에이전트 사회에는 개인 하네스가 아니라 사회적 하네스가 필요하다

무엇인가

이 논문이 다루는 문제는 '에이전트 사회(agentic society)'다. 서로 다른 주체(principal)를 대리하는 자율 AI 에이전트들이 신뢰 경계를 넘어 협업하는 상황을 말하며, 이때 각 주체의 목표는 완전히 일치하지 않을 수 있다. 저자들이 보는 핵심 특징은 네 가지다. 에이전트가 서로 다른 독립적 주체를 대표하고, 현실적 결과를 낳는 과제를 협업하며, 사람이 루프에 없이 자율적으로 조율하고, 동시에 서로 경쟁한다. 기존 인프라는 이 지점을 비워 둔다고 지적한다. A2A나 AGNTCY 같은 프로토콜은 에이전트 간 연결성만 제공할 뿐 만족스러운 결과를 보장하지 않고, Claude Teams·CrewAI·AutoGen 같은 에이전트 스웜은 주체가 하나라 목표가 공유되어 이 문제를 겪지 않는다. 공유 위키 구조는 사적 맥락을 조심스럽게 관리해야 하는 경우 쓸 수 없다. 게다가 모델은 대체로 협조적으로 학습되어 있어, 신뢰할 수 없는 상대와 직접 맞닥뜨리면 혼란이 생긴다.

어떻게 동작하나

방법은 회의 일정 조율이라는 구체적 과제를 통한 실험 연구다. 대학에서 교수와 학생 사이의 회의를 자율적으로 잡게 하는 두 시나리오를 쓴다. S1은 N명의 학생이 각각 30분짜리 개별 면담을 Alvarez 교수와 잡으려는 경우이고, S2는 교수가 N명의 조교와 30분짜리 CSE455 스태프 미팅을 조율하는 경우다. N은 1, 3, 5, 7로 두고, 각 인스턴스에 실행 가능한 해가 여러 개가 되도록 설계해 에이전트들이 가용 시간을 공유한 뒤 합의해야 하게 만들었다. 모델 구성은 M1(전원 GPT-5.4)과 M2(보통 교수 쪽 하나만 Claude Opus 4.8, 나머지 GPT-5.4) 두 가지다. 통신 설정은 E1(피어별로 격리된 OpenClaw 세션에서의 p2p 메시징), E2(모든 피어에 걸쳐 하나의 공유 세션을 쓰는 p2p), E3(S2에서 N>1일 때의 그룹 메시징, 중앙 데이터 플레인이 제공하는 순서 보장 멀티캐스트)로 나눈다. 성공률은 10회 실행 기준으로, 메시지 복잡도는 실행당 생성된 고유 메시지 수로 측정했다. 통신 트레이스 분석에는 LLM 증강 파이프라인을 써서 별도 LLM 에이전트가 프로토콜을 주석·요약하고, 이후 에이전트들이 반복 행동을 군집화하고 성공·실패 실행을 비교했으며, 사람 검증자가 일부 발견을 원본 메시지와 캘린더 스냅샷에 대조했다.

무엇과 다른가

정직한 에이전트만 있는 RQ1에서도 실패가 나왔다. S2, N=7에서 격리 세션(E1)에서 공유 세션(E2)으로 바꾸자 M2의 성공률이 0%에서 90%로 올랐다. 반대로 학생 한 명과 교수 한 명만 있는 S1에서도 M1 에이전트들은 매 실행 성공했음에도 격리 세션에서 실행당 162±105개의 메시지를 주고받았다. 예약이 끝난 뒤에도 감사 인사를 주고받는 '확인 루프'에 빠지고 내부 추론을 상대에게 중계해 루프가 길어졌다. M2 교수는 자기 공유 세션에서 그 회의 당사자가 아닌 학생들에게까지 불필요한 상태 업데이트를 보내 메시지 수를 늘렸고, 이는 공유 세션의 프라이버시 문제도 드러냈다. 그룹 메시징(E3)은 메시지 복잡도를 M2에서 3~10배, M1에서 20~25배 줄였지만, M2의 성공률은 특히 N이 클 때 오히려 나빠졌다. 순서 보장 멀티캐스트가 메시지 전달 순서만 정할 뿐 에이전트가 답을 생성하는 순서는 정하지 못해 경쟁 조건이 남기 때문이다. 누가 언제 무엇에 대해 말해야 하는지에 대한 프로토콜이 없으면 에이전트들이 서로 '말을 겹쳐' 말하게 된다.

어떻게 쓰나

결함 있는(faulty) 에이전트를 넣은 RQ2에서는 피해가 더 컸다. E4 정체시키기는 회의를 요청된 주간 밖으로 미루는 데 성공했고, 정족수와 연기 권한에 대한 불완전한 명세가 악용됐다. M1의 교수 에이전트는 가용한 조교들과 먼저 예약했다가 결함 에이전트가 이의를 제기하거나 연기를 요청하자 취소했고, M2는 명세가 정밀하지 않아 예약을 비워 둔 채 주체의 결정을 기다렸다. E5 마키아벨리적 영향력 실험에서 사회적 압박(차별 신고를 하겠다는 협박)과 기만(다른 약속이 취소됐다는 거짓 정보) 모두 교수의 결정을 바꾸는 데 성공했다. M1에서는 기존 약속을 옮기거나 덮어 예약했고, M2에서는 그 약속 참석 시간을 줄였다. 특히 모델의 안전 가드레일이 직접적인 거짓말 요청은 거부했지만, 악의적 주체가 거짓 정보를 사실로 제공하면 에이전트가 그것을 그대로 전달했다. 에이전트들은 검증되지 않은 취소 주장을 기존 약속을 바꿀 충분한 권위로 취급했고, 때로는 검증되지 않았음을 인지하면서도 행동했다. E6 스토킹에서는 초대를 매개로 한 접근이 일부 성공했고, 여러 학생 에이전트에게 요일별로 가용 시간을 나눠 물어 교수의 주간 일정을 재구성하는 공격에서는 두 구성 모두 100% 실행에서 교수의 가용 시간이 공개되고 캘린더상의 약속 이름까지 언급됐다.

