Presentation Addendum
보강 슬라이드 후보 1: A2A의 보안 공격면
논문 근거: A2ASecBench, Agent protocol threat modeling
| A2A 구성요소 | 왜 위험한가 | 발표식 표현 |
|---|---|---|
| AgentCard | identity와 capability를 self-declare한다 | “AgentCard는 신뢰의 입구다” |
| Capability discovery | 악성 peer가 정상 peer처럼 보일 수 있다 | “무엇을 할 수 있는가보다 누구인가가 먼저다” |
| Task lifecycle | input-required, working 같은 상태가 resource exhaustion에 쓰일 수 있다 | “workflow state도 공격면이다” |
| Artifact | markdown/html/script 등 산출물이 다음 agent나 브라우저에서 실행될 수 있다 | “결과물도 메시지이자 payload다” |
보강 슬라이드 후보 2: Skill 이후에도 보안 문제는 사라지지 않는다
논문 근거: Skill-Inject, Skill supply-chain poisoning, Malicious agent skills
| 장점 | 새 위험 |
|---|---|
| 전문 기능을 내 agent 환경 안으로 가져온다 | skill file 자체가 persistent instruction이 된다 |
| tool/API 사용법을 재사용 가능하게 만든다 | 코드 예시와 설정 템플릿이 action-space payload가 될 수 있다 |
| A2A보다 데이터 경계를 내가 통제하기 쉽다 | skill marketplace와 GitHub repo provenance가 중요해진다 |
보강 슬라이드 후보 3: 로컬 에이전트가 A2A peer가 될 때
논문 근거: OpenClaw security analysis, ClawWorm, OpenClaw FASA
핵심 그림 설명:
- 외부 A2A peer가 AgentCard와 artifact를 보낸다.
- 내 로컬 agent가 그것을 user-like instruction이나 trusted artifact로 받아들인다.
- 로컬 agent는 shell, filesystem, browser, messaging channel에 접근할 수 있다.
- 따라서 A2A message가 직접 명령은 아니어도 실행 환경을 간접적으로 흔들 수 있다.
짧은 결론:
A2A는 네트워크 프로토콜이고, 로컬 agent는 실행 principal이다. 둘이 만나면 보안 경계는 네트워크가 아니라 내 컴퓨터까지 내려온다.
보강 슬라이드 후보 4: 필요한 선언
논문 묶음에서 역으로 도출되는 A2A agent declaration:
- 나는 누구를 대리하는가.
- 내 AgentCard는 어떻게 서명되고 검증되는가.
- capability는 선언뿐 아니라 어떻게 attest되는가.
- token은 얼마나 짧고 얼마나 좁은 scope인가.
- artifact는 누가 sanitize하고 어디에서 render되는가.
- 내 skill과 tool은 어떤 provenance와 permission을 갖는가.
- 어떤 action은 human approval을 요구하는가.
- 로그는 나중에 누가 검증할 수 있는가.