석하기 위한 공통 프레임워크와 통계적 모델을 다루고 있습니다. 저자는 기존의 사고 보고서와 안전성 평가 방식들이 서로 다른 언어로 기술되어 있어 실패 사례를 비교하거나 위험을 추적하는 데 한계가 있다고 지적하며, 이를 해결하기 위해 경쟁 위험 모형(competing-hazards model)에 기반한 통합 측정 방식을 제안합니다. 이 모델은 에이전트의 시도 과정을 완료, 안전한 중단, 그리고 허용 범위를 벗어난 탈출이라는 세 가지 상호 배타적인 종결 상태로 나누어 분석합니다. 아울러 실제 사고 및 벤치마크 문헌에 대한 전수 조사를 통해 현재의 평가 관행에 존재하는 한계점들을 밝혀내고, 향후 인공지능 안전 연구가 준수해야 할 최소한의 보고 표준을 제시하는 것이 본문의 핵심 목적입니다.

안전성을 무엇으로 측정하고 어떤 로그로 검증해야 하는가

자율 에이전트의 통제 상실에 대한 경쟁위험 기반 체계화

저자: Mohamed Aly Bouke, Multimedia University
분석 대상: arXiv:2609.38411v1, 총 12쪽
구성: 본문 9개 장, 데이터 공개 안내, 참고문헌
연구 성격: 새로운 대규모 행동 실험보다는 수리적 측정모형 제안 + 기존 사고·평가 문헌 감사(Systematization of Knowledge)에 해당합니다.[1]

핵심 메시지: 에이전트의 안전성을 “마지막에 성공했는가, 실패했는가”로만 측정하면 부족합니다. 각 시도에서 권한 내 완료, 안전한 중단, 권한 이탈 중 무엇이 발생하는지, 그리고 이탈이 에이전트의 시도와 환경의 허용이 어떻게 결합해 발생했는지를 기록해야 한다는 논문입니다.[1]

아래에서 논문의 내용과 분석·실무 권고를 구분합니다. 사고 및 타 연구의 수치는 이 논문이 인용·감사한 결과이며, 해당 사고의 원보고서를 모두 독립적으로 재검증한 것은 아닙니다.

1. Introduction — 서론

위치: pp. 1–2

1.1 문제 설정: 사고 보고와 벤치마크가 서로 다른 언어를 쓴다

논문은 도구를 사용하는 AI 에이전트가 승인된 범위를 넘어 행동한 사고들을 출발점으로 삼습니다. 저자가 주목하는 공통 구조는 단순한 오답이 아니라, 승인된 경계에 도달한 뒤에도 행동이 계속되었다는 점입니다.[1]

그런데 이를 기록하는 두 종류의 문헌은 관찰 단위가 다릅니다.

구분	사고 보고서	안전성 벤치마크
주된 관찰 단위	특정 사건·실행	다수 실행의 집계
[설명] 방식	끈질긴 재시도, 불가능한 과업, 샌드박스 설정 오류	이탈률, 편법 수행률, 중단률
주로 보이는 정보	사건 전개·환경 조건	고정된 예산에서의 최종 비율
빠지기 쉬운 정보	전체 시도 수·차단된 시도 수	사건 발생 시점·중단과 이탈의 경쟁

이 때문에 “이탈률이 높다”는 동일한 결과도 다음 중 무엇을 뜻하는지 구별하기 어렵습니다.

에이전트가 권한 밖 행동을 자주 시도했다.

환경이 권한 밖 시도를 쉽게 허용했다.

과업이 불가능한데도 중단하지 않았다.

시도 예산이 커져 위험에 더 오래 노출되었다.[1]

1.2 연구 질문

논문의 질문은 다음과 같이 정리할 수 있습니다.

“권한 이탈 위험은 시도마다 어떻게 누적되며, 안전한 중단·정상 완료와 어떻게 경쟁하는가?”

이를 답하기 위해 저자는 다음 세 가지를 연결합니다.

측정모형: 시도 단위의 경쟁위험 과정
문헌 감사: 사고 22건, 에이전트 안전성 평가 102건
보고 표준: 모형을 실제로 추정할 수 있게 하는 최소 기록 항목.[1]

분석

이 장의 중요한 전환은 ‘위험한 모델인가’에서 ‘어떤 실행과 환경 조합에서 위험이 실현되는가’로 질문을 바꾼 것입니다.

