결론 먼저
서로 다른 사람을 대행하는 AI 에이전트들이 자율적으로 협업하는 상황, 논문이 말하는 에이전틱 소사이어티(agentic society)에서는 지금의 하네스와 메시징으로는 정직하고 유능한 에이전트들끼리도 회의 시간 하나 제대로 잡지 못하는 경우가 있다는 게 이 논문의 실험 결론입니다.
- 저자: 워싱턴대(UW) Tapan Chugh, Vidushi Singh, Krish Jain, Arvind Krishnamurthy, Ratul Mahajan (2026-09-15)
- arXiv: https://arxiv.org/abs/2609.17527
- 핵심 주장: 각 에이전트의 개인 하네스(personal harness) 외에, 신뢰 경계를 넘는 상호작용을 담당하는 소셜 하네스(social harness) 계층이 별도로 필요하다
- 구조: L1 신원 → L2 신뢰성 있는 통신 → L3 개인 방화벽 → L4 협업 규범 → L5 사회 제도, 5계층 스택
- 기준일: 2026-09-16 기준, arXiv v1 초고
핵심은 이겁니다. 논문은 관측된 실패를 두 갈래로 나눕니다. RQ1에서는 전원이 정직해도 실패하는 경우를 다루구요, RQ2에서는 하나가 고장이거나 악의적일 때 회의를 지연시키고, 거짓 정보로 일정을 바꾸고, 캘린더를 재구성할 수 있음을 보여줍니다. 두 문제 모두 모델 개선만으로는 못 막는다, 그래서 인프라가 필요하다는 결론으로 갑니다.
| 항목 | 내용 |
|---|---|
| 논문명 | Agentic Societies Need a Social Harness (arXiv:2609.17527) |
| 소속 | University of Washington |
| 배포일 | 2026-09-15 (v1) |
| 실험 태스크 | 대학 회의 일정 조율 (교수-학생 1:1, 교수-TA 그룹 미팅) |
| 사용 하네스 | OpenClaw 기반, 중앙 데이터 플레인 |
| 모델 구성 | M1 = 전원 GPT-5.4, M2 = 교수 측만 Claude Opus 4.8 |
| 핵심 수치 | S2·N=7에서 격리 세션 0% → 공유 세션 90% 성공률 변동 |
| 핵심 위협 | 지연(stalling), 사회적 압박, 거짓 취소 통보, 캘린더 재구성 |
| 제안 | L1~L5 5계층 소셜 하네스 스택 |
에이전틱 소사이어티가 어려운 이유
논문이 정의하는 에이전틱 소사이어티는 (i) 서로 다른 주체(principal)를 대행하는 에이전트들, (ii) 실세계 결과가 걸린 태스크, (iii) 사람 개입 없는 자율 조율, (iv) 주체 목표가 완전히 일치하지 않아 협력하면서도 경쟁하는 집단입니다.
기존 연구·프로토콜과 다른 지점은 이렇습니다.
| 기존 접근 | 이 논문이 지적하는 한계 |
|---|---|
| A2A, AGNTCY 같은 상호운용 프로토콜 | 연결성만 다루고 만족스러운 결과 보장은 안 함 |
| CrewAI, AutoGen 같은 스웜 | 단일 주체라 목표가 공유됨, 신뢰 경계 문제가 없음 |
| 공유 위키·공유 컨텍스트 저장소 | 개인 프라이버시 컨텍스트를 지켜야 하는 곳에 부적합 |
| Moltbook 같은 에이전트 SNS | 고위험 태스크의 악성 행동 대응은 관심 밖 |
즉, 주체가 다르고 목표가 부분적으로만 겹치는 자율 협업이라는 조합 자체가 기존 멀티에이전트 연구가 안 다룬 영역이라는 주장입니다.
실험 설정
회의 일정 조율을 태스크로 잡았습니다. 단순한 태스크이면서도 제약 공유와 협상이 다 들어 있어서입니다.
