Tethered: Our Agents Are Us — Shu Fang, Two Sigma

한 줄 핵심

기업의 에이전트를 각 직원의 실명성과 연결해 클라우드에서 그대로 실행하되, 감사 추적과 안전한 웹 접근을 네트워크 경계 안으로 묶어 위험을 줄이는 설계가 핵심이다.

시간별 요약

1. 0:00
   Two Sigma라는 이름의 유래 Two Sigma는 변동성의 작은 시그마와 큰 시그마를 합쳐 위험을 헤지하고 초과수익을 추구한다는 의미에서 붙은 이름이다. 이 영상은 특정 제품 홍보가 아니라, 규제 산업의 기업에서 에이전트를 어떻게 안전하게 운영하는지 설명하는 내용으로 시작한다.
2. 1:20
   모든 직원에게 자신으로 실행되는 에이전트가 주어진다 25년 된 규제 산업 기업에서도 모든 직원이 자신 명의로 실행되는 클라우드 에이전트를 갖는 운영 체계를 만들었다. 핵심 질문은 에이전트를 별도 계정이 아니라 사람과 같은 정체성으로 어떻게 안전하게 돌릴지였다.
3. 1:49
   테더드와, 그것이 풀려났을 때 벌어지는 일 로컬 CLI에서만 동작하는 에이전트는 강력하지만 사용 위치와 인터페이스가 제한된다. 모바일, Slack, 브라우저 등 어디서든 원격으로 실행되게 하려면 에이전트의 실행 위치보다 정체성과 권한을 어떻게 묶을지가 더 중요해진다.
4. 2:48
   별도의 에이전트 정체성이 무너지는 이유 사람 계정과 에이전트 계정을 분리하면 권한 동기화, 라이선스, 다중 정체성을 지원하지 않는 시스템, 공개/비공개 경계 관리가 모두 복잡해진다. 결국 에이전트를 사용자의 정확한 정체성으로 실행해야 기존 제약을 없애고 일관된 접근을 유지할 수 있다.
5. 4:09
   이미 존재하던 네임스페이스 인프라 Kubernetes의 네임스페이스와 사용자별 실행 환경은 원래 자동화 작업과 코드 컨테이너, 연구 노트북을 위해 이미 갖춰져 있었다. 이 인프라를 그대로 활용하면 에이전트도 각 사용자 이름공간에서 사용자의 신원으로 실행시킬 수 있다.
6. 5:17
   위험 하나, 사람과 에이전트를 구분하는 일 사람과 에이전트가 같은 정체성을 쓰면 누가 어떤 행동을 했는지 구분하기 어려워 감사, 차단, 추적이 복잡해진다. 따라서 동일한 신원을 유지하더라도 행동의 출처를 분리해 기록하는 장치가 필요하다.
7. 5:58
   위험 둘, 공개 웹 접근이 드러내는 것 웹 검색과 웹 가져오기는 최신 정보를 쓰는 데 필수지만, 동시에 IP 유출, prompt injection, 악성코드, 저작권 위반 같은 위험을 크게 늘린다. 외부 인터넷에 직접 나가는 경로를 열어두면 안전성과 규정 준수 모두에서 부담이 커진다.
8. 7:07
   헤지펀드식으로 본 위험과 수익 에이전트를 사용자처럼 실행하면 얻는 가치가 크지만 위험도 커지므로, 목표는 수익을 최대한 확보하면서 위험을 낮추는 것이다. 이를 위해 필요한 핵심 과제는 행위 출처를 식별하는 것과 안전한 웹 접근을 확보하는 것이다.
9. 8:04
   전체 체인을 위한 추적 헤더 에이전트가 수행하는 모든 단계에 추적 헤더를 계속 붙여서 누가 시작했고 어떤 경로로 이어졌는지 끝까지 복원한다. 이렇게 하면 단순한 정체성 확인을 넘어 실행 체인의 계보와 원인을 재현할 수 있다.
10. 9:56
    네트워크 경계 안에서의 웹 기반 검색 Google의 enterprise용 web grounding은 기존 VPC와 네트워크 경계 안에서 검색과 fetch를 제공한다. 외부 이그레스를 막으면서도 캐시된 웹 인덱스를 활용해 안전한 웹 접근을 구현할 수 있고, 최신성은 보통 24시간 이내, 자주 갱신되는 사이트는 6시간 이내 수준이다.
11. 11:21
    기본 search와 fetch 도구를 차단하기 에이전트가 기본 제공 search와 fetch를 쓰지 못하게 막고, 대신 MCP CLI나 지원되는 경로로만 web grounding을 통과시키도록 유도한다. 이렇게 하면 도구 사용 경로를 통제하면서도 필요한 웹 기능은 유지할 수 있다.
12. 12:28
    비용과 얻은 것 인덱스 지연이라는 대가가 있지만, 위험을 크게 낮추면서 관측성과 추적성은 오히려 좋아졌다. 기업은 로컬 실행의 공포나 frontier model 의존을 그대로 받아들이기보다, 기존 인프라를 활용해 에이전트를 안전하게 배치하고 개인별 클라우드 에이전트를 운영할 수 있다.
13. 15:26
    로컬 모델, 스푸핑, 감사에 대한 질문 로컬에서 자체 관리하는 LLM은 비용과 모델 변경 리스크를 줄이는 방향으로 유망하다. 헤더는 위조될 수 있어도 실제 실행 주체의 정체성과 체인은 별도로 유지되며, Google index의 내부화된 제어로 prompt injection 위험이 낮아지고 세션·행동 데이터는 사용자별로 더 세밀하게 구성될 수 있다.

실무 인사이트

• 에이전트 권한 설계는 별도 계정을 만드는 것보다 사용자 정체성을 그대로 유지하고, 행동 추적과 감사 레이어를 추가하는 편이 운영 복잡도를 크게 줄인다.
• 외부 웹을 직접 열기보다 기업용 검색·fetch를 네트워크 경계 안으로 들여오면, prompt injection과 데이터 유출 위험을 줄이면서도 에이전트의 최신성 요구를 충족할 수 있다.
• 에이전트 도구를 통제할 때는 기능을 없애기보다 기본 도구를 차단하고 승인된 경로로만 우회시키는 방식이, 보안과 사용성을 함께 지키는 현실적인 해법이다.