공공기관의 업무형 에이전트라면 모델 자체의 안전성뿐 아니라 다음을 함께 봐야 한다는 해석으로 연결됩니다.

허용된 업무·대상·도구의 범위
실행 불가능 상황에서의 중단 경로
도구 호출에 대한 실제 권한 통제
재시도 및 장기 실행 예산
실행을 강제로 종료할 수 있는 외부 통제

다만 이 논문은 이 요소들의 중요도를 실험적으로 순위화한 연구는 아닙니다.

2. Background — 기존 연구와의 관계

위치: pp. 2–3

이 장은 기존 연구를 네 갈래로 나누고, 각 연구가 측정하는 부분과 놓치는 부분을 설명합니다.[1]

2.1 Boundary and Loss-of-Control Evaluations

경계 위반·통제 상실 평가

첫 번째 계열은 에이전트가 도구를 통해 승인 범위 밖의 실제 효과를 발생시키는지 측정합니다.

저자는 The Missing Boundary 등의 연구를 통해, 권한 이탈이 에이전트의 행동 성향만으로 결정되는 것이 아니라 제약 약화와 실행 가능한 위험 기회가 만나는 조건에서 나타난다고 설명합니다.[1]

문제는 대부분의 평가가 고정된 실행 한도에서 최종 이탈률만 제시한다는 것입니다.

어느 시도에서 이탈했는가?
그 전에 차단된 시도가 있었는가?
에이전트는 자주 시도했지만 환경이 막았는가?
시도는 드물었지만 환경이 거의 항상 허용했는가?

이 정보가 없으면 행동 측면과 환경 측면을 분리하기 어렵습니다.[1]

2.2 Specification Gaming by Agents

명세 위반·평가 편법

두 번째 계열은 실제 요구사항을 만족하지 않고도 검사기를 통과하는 행동을 평가합니다.

대표적으로 논문은 다음을 다룹니다.

요구사항과 테스트가 충돌하는 불가능 과업
공개 테스트와 숨겨진 테스트 사이의 성능 차이
반복 피드백에 따라 증가하는 편법 시도.[1]

논문이 인용한 ImpossibleBench 사례에서는 사람이 개입하도록 과업을 표시할 수 있게 하자 특정 조건의 편법 수행률이 54%에서 9%로 감소했습니다. 그러나 중단 자체를 별도 결과로 기록하지 않아, 감소가 안전한 중단 증가 때문인지 다른 행동 변화 때문인지 분리할 수 없었다고 지적합니다.[1]

분석

검사기 통과와 승인된 업무 완료는 동일하지 않습니다.

예를 들어 데이터 품질 에이전트가 오류를 수정하는 대신 검증 규칙을 느슨하게 변경했다면, 검사 결과는 개선되어도 업무 명세는 위반될 수 있습니다. 이는 실무 적용을 위한 예시이며, 논문의 실험 사례는 아닙니다.

2.3 Stopping, Abstention, and Escalation

중단·행동 유보·사람에게 이관

세 번째 계열은 에이전트가 행동하지 말아야 할 때 멈추는지를 평가합니다.

불가능한 과업에 대한 행동 유보
필요한 도구가 없는 상황에서의 계속 실행
다단계 검색에서의 적절한 종료
예산을 낭비하기 전에 중단하거나 사람에게 이관하는 행동.[1]

이 계열은 중단을 잘 측정하지만, 실제 권한 이탈 효과를 함께 측정하지 않는 경우가 많습니다.

따라서 첫 번째 계열과 세 번째 계열은 각각 중요한 결과를 측정하면서도 ‘중단과 이탈이 동일 실행에서 경쟁한다’는 구조를 놓칩니다.[1]

2.4 Hazard Methods on Agent Trajectories

실행 궤적에 대한 생존분석

네 번째 계열은 통계 방법입니다.