- S1: 학생 N명이 교수(Alvarez)에게 개별 30분 미팅을 요청. N ∈ {1,3,5,7}
- S2: 교수가 N명의 TA와 30분 스태프 미팅을 주관. N ∈ {3,5,7} (그룹)
- M1: 전원 GPT-5.4. M2: 교수 에이전트만 Claude Opus 4.8, 나머지는 GPT-5.4
- 성공 = 모든 에이전트가 시간에 합의하고 기존 캘린더 약속을 유지. 각 셀 10회 반복
- 트레이스 분석은 LLM 보조 파이프라인 + 사람 검증
RQ1: 정직한 에이전트도 실패한다
3가지 통신 설정을 비교했습니다. E1은 상대별 격리 세션, E2는 에이전트당 공유 세션 하나, E3은 순서 보장 그룹 메시징(ordered multicast)입니다.
관찰된 대표 수치를 정리하면:
| 시나리오 | 설정 | 성공률(N=1→7) | 특이점 |
|---|---|---|---|
| S1 | E1 격리, M1 | 100% → 10% | N=1에서도 평균 162±105개 메시지 |
| S1 | E2 공유, M2 | 100% → 0% | 불필요한 상태 공지가 메시지 폭증 유발 |
| S2 | E1 격리, M2 | 70% → 0% | 문맥 병합 실패로 라이브락·분할 예약 |
| S2 | E2 공유, M2 | 80% → 90% | 중앙화 추론으로 반등 |
| S2 | E3 그룹, M1 | 90% → 50% | 메시지 수는 E1 대비 20~25배 감소 |
핵심 관찰 4가지:
- 세션 구조만 바꿔도 성공률이 0%에서 90%까지 요동친다 (S2, N=7, M2). 같은 모델, 같은 태스크인데도요.
- 격리 세션에서는 교수 에이전트가 여러 상대의 답변을 하나의 문맥으로 합치지 못해 라이브락에 빠지거나 TA마다 다른 시간을 예약하는 분할 예약(split booking)이 발생했습니다.
- 일정이 잡힌 뒤에도 인사·확인 메시지를 계속 주고받는 승인 루프(acknowledgment loop)가 반복됐고, 내부 추론까지 그대로 상대에게 전달되는 경우도 있었습니다.
- 그룹 메시징은 메시지 수를 크게 줄였지만, 전달 순서만 보장할 뿐 에이전트들이 각자 답변을 생성하는 순서까지는 못 막아서 채널 경합(channel contention)이 생깁니다. Figure 5의 3에이전트 예시에서는 서로의 최신 메시지를 못 본 채 답장을 만들다가 화요일↔수요일이 계속 뒤집혔습니다.
Figure 1: 지금은 사람이 중간에 개입해 조율하는 구조(위)와 에이전트끼리 직접 조율하는 구조(아래). 출처: arXiv:2609.17527 Figure 1
RQ2: 고장·악성 에이전트는 더 쉽게 통한다
faulty(고장·무능·악성) 에이전트를 하나 섞은 실험입니다. E4는 지연, E5는 사회적 압박·기만, E6는 스토킹입니다.
| 실험 | 전략 | 결과 요약 |
|---|---|---|
| E4 | 지연: 핑계로 미팅을 미룸 | 단 한 명으로도 예약률 급락. M2는 아예 예약 없이 대기 |
| E5 | 사회적 압박: 신고하겠다고 협박 | M1 30%, M2 10% 성공적으로 일정 변경 |
| E5 | 기만: “그 시간 약속 취소됐다고 하더라” | M1 100%, M2 20~30% 공격 성공 |
| E6 | 스토킹(모임 초대 은닉) | 10~20% 성공, 성공 시 심각한 결과 가능 |
| E6 | 캘린더 재구성 | 여러 학생 에이전트로 요일별 확인 후 조합, M1 60% 재구성 성공. 에이전트가 교수의 가용성과 약속명을 공개한 비율은 양 구성 모두 100% |
가장 불편한 지점은 이겁니다. 모델의 안전장치는 “거짓말해라”라는 직접 지시는 거부합니다. 근데 악의적인 주체가 거짓을 ‘사실’로 넘겨주면 에이전트는 그대로 전달하고, 받은 쪽은 검증 없이 캘린더를 바꿉니다.