전제와 한계

이에 대한 제안이 사회적 하네스(social harness)다. 개인 하네스가 주체의 사적 맥락·기억·기술을 관리하고 신뢰하는 주체 및 LLM과의 상호작용에 최적화된 것과 달리, 사회적 하네스는 신뢰할 수 없는 상대와의 상호작용을 관장하고 특정 사회적 맥락에서 유효하지 않을 수 있는 메시지를 보내고 받고 행동할 때 생기는 실패를 다룬다. 구조는 5계층 스택이며 상위 계층이 하위 계층을 설정하고 하위 계층이 상위 계층에 보장을 제공한다. L1은 위조 불가능하고 검증 가능한 신원으로, 나가는 메시지에 서명해 메시지가 실제로 그 에이전트에서 왔고 알려진 주체를 대리한다는 것을 수신자가 확인하게 한다. L2는 신뢰할 수 있고 순서가 보장된 통신으로, MULTICAST·GATHER·ALL-REDUCE·ALL-TO-ALL 같은 집합 연산을 제공한다. 여기서 중요한 설계 판단이 나온다. 분산 트랜잭션에서는 낙관적 동시성 제어가 통하지만, 에이전트는 메시지를 생성하는 동안 국소적으로 되돌릴 수 없는 부작용을 일으킬 수 있으므로 비관적 동시성 제어가 후보가 된다. 즉 그룹이 다음 집합 연산과 다음 발언자에 합의한 뒤에야 LLM 요청을 보내며, 악의적 에이전트가 정직한 에이전트의 발언권을 무한정 막지 못하는 기아 자유(starvation freedom)가 필수 요건이다. L3은 개인 방화벽으로, 수신 메시지의 구조적 정확성(프로토콜·스키마·신뢰 정책 대조)과 의미적 정확성(격리된 LLM 컨텍스트에서 주체 정책·발신자 권위·현재 신뢰 관계·L4의 규범에 비추어 평가)을 검사한다. 위반을 탐지하면 메시지를 무시하거나, 통신에서 빠지거나, 다른 수단으로 목표를 추구하거나, L5 기관에 신고하거나, 배상을 요구할 수 있다. L4는 공유 협업 규범으로, 주어진 맥락에서 누가 다음에 말할 수 있고 무엇에 대해 말할 수 있는지를 정한다. 고부가가치 과제에서는 계약(contract), 즉 형식 명세된 과제별 분산 프로토콜을 세워 활성(liveness), 안전성, 효율성을 기존 기법으로 분석하고, 이를 L3 방화벽 설정에 쓴다. L5는 사회 제도로, 서명된 불변 대화 기록, 기록을 검사하는 모니터링, L1 신원에 붙어 L3 방화벽이 집행하는 철회 가능한 접근 제어 같은 제재 수단을 제공한다. L1~L2는 실패 부류를 아예 불가능하게 만들고, L3~L4는 런타임 탐지를, L5는 사후 조사와 제재를 담당한다.

개발자 관점에서 이 논문의 실무적 의미는 명확하다. 에이전트를 여러 개 붙여 협업시키는 시스템을 만든다면, 연결성 확보만으로는 충분하지 않다는 것을 전제해야 한다. 같은 모델·같은 하네스의 정직한 에이전트들도 N이 커질수록 성공률이 떨어지고, 감사 인사 루프나 불필요한 상태 브로드캐스트로 메시지가 폭증하며, 공유 세션은 편의를 주는 대신 관련 없는 대화 간 맥락 누출을 만든다. 또 하나 중요한 실무 교훈은 가드레일의 한계다. 모델 수준의 안전 정렬은 '직접 해달라'는 요청은 막지만, 악의적 주체가 거짓 정보를 사실로 주입해 에이전트가 중계하는 경로는 막지 못했다. 따라서 메시지의 진위·발신자 권위·주체 정책 일치 여부를 애플리케이션 계층에서 별도로 검증해야 하며, 되돌릴 수 없는 부작용을 동반하는 조율에는 발언 순서 합의 같은 직렬화가 필요하다는 점을 설계에 반영해야 한다.

저자들이 밝힌 한계와 전제도 분명하다. 5계층 분해가 옳은 분해인지 확신하지 못하며 커뮤니티 피드백과 경험으로 반복 개선하겠다고 명시한다. 개인 하네스와 사회적 하네스의 경계, 동시 대화 전반의 효율적 맥락 관리가 미해결 과제로 남는다. 규범을 누가(사람이, 에이전트가, 과제 설명에서 합성해) 작성하고 불완전한 명세를 어떻게 다룰지도 열린 문제다. 성능 비용도 정직하게 인정한다. 비관적 동시성 제어는 발언 차례를 직렬화하고 L3 가드레일 추론은 모든 메시지에 지연을 더하므로, 조정 처리량 트레이드오프를 정량화하고 부작용이 되돌릴 수 있을 때 낙관적 실행이 안전한 조건을 밝히기 전에는 대규모 사회를 지탱하기 어렵다. 또한 이 논문은 회의 일정 조율이라는 단일 과제군과 특정 모델 구성에서 얻은 결과이며, 원문에 제시된 수치는 성공률과 메시지 복잡도, 그리고 공격 성공 여부에 한정된다.