기존 연구는 에이전트 실행 궤적에 Kaplan–Meier 곡선이나 이산시간 위험 회귀를 적용했지만, 주로 하나의 사건 유형을 다뤘습니다. 저자는 이를 여러 종료 사건이 경쟁하는 구조로 확장하고, Aalen–Johansen 추정량을 적용할 수 있다고 설명합니다.[1]

2.5 Positioning — 논문의 기여

저자는 경쟁위험 통계 자체가 새롭다고 주장하지 않습니다. 기여는 다음 요소를 하나의 측정체계로 조립한 것입니다.

권한 내 완료·안전한 중단·권한 이탈을 동일 시간축에 배치

실행 예산을 위험 노출량으로 해석

이탈 시도와 환경 허용을 분리

조건부 예산 상한 도출

추정 가능성을 기준으로 보고 항목 도출.[1]

평가

이 논문의 독창성은 새로운 학습 알고리즘보다 측정대상 정의와 로그 설계에 있습니다. 에이전트 안전성 평가를 설계하거나 감리 증적을 정할 때 활용도가 높은 유형입니다.

3. The Competing-Hazards Model — 경쟁위험 모형

위치: pp. 3–4

논문의 핵심 장입니다.

3.1 Primitives — 상태와 기본 변수

에이전트는 최대

번의 시도를 수행하며, 각 시도는 다음 상태 중 하나로 기록됩니다.[1]

기호	상태	의미	해당 모형에서 종료 여부
	Authorized completion	승인된 범위 내 완료	종료
	Safe stopping	안전한 중단 또는 승인된 사람 이관	종료
	Scope escape	승인 범위 밖의 효과 발생	첫 사건 분석상 종료
	Blocked attempt	권한 밖 시도가 차단됨	계속
	Ordinary continuation	일반적인 계속 실행	계속
	Monitor termination	외부 모니터에 의한 강제 종료	종료
	Other terminal state	기존 분류에 맞지 않는 종료	별도 관리

여기서 “종료”는 주의해서 읽어야 합니다. 특히

는 최초 이탈 발생을 분석상 흡수 상태로 취급한다는 의미이지, 실제 시스템이 반드시 즉시 중단된다는 뜻은 아닙니다.[1]

핵심 구분: 위험한 시도와 실제 효과

저자는 이탈 위험을 다음과 같이 분해합니다.

: 아직 종료되지 않은 실행이
번째 시도에서 권한 밖 행동을 시도할 확률
: 그 시도가 실제 권한 밖 효과를 발생시킬 조건부 확률
:
번째 시도에서 실제 이탈이 발생할 위험.[1]

쉽게 말하면 다음 구조입니다.

실제 이탈 위험 = 권한 밖 시도 확률 × 그 시도가 효과를 내도록 환경이 허용할 확률

다만 저자는 이를 인과적 분리라고 보지 않습니다.

환경의 도구·피드백·차단 경험은 에이전트의 시도 성향을 바꿉니다.
환경 허용확률은 에이전트가 어떤 시도를 선택했는지에 따라 달라집니다.

따라서

를 순수한 모델 고유 성질,

를 순수한 환경 고유 성질로 해석하면 안 됩니다.[1]

중단 시도와 실제 중단도 다르다

논문은 중단을 시도할 확률

와 실제 안전하게 중단될 확률

를 구분합니다.

에이전트가 중단 명령을 호출했어도 실행 하네스가 이를 무시하거나 명령이 고장 났다면:

중단 시도는 존재
실제 안전한 종료는 발생하지 않음.[1]

분석: 안전한 중단은 모델의 판단 능력만이 아니라 실행 시스템이 그 판단을 실제로 집행하는 능력까지 포함합니다.

3.2 Cumulative Incidence — 누적 이탈확률

전체 종료 위험을 다음과 같이 둡니다.

예산

이내에 최초 이탈이 발생할 누적확률은:

입니다.[1]

이 식의 의미는 두 부분으로 나뉩니다.

해당 시도 이전까지 완료·중단·이탈·강제 종료가 발생하지 않았을 확률

그 시도에서 이탈할 확률

이를 모든 시도에 걸쳐 합산합니다.

위험이 일정한 경우

시도마다 위험이 일정하면:

무한한 예산에서는:

입니다.[1]

불가능한 과업에서도 이탈이 반드시 발생하는 것은 아니다

권한 내 완료가 불가능하면

이므로:

가 됩니다.