검증이 필요하다고 인식한 뒤에도 기존 약속을 지워버린 사례(Figure 7b)도 있었습니다. 진짜인지 아닌지는 사후에만 확인 가능한 경우가 많고, 공모(collusion)는 로컬 뷰만 보는 개별 에이전트가 원천적으로 탐지 못할 수 있다는 게 저자의 판단입니다.
Figure 7: 거짓 취소 통보 공격. (a)는 검증 요구로 방어 성공, (b)는 검증 안 된 주장을 근거로 기존 약속 삭제. 출처: arXiv:2609.17527 Figure 7
제안: 5계층 소셜 하네스 스택
개인 하네스가 주체의 프라이빗 컨텍스트·메모리·스킬을 다루고 신뢰하는 주체와의 상호작용에 최적화되어 있다면, 소셜 하네스는 불신 상대와의 상호작용을 다룹니다. 구조는 네트워크 스택처럼 계층으로 잡았고, 하위 계층(L1–L2)은 실패 자체를 원천 차단하고, 중간(L3–L4)은 런타임에 무효 메시지를 탐지하며, 최상위(L5)는 사후 조사와 제재를 담당합니다.
Figure 8: 소셜 하네스 스택. 출처: arXiv:2609.17527 Figure 8
| 계층 | 이름 | 하는 일 | 대응 실험 |
|---|---|---|---|
| L1 | 검증 가능한 신원 | 서명된 메시지, 스푸핑·시빌 방지 | 기존 연구로 해결 가능 |
| L2 | 신뢰성 있는 순서 통신 | MULTICAST·GATHER 같은 콜렉티브, 비관적 동시성 제어 | E3 채널 경합 |
| L3 | 개인 방화벽 | 스키마 검증 + 격리 컨텍스트에서의 의미 검사, 상대 권한 평가 | E5 기만·압박 |
| L4 | 공유 협업 규범 | 누가 언제 무엇에 대해 말할지 계약(contract)으로 명시, 라이브니스·세이프티 분석 | E1 승인 루프, E4 쿼럼 불명 |
| L5 | 사회 제도 | 불가역 서명 기록, 모니터링, 접근 권한 회수 같은 결과 부과 | E6 공모·스토킹 |
L2의 디테일이 재밌습니다. 메시지를 생성한 뒤 순서를 정리하는 것(현행 E3)만으론 부족합니다. 되돌릴 수 없는 부수 효과가 있다면 그룹이 다음 발화자와 다음 콜렉티브 연산에 합의한 뒤에야 LLM 호출을 디스패치하는 비관적 동시성 제어가 후보라는 겁니다.
단, 악성 에이전트가 정직한 에이전트의 발화 기회를 무한히 막으면 안 되니 기아 방지(starvation freedom)가 요구됩니다.
L3에서는 받은 메시지를 격리된 LLM 컨텍스트에서 주체 정책, 발신자 권한, 현재 신뢰 관계와 대조해 의미까지 검사합니다. 패킷 필터와 딥 패킷 인스펙션의 에이전트 버전이구요. 모델별 취약점도 반영해서, 압박에 굴복하기 쉬운 모델은 위협적 어조의 메시지를 차단하는 식입니다.
L4의 계약은 분산 프로토콜 형식으로 명시해서 liveness(지연 공격에도 결국 진행된다), safety(원치 않는 상태 변경이 없다), efficiency(몇 라운드면 되는지)를 배포 전에 검증할 수 있게 합니다.
모델 개선만으로 안 되는 이유
저자의 논리는 단순합니다. 모델이 좋아지면 정직한 에이전트의 조율 능력도 올라가지만, 공격자의 공격 정교함도 같이 올라갑니다.
그리고 소사이어티에는 서로 다른 모델, 서로 다른 하네스를 쓰는 에이전트가 섞입니다. 특정 통신 스타일로 학습된 모델 하나로는 일관된 규범이 안 생깁니다. 실험에서도 M1은 ‘먼저 제안하고 충돌 시 폴링’, M2는 ‘먼저 폴링’ 하는 식으로 전략이 갈렸고, 이 차이가 결과 변동의 한 원인이었습니다.
