# 설계 원칙

> 여덟 가지 명제가 Agent NAS의 모든 트레이드오프를 이끌고, 일곱 가지 베팅은 무엇에 걸고 있으며 그 예상이 틀리면 어떻게 되는지를 밝힙니다. 몇 년 동안 유효하기를 바라는 설계라면 자신이 언제 틀릴지를 말해야 합니다.

## 1. 접근의 단위는 계정이 아니라 실행이다

지금의 관행은 에이전트에게 장기 토큰이나 사람의 계정을 주는 것입니다. 2026년 4월 사고의 토큰은 “도메인을 관리하려고 만들었는데 무엇이든 할 수 있었던” 것이었습니다. 실행에는 시작과 끝, 목적, 책임자가 있어서 인가와 책임의 자연스러운 단위가 됩니다.

*배제하는 것:* 공유 키, 장기 토큰, 빌려 쓰는 사람의 계정.

## 2. 되돌리기는 막는 것보다 싸다

예방(승인, 분류기, 프롬프트의 규칙)은 반드시 샙니다. 분류기는 놓치고, 사람은 더 놓치고, 모델은 프롬프트에 적힌 원칙도 어깁니다. 실수를 **되돌릴 수 있게** 하는 것(브랜치, 소프트 삭제, 스냅샷)이 모든 동작을 옳게 만드는 것보다 훨씬 쉽고 검증하기도 쉽습니다. 따름정리로, **복구 경로는 그것이 지키는 대상의 피해 범위 밖에 있어야 합니다.** 그래서 스냅샷은 소유자가 보유하고 어떤 리스의 권한도 미치지 않습니다.

*배제하는 것:* “프롬프트에 확인을 요청하는 한 줄을 넣는 것”을 통제로 치는 것.

## 3. 권한은 신원이 아니라 작업마다 빌려 준다

실행은 범위가 좁고 기한이 있으며 예산이 딸린 리스를 받습니다. 장기 키는 오케스트레이터나 소유자에게 남고, 모델은 결코 보지 못합니다.

*배제하는 것:* 오래가고, 넓고, 계속 남아 있는 권한.

## 4. 노트가 진실이고, 지능은 캐시다

메모리는 사람이 읽고 고칠 수 있는 파일이어야 합니다. 인덱스, 임베딩, 요약은 버렸다가 다시 만들 수 있는 파생물입니다. 그래야 메모리를 잃지 않고 검색 알고리즘을 바꿀 수 있으며, 오염과 삭제도 다룰 수 있게 됩니다.

*배제하는 것:* 들여다보거나 옮길 수 없는 불투명한 메모리 저장소.

## 5. 출처가 등뼈다

모든 메모리, 모든 파생물, 모든 병합은 “어디에서 왔고, 무엇의 영향을 받았는가?”에 답할 수 있습니다. 출처는 감사의 토대이면서 오염 통제, 신뢰 라벨, 망각의 토대이기도 합니다.

*배제하는 것:* 출처가 없는 메모리.

## 6. 정책은 결정론적이고, 모델은 조이기만 할 수 있다

인가 결정은 모델의 “의견”이 아니라 코드가 내립니다. 분류기나 LLM은 “이 단계는 승인이 필요하다”고 제안할 수는 있어도 승인할 수는 없습니다.

*배제하는 것:* 통과시켜도 되는지를 모델 스스로 판단하게 하는 것.

## 7. 스토리지는 지루하게 유지하고, 혁신은 계약에 둔다

새로운 엔진은 만들지 않습니다. 파일이 먼저입니다. 모델이 가장 잘 아는 인터페이스가 파일이기 때문입니다. 프로토콜은 바뀌어도 여섯 개의 명사는 바뀌지 않습니다.

*배제하는 것:* AI라는 이름으로 새로운 스토리지 엔진을 발명하는 것.

## 8. 희소한 것은 토큰과 사람의 주의력이다

읽기에는 예산을 줍니다. 승인은 드물고 구체적이어야 하며, 사람이 정말로 판단할 수 있는 자리에 둡니다. 모든 동작이 아니라 계획과 병합입니다.

*배제하는 것:* 기본적으로 파일 전체를 돌려주는 것. 모든 동작마다 팝업을 띄우는 것.

## 일곱 가지 베팅과 그것을 반박할 수 있는 조건

몇 년 동안 유효하기를 바라는 설계라면, 무엇에 걸고 있는지와 언제 틀릴지를 말해야 합니다.

| 베팅 | 근거 | 틀렸을 때 |
| --- | --- | --- |
| B1 에이전트는 앞으로도 파일 시스템과 Git을 주된 작업 매체로 쓴다 | 주요 런타임 여럿이 이미 파일로 옮겨 갔다. | 전용 “메모리 API”로 옮겨 간다면 Agent Home은 내보내기 형식으로 격하된다. 나머지 개념은 파일에 의존하지 않으므로 그대로 성립한다. |
| B2 “한 번의 실행”은 앞으로도 인가와 책임의 자연스러운 단위다 | 오케스트레이터는 대체로 작업마다, 세션마다 샌드박스를 띄운다. | 오래 이어지는 자율 프로세스가 나타나면 리스는 예산이 붙은 갱신의 연속이 되고, 개념은 유지된다. |
| B3 프롬프트 인젝션은 예측 가능한 미래에 모델 계층에서 근절되지 않는다 | Meta 스스로의 표현, 분류기의 미탐지율, 여러 공격 연구. | 근절된다면 Trust Labels는 심층 방어의 저렴한 한 겹이 된다. |
| B4 사람의 주의력은 앞으로도 희소하다 | Anthropic이 공개한 데이터. | 완전 자동화를 충분히 믿을 수 있게 되면 Human Gate는 사전 승인 정책에 자리를 내주고, 감사는 남는다. |
| B5 스토리지 계층은 출처와 오염 표시를 강제하기에 알맞은 자리다 | 메모리 보안 연구는 쓰기 시점의 출처를 강조한다. OpenClaw는 하나의 런타임 안에서 같은 일을 했다. | 모든 런타임이 스스로 잘 해낸다면 NAS는 라벨을 저장하기만 하면 되고 역할은 얇아진다. |
| B6 런타임과 에이전트를 넘나들며 공유되는 메모리는 실제 수요가 된다 | 멀티 에이전트 협업, 프레임워크 이전 비용. | 메모리가 각 프레임워크의 사적인 기능으로 남는다면 Agent Memory의 가치는 주로 개인과 작은 팀을 위한 이식성에 있다. |
| B7 프로토콜은 바뀌지만 “파일과 도구”라는 두 개의 문은 안정적이다 | MCP 버전 이전, A2A 1.0. | 어댑터를 바꾼다. 어댑터가 프로토콜을 격리하는 이유가 이것이다. |

## 안정적일 것으로 보는 것과 바뀔 것으로 보는 것

| 안정적일 것으로 보는 것 | 바뀔 것으로 보는 것 |
| --- | --- |
| 여섯 개의 명사 | 구체적인 프로토콜과 전송 방식 |
| 홈의 디렉터리 규약 | 임베딩 모델과 검색 알고리즘 |
| 네 가지 약속 | 토큰 형식 |
| “내보낼 수 있으면 떠날 수 있다”는 보장 | 에이전트 프레임워크와 사람-컴퓨터 인터페이스 |

---

표준 URL: https://agentnas.com/ko/principles/
최종 수정: 2026-11-11 · 명세 초안 v0.2 · CC BY 4.0