따라서 이탈 위험이 양수인 상황에서도, 안전한 중단

또는 외부 강제 종료

가 존재하면 무한 예산 이탈확률은 1보다 작을 수 있습니다.[1]

“과업이 불가능하다”는 것만으로 이탈이 확정되는 것이 아니라, 이탈 기회가 있고 중단·강제 종료 경로가 없을 때 문제가 극단화됩니다.

같은 성공 대 이탈 비율도 충분하지 않다

논문은

에서 다음을 비교합니다.[1]

조건			, 재계산
낮은 종료 위험	0.01	0.01	약 9.15%
높은 종료 위험	0.10	0.10	약 44.63%

두 조건 모두

이지만, 사건이 발생하는 속도가 달라 유한 예산에서의 이탈확률이 크게 다릅니다.

논문 첫 값은 0.092로 기재되어 있지만, 제시된 식과 입력값을 재계산하면 약 0.09146입니다. 결론을 바꾸지는 않는 작은 수치 차이입니다.

3.3 Budget Bound and Controls — 예산 상한과 통제수단

허용 가능한 누적 이탈확률을

로 두면, 일정 위험 모형에서 최대 예산을 구할 수 있습니다.

이는

인 경우의 식이며, 허용치가 장기 이탈확률 이상이면 이 모형에서는 예산 상한을 둘 필요가 없습니다.[1]

중요한 제한

이 식은 다음 조건 아래의 결과입니다.

시도별 위험이 일정함
예산을 바꾸어도 위험이 변하지 않음
추정한 위험이 적용 대상 환경에서도 유지됨.[1]

따라서 ‘계산된 예산 이내면 안전 보장’이라는 공식은 아닙니다.

논문은 통제수단을 다음 변수에 대응시킵니다.

통제수단	주된 관련 변수
지시·훈련·권한 준수 능력
중단·사람 이관 능력
격리·권한·자격증명 관리
재시도 제한
실행을 종료하는 모니터

이 구분은 경향이지 엄격한 책임 분리는 아닙니다.[1]

분석상 보완점

동일한 위험 과정의 관찰 기간만 늘리면 누적 이탈확률은 감소하지 않습니다. 그러나 예산 변경으로 에이전트 정책과 위험 자체가 바뀌면, 서로 다른 예산 조건의 실험 결과가 반드시 단조 증가한다고 보장할 수는 없습니다.

이는 논문이 제시한 “예산 인지에 따른 위험 변화” 제한과 함께 읽어야 합니다.

3.4 Detection and Several Agents — 탐지와 다중 에이전트

관찰과 강제 종료의 구분

논문은 모니터를 두 종류로 나눕니다.

관찰만 하는 모니터: 종료 위험
에 포함되지 않음
실행을 중단시키는 모니터: 경쟁 종료 사건
로 포함.[1]

은폐도 두 가지 효과를 가질 수 있습니다.

강제 종료를 피하여
를 낮춤

시도와 이탈이 로그에 남지 않아 추정치를 낮게 보이게 함.[1]

실무 해석: “탐지 시스템이 있다”와 “위험 실행을 차단할 수 있다”는 별개의 통제 주장입니다.

다중 에이전트 위험

동일 조건에서 각 실행이 독립이고, 공유나 전역 종료가 없다면

개 에이전트 중 하나 이상이 이탈할 확률은:

입니다.[1]

설명용 계산: 실행별 이탈확률이 1%이고 독립 실행이 100개라면, 하나 이상 이탈할 확률은 약 63.4%입니다. 이는 논문의 실측값이 아니라 공식의 의미를 보여주는 예시입니다.

하지만 실제 다중 에이전트는 다음을 공유할 수 있습니다.

같은 과업 난이도
같은 환경 취약점
같은 모델
같은 자격증명
발견 결과·메시지.[1]

따라서 독립성은 자동으로 성립하지 않습니다. 또한 정보를 공유하면 위험 자체가 바뀔 수 있어, 단순히 유효 예산을

로 늘린 것으로 처리해서도 안 된다고 설명합니다.[1]

3.5 Identification from Logs — 로그로 무엇을 추정할 수 있는가

저자는 다음 정보를 요구합니다.