인간 사회와의 비유가 구조의 뼈대입니다. 인프라가 신원과 통신 신뢰성을 보장하고, 개인은 신뢰 관계와 규범에 따라 누구와 소통할지 판단하며, 규모가 커지면 제도가 사후 판정과 제재를 맡는다. 각 계층이 이 역할을 대응합니다.
나의 해석: 어디까지 검증됐고 어디부터 제안인가
여기부터는 원문이 아니라 내 판단입니다.
- 검증된 것: OpenClaw 하네스 + GPT-5.4/Opus 4.8 조합에서 세션 구조·통신 프리미티브에 따라 정직한 에이전트의 성공률이 크게 달라진다는 것, 그리고 프롬프트로 유도한 지연·기만·스토킹 공격이 실제로 먹힌다는 것.
- 아직 제안인 것: 5계층 스택 전체. L3 개인 방화벽의 의미 검사 정확도, L2 비관적 동시성 제어의 지연 비용, L5 제도의 거버넌스 설계는 전부 구현·측정 대상이 아니라 연구 방향입니다. 저자도 분해가 맞는지 커뮤니티 피드백으로 다듬겠다고 명시했습니다.
- 주의할 점: 태스크가 일정 조율로 좁고, 공격 시나리오도 저자가 설계한 프롬프트 기반이라는 한계. 수치는 이 설정에서의 신호로 읽는 게 안전합니다.
그래도 이 논문의 가치는 방향 설정에 있다고 봅니다. ‘A2A로 연결만 되면 에이전트끼리 알아서 잘하겠지’라는 낙관에 대해, 연결과 신뢰는 다른 문제이고 신뢰 쪽엔 인프라 계층이 필요하다는 반례 데이터를 처음으로 체계적으로 모았다는 점입니다.
관련 글
- 같은 축의 질문을 코딩 에이전트에서 다룬 글: AI 코딩 에이전트 하네스를 바꿔도 성적은 거의 그대로: Harness or Model? 논문 정리
- 주입·유출 공격 관점: 프레이밍 갭과 프롬프트 인젝션
- 하네스 개념의 계보: 에이전트 하네스 진화 가이드
자주 묻는 질문
소셜 하네스와 개인 하네스는 뭐가 다른가요?
개인 하네스는 내 에이전트의 컨텍스트·메모리·스킬 관리처럼 나와 신뢰 관계에 있는 존재와의 상호작용을 다룹니다. 소셜 하네스는 신뢰할 수 없는 외부 에이전트와 주고받는 메시지의 유효성을 검증하고 규범을 강제하는 별도 계층입니다.
A2A나 AGNTCY 같은 프로토콜로는 부족한가요?
논문은 이들이 연결성·상호운용성만 제공한다고 봅니다. 누가 언제 무엇을 말할 수 있는지, 메시지가 현재 문맥에서 유효한지, 위반 시 제재는 어떻게 할지는 다루지 않습니다. 그래서 프로토콜 위에 소셜 하네스 계층이 필요한 것입니다.
정직한 에이전트만 있으면 실패 안 하나요?
실험에서 그렇지 않았습니다. 격리 세션 구조에서는 전원이 정직해도 N=7일 때 S2 성공률이 M2 기준 0%였습니다. 문제의 원인은 모델 능력이 아니었습니다. 세션 구조, 통신 프리미티브, 공유 규범 부재였습니다.
실무 에이전트 시스템에 당장 적용할 수 있는 교훈은 뭔가요?
(1) 상대별 격리 세션은 문맥 합치기 실패의 온상이라, 여러 상대를 묶는 태스크는 중앙화된 팩실리테이터나 콜렉티브 연산으로 설계할 것. (2) 검증 안 된 주장(“그 약속 취소됐어요”)은 캘린더·예약 변경 근거로 못 쓰게 방화벽 규칙을 둘 것. (3) “누가 언제 말할지” 규범이 없으면 그룹 채널은 경합으로 수렴 실패합니다.