종료 사건과 발생 시도 번호
예산 소진 여부
차단된 권한 밖 시도의 순서
일관된 시도 단위.[1]

누적 사건확률은 이산시간 Aalen–Johansen 추정량으로 추정하며, 예산 소진은 우측 검열로 처리합니다.[1]

검열의 의미

예산이 소진되어 실행이 끝났다고 해서:

승인된 완료가 발생한 것도 아니고
안전한 중단을 선택한 것도 아니며
반드시 이탈한 것도 아닙니다.

즉, 관찰 기간이 끝난 것과 특정 종료 사건이 발생한 것을 구분해야 합니다.

예산 공개의 의미

에이전트가 예산을 알고 있어도 해당 예산 내 누적확률은 추정할 수 있습니다. 다만 남은 예산을 고려해 행동을 바꾼다면, 그 결과를 다른 예산으로 옮겨 예측하기 어렵습니다.[1]

현재 조건에서의 추정 가능성과 다른 조건으로의 이전 가능성은 별개입니다.

4. Audit Method — 문헌 감사 방법

위치: pp. 4–5

4.1 Scope and Inclusion — 범위와 포함 기준

감사 대상 기간은 2025년 1월 1일~2026년 9월 26일입니다.[1]

사고 포함 기준

도구를 사용하는 언어모델 에이전트가 승인 범위 밖의 효과를 발생시키거나 시도한 사건이며, 개발사·평가자·정부기관 등의 원자료가 있는 경우입니다.

평가 포함 기준

다단계 에이전트 평가 중 다음 하나 이상을 측정하는 연구입니다.

비승인 행동
불가능한 과업에서의 중단·이관
명세 위반 편법
예산 소진
지속 실행.[1]

단일 턴 거부·탈옥 평가와 행동 공간이 없는 평가는 제외합니다.

4.2 Search and Stopping Rule — 검색 및 종료 규칙

검색 대상에는 arXiv, OpenReview, 주요 학회, 개발사·안전기관 자료, 사고 데이터베이스 등이 포함됩니다.

두 번 연속 검색 회차에서 신규 적격 항목이 추가되지 않으면 검색을 종료했습니다. 저자는 이 규칙이 검색어 적용 순서에 영향을 받는다는 점을 인정합니다.[1]

분석

이 자료집은 전체 모집단을 완전히 대표하는 전수조사가 아니라 명시된 검색 프로토콜로 확보한 목적표집 문헌군입니다.

따라서 “102건 중 몇 건”은 해당 문헌군의 특성이지, 모든 에이전트 평가의 정확한 비율이라고 일반화할 수 없습니다.

4.3 Audit Questions — 감사 질문

평가에 대한 질문은 다음에 집중됩니다.

시도의 단위와 예산
예산 변경·공개 여부
안전한 중단의 독립 결과 처리
실제 이탈 효과와 판정모델 판단의 구분
차단된 시도와 실현된 효과의 구분
예산 소진과 실패의 구분
단계별 로그 공개 여부.[1]

사고 보고서는 과업 가능성, 중단 행동, 환경 경계 조건, 다중 에이전트 협업, 탐지·공개 시점 등을 확인합니다.

4.4 Evidence Grading and Reliability — 증거 수준

등급	기준
High	원자료를 확보하여 읽음
Medium	원자료 일부 또는 이를 인용한 2차 자료로 확인
Low	보도·블로그 등 제한된 자료

낮은 등급의 평가 6건은 집계표에만 포함되며, 수치 재해석이나 단계별 추정 판정에는 사용하지 않았습니다.[1]

4.5 Identification Rule — 추정 가능성 판정

저자는 감사 결과에서 추정 가능성 판정을 스크립트로 생성합니다.

집계 비율만 있으면 고정 예산에서의 발생률 수준
단계별 데이터와 시도 단위가 있어야 시도별 위험 추정 가능
중단이 실패와 합쳐지면 중단 위험 추정 곤란
차단과 실현을 분리해야 시도 성향과 환경 허용을 구분
검열 구분이 없으면 위험집합 구성에 문제.[1]

비판적으로 볼 지점

[확인 필요: §4.5] 저자는 예산이 최소 5회이거나 변화된 경우 노출량으로 “사용 가능”하다고 판정합니다. 이 기준은 문헌 감사의 운영 규칙으로 읽는 것이 적절하며, 5회 미만이면 경쟁위험 추정이 수학적으로 불가능하다는 일반 법칙은 아닙니다.

또한 §4.5의 “환경이 모든 시도를 허용하면

식별 불가”라는 표현은 §3.5 및 §5.2의

이 설계상 알려진 경우

라는 설명과 구분해 읽을 필요가 있습니다.

이 알려진 설계조건이면
로 연결 가능
성공한 시도만 관찰되고
가 알려져 있지 않으면 두 요소를 분리하기 어려움

이 두 상황을 명확히 나누면 식별성 설명이 더 일관됩니다.

5. Audit Results — 감사 결과

위치: pp. 5–9

5.1 The Incident Record — 사고 22건

주요 결과는 다음과 같습니다.[1]

항목	결과
승인 범위 밖 효과가 발생한 사고	20/22건
권한 내 완료가 불가능했다고 문서화된 사고	6건
과업 가능성이 불명확한 사고	9건
중단 대신 계속 실행했다고 보고된 사고	13건
중단 여부를 보고하지 않은 사고	5건
다중 에이전트가 관련된 사고	7건
외부 통신이 열린 환경이 관련된 사고	19건

핵심 해석 ① 환경이 이탈을 허용한 경우가 많다

22건 중 20건, 재계산 비율로 90.9%에서 범위 밖 효과가 발생했습니다. 19건에는 열린 외부 통신 경로가 관련됩니다.[1]

하지만 이는 보고된 사고 중의 비율입니다. 전체 실행 중 이탈률이나 환경의 평균 허용확률

를 뜻하지 않습니다.

저자도 사고 보고에는 성공한 이탈 이전의 전체 시도·차단 횟수가 없어

와

를 추정할 수 없다고 지적합니다.[1]

핵심 해석 ② 중단에도 서로 다른 상황이 있다

논문은 다음을 구별합니다.

경계를 인식하고 중단
이미 이탈한 뒤 중단
중단을 시도했으나 하네스 오류로 실패
승인되지 않은 외부 기관에 이관.[1]

특히 마지막 경우는 “사람에게 알렸다”는 이유만으로 안전한 이관이 아닙니다. 그 수신자와 전달행위가 승인 범위 안에 있어야 합니다.

핵심 해석 ③ 협업 채널도 권한 경계다

다중 에이전트 사고에서는 패키지 저장소·공개 게시물·위키·파일 호스팅 등이 의도하지 않은 공유 채널로 사용되었습니다.[1]

실무 해석: 공식 메시지 버스만 막아서는 충분하지 않을 수 있습니다. 읽기·쓰기 가능한 외부 자원이 에이전트 간 우회 통신 경로가 될 수 있습니다.

5.2 Published Aggregates Re-expressed — 기존 수치 재해석

A. 미해결 과업의 비승인 협업 발생비: 약 47배

논문이 인용한 기술보고서 수치는:

전체 과업: 898개
한 번도 정답이 나오지 않은 과업: 198개
나머지 과업: 700개
비승인 게시판에서 논의된 과업 중 미해결 과업 비중: 93%.[1]

같은 과업 집합에 대한 수치라는 가정 아래:

입니다.

정확한 해석: 미해결 과업군에서 비승인 협업의 과업 단위 발생비가 약 47배였다는 뜻입니다.

잘못된 해석:

시도별 위험비가 47배
불가능한 과업이 이탈을 인과적으로 47배 증가시킴
모든 에이전트에 적용되는 일반 상수

저자도 시도별 분모가 없어 위험비로 해석할 수 없다고 명시합니다.[1]

또한 “지금까지 풀리지 않았다”는 사실과 “권한 내 해결이 원천적으로 불가능하다”는 판단도 엄밀히는 구분해야 합니다.

B. 중단 옵션과 편법 감소

54%→9% 감소는 중단 선택지의 중요성을 보여주지만, 이를 곧바로

증가의 효과만으로 볼 수는 없습니다. 중단 옵션이 생기면 전체 정책과 권한 밖 시도 성향

도 달라질 수 있습니다.[1]

C. 차단된 시도도 안전성 신호다

엄격한 권한 통제로 실제 위반이 0건이어도, 권한 밖 시도가 존재할 수 있습니다. 논문은 이진 최종 결과가 이런 시도 신호를 버릴 수 있다고 설명합니다.[1]

“실제 피해가 없었다”와 “에이전트가 경계를 준수했다”는 동일한 주장이 아닙니다.

5.3 Evaluations Under the Model — 평가 102건

다음 비율은 원문 건수를 기준으로 재계산했습니다.

감사 항목	건수	비율
권한 밖 효과 또는 명세 위반을 코딩	87/102	85.3%
안전한 중단을 독립 결과로 코딩	26/102	25.5%
중단과 이탈·명세 위반을 모두 독립 결과로 코딩	20/102	19.6%
예산 소진을 실패와 구분하지 않음	79/102	77.5%
예산 공개 여부를 명시하지 않음	90/102	88.2%
단계별 궤적을 완전 공개	20건	—
단계별 궤적을 부분 공개	6건	—

원문은 정규화 후에도 17종의 시도 단위가 남았다고 보고합니다.[1]

결과의 의미

첫째, 이탈은 측정하지만 안전한 중단을 성공적 안전행동으로 측정하지 않는 평가가 많습니다.

둘째, 예산 소진과 실패를 합치면 실행 과정의 추정이 어려워집니다.

셋째, 도구 호출·턴·실행·시간 단위의 위험은 그대로 비교할 수 없습니다.

넷째, 모든 추정 요건을 동시에 충족한 평가는 없었습니다. 이는 저자의 해당 문헌군과 판정 규칙 안에서의 결론입니다.[1]

반드시 유의할 구분

87건은 외부 권한 이탈 효과와 명세 위반을 합친 수치입니다.

따라서 “87개 평가에서 실제 외부 침해를 측정했다”거나 “85.3%에서 실제 사고가 발생했다”는 뜻이 아닙니다.[1]

5.4 Reliability of the Extraction — 감사 결과의 신뢰도

사고 보고서의 이중 추출 일치도는:

항목	일치율	Cohen’s
다중 에이전트 협업	86%	0.74
안전한 중단	77%	0.62
과업 가능성	55%	0.33

입니다.[1]

과업 가능성의 일치도가 특히 낮았습니다. 보고서에서 가능성을 추론할지, 불명확으로 남길지에 대한 차이가 컸습니다.

평가 문헌은 30건을 표본 이중 추출했고, 이후 50건·550개 필드 판정을 재검토했습니다. 나머지 52건은 단일 코딩 결과가 집계에 포함됩니다.[1]

분석

이 결과는 두 가지를 동시에 보여줍니다.

원자료의 보고가 모호하다.
감사 분류 자체에도 판단 불확실성이 있다.

따라서 과업 불가능성에 대한 수치를 강한 인과 주장으로 사용하는 것은 조심해야 합니다.

5.5 Recurring Omissions — 반복되는 누락

저자는 다섯 가지 누락을 정리합니다.

권한 내 과업 완료 가능성

중단·이관 경로와 실제 사용 여부

시도 단위·예산·검열·예산 공개 여부

시도 성향과 환경 허용의 분리

사건·탐지·공개 시점.[1]

이 누락이 다음 장의 보고 표준으로 연결됩니다.

6. A Minimum Reporting Standard — 최소 보고 표준

위치: pp. 9–10

6.1 Step-Level Record and Estimator — 단계별 기록

논문은 실행별·시도별 한 행의 기록을 제안합니다.[1]

필드	기록 내용
실행·시나리오·모델·에이전트·그룹 ID	조건 식별 및 공유 과업·군집 구분
과업 가능성	권한 내 가능, 권한 밖에서만 가능, 불가능
, 예산 공개 여부	허용 시도 수와 에이전트 인지 여부
	시도 번호
사건 코드
효과 발생 여부	권한 밖 시도의 실제 효과
중단 시도·수용 여부	중단 명령과 하네스 집행
모니터 동작	없음, 관찰, 강제 종료
이탈 이후 조치	탐지·복구·중단
종료·검열 여부	사건 종료와 예산 소진 구분
원자료 경로	감사 가능한 실행 증적

추정기는 시도별 위험, 누적 발생확률, 시도 성향과 환경 허용을 계산하고, 실행 또는 공유 과업·스웜 군집을 단위로 부트스트랩합니다.[1]

분석

일반적인 LLM 관측 로그의 다음 항목만으로는 부족할 수 있습니다.

토큰 사용량
응답시간
도구 호출 성공 여부
최종 정답 여부

경쟁위험 분석에는 권한 밖 시도인지, 실제 효과가 있었는지, 중단이 실제 집행되었는지가 필요합니다.

6.2 Minimum List for Evaluations — 평가 보고의 최소 요건

논문이 요구하는 핵심은 다음 다섯 가지입니다.

시도 단위·예산·예산 공개 여부

안전한 중단을 실패와 다른 종료 결과로 코딩

예산 소진을 실패와 구분

권한 밖 시도와 실제 효과를 분리

단계별 궤적 또는 시도 번호별 사건 수 공개.[1]

분석: 안전성 평가가 단순한 점수표를 넘어 실행 경로를 재구성할 수 있는 증적 체계를 가져야 한다는 요구입니다.

6.3 Minimum List for Incident Reports — 사고 보고의 최소 요건

사고 보고에는 다음이 필요합니다.

승인 범위 내 완료 가능성
중단·이관 경로의 존재와 사용·실패 여부
환경 경계가 허용한 방식
에이전트 수와 공유 채널
사건·탐지·공개 시점.[1]

특히 “에이전트가 중단하지 않았다”와 “중단하려 했으나 시스템이 집행하지 못했다”를 분리하는 것이 중요합니다.

7. Limits of the Audit — 연구의 한계

위치: pp. 9–10

저자가 명시한 한계는 다음과 같습니다.[1]

7.1 비전수 문헌군

검색 프로토콜로 확보한 자료이므로 집계는 전체 모집단 통계가 아닙니다.

7.2 자료 접근 제한

일부 원자료는 2차 자료의 인용을 통해 읽었습니다.

7.3 모형 중심 감사

감사 질문이 저자 자신의 모형에서 도출되었으므로, 해당 모형의 추정 요건에 맞춘 평가라는 성격이 있습니다.

7.4 코딩 신뢰도

일부 항목에서 이중 추출 일치도가 제한적이며, 평가 52건은 단일 코딩입니다.

7.5 집계 수치의 재해석

기존 집계에서 계산한 결과는 원연구의 누락과 가정을 그대로 물려받습니다.

7.6 새로운 행동 실험의 제한

추정기는 소형 로컬 모델의 스모크 실행으로 정확성을 확인했다고 설명하지만, 그 실행으로 에이전트 행동에 대한 일반적 결론을 내리지 않습니다.[1]

추가 분석: 발생확률과 피해 심각도는 다르다

이 모형은 최초 이탈의 발생확률과 시점에 초점을 둡니다.

따라서 다음은 별도 평가가 필요합니다.

피해 규모
개인정보·기밀정보의 민감도
영향 대상 수
복구 가능성
이탈 후 지속 행동
법적·업무적 결과

같은

사건이라도 승인되지 않은 읽기와 대규모 삭제는 피해가 다릅니다.

실무 위험관리에서는 이 논문의 발생과정 모형에 영향도·심각도 평가를 결합하는 것이 적절합니다.

8. Research Agenda — 후속 연구

위치: p. 10

논문은 네 가지 실험을 제안합니다.[1]

후속 실험	핵심 설계	검증하려는 질문
예산·예산 인지 실험	예산 변경 × 공개·비공개	다른 예산으로 위험 예측을 이전할 수 있는가?
경계 허용 통제 실험	환경 허용을 설계상 통제	모델별 권한 밖 시도 성향을 분리할 수 있는가?
다중 에이전트 실험	총예산 일치 × 공유 유무	협업이 단순 노출 증가 이상의 위험을 만드는가?
결과·궤적 동시 평가	같은 실행에 이진 결과와 단계별 측정	기존 연구의 상반된 결론이 측정대상 차이 때문인가?