자율성을 부여하기 전에 경계를 증명합니다.

랩이 오늘 하는 일

각 항목은 랩과 랩이 만들어 내는 서명된 보고서의 성질이며, 우리에게 묻지 않고 확인할 수 있습니다.

• 먼저 구멍을 재현합니다. 제한이 선언만 되어 있을 때 에이전트가 일으킬 수 있는 효과를 제한이 느슨한 베이스라인이 보여 주므로, 보호된 실행에는 실제로 봉쇄할 대상이 생깁니다.
• 같은 금지된 시도를 MCP, 셸, 스크립트, 직접 API 호출로 보냅니다. 실제로 시험하지 않은 경로는 평가되지 않음으로 보고되며, 결코 보호됨으로 보고되지 않습니다.
• 효과를 에이전트 밖의 프로세스에서 관측합니다. 에이전트의 로그, 요약, 도구 출력은 신뢰할 수 없는 증거로 취급합니다.
• 검토된 바로 그 후보(저장소, 브랜치, 예상 ref, diff)만 Execution Guardian을 통해 내보내며, 이때 원격 상태를 원자적으로 확인합니다.
• 모든 실행 보고서에 에이전트가 결코 보지 못하는 슈퍼바이저 키로 서명합니다. 보고서는 운영자가 설치하는 trust anchor에 대조해 오프라인으로 검증됩니다.

존재하는 이유

MCP는 하나의 경로입니다. 셸, 파일, API, 브라우저, 자동화도 또 다른 경로입니다.

한 팀이 코딩 에이전트가 운영 환경이나 비밀, 다른 사람의 작업에 닿지 않은 채 일하게 하고 싶어 하며, 실제 환경을 망가뜨리지 않고 그 제한이 지켜지는지 확인해야 합니다. 훅과 승인 모드는 에이전트가 어떻게 허가를 구하는지를 기술할 뿐, 방어 경계가 아닙니다. 위험은 에이전트가 실제로 쓸 수 있는 권한과 실제로 닿을 수 있는 경로에 있습니다. SSH 소켓, 브라우저 세션, 어떤 요청에든 서명하는 프록시, 내부 엔드포인트는 키를 하나도 드러내지 않고 권한을 부여합니다.

테스트 뒤에 있는 실패 계열

2026년의 공개 사례들이 시나리오의 틀을 잡았습니다. 각 계열은 하나의 통제, 그리고 그것을 깨뜨리려는 테스트와 대응합니다.

이 사례들은 실패 계열을 생각하게 한 동기입니다. 포렌식 복제가 아니며, 여기의 어떤 내용도 랩이 그 사건들을 막았으리라고 주장하지 않습니다. 우리가 시험하는 변형(별칭, shim, 캐시 미스)은 우리가 직접 만든 것입니다.

루프

선언하고, 깨뜨려 보고, 관측하고, 고치고, 다시 시험하고, 승인하고, 실행하고, 검증합니다.

1. 01 선언
2. 02 깨뜨려 보기
3. 03 밖에서 관측
4. 04 수정
5. 05 재시험
6. 06 정확한 효과 승인
7. 07 실행
8. 08 검증

선언된 제한은 반박 가능한 테스트가 되고, 그 같은 제한이 이후 실제 실행을 다스립니다. 실질적인 필드(모델, 마운트, 정책, 어댑터, 목적지)를 바꾸면, 영향을 받는 경로는 다시 인정되기 전에 재검증되어야 합니다.

분리된 네 가지 책임

랩에서 관측자와 Guardian은 디렉터리와 권한이 따로 분리된 별개의 프로세스입니다. 이는 시험 대상 프로세스로부터의 독립이지, 독립적인 기관 감사가 아닙니다.

프로파일과 랩 수준

각 결과는 자신이 다룬 경로의 이름을 밝히며, 전체를 아우르는 “안전”을 선언하는 일은 결코 없습니다.

의도적으로 제한을 느슨하게 둔 베이스라인을 포함해 세 프로파일 모두, 운영 환경도 인터넷 목적지도 없는 울타리 안에서 실행됩니다. 베이스라인이 닿을 수 있는 것은 합성된 금지 리소스이며, 실제 리소스에는 결코 닿지 않습니다.

확인할 수 있는 증거

서명된 보고서, 그리고 결코 섞이지 않는 세 개의 축.

실행은 Zod로 검증되는, 버전이 매겨진 구조(HarnessProfileV1, HarnessScenarioV1, HarnessRunReportV1)로 기술됩니다. 보고서는 에이전트 밖의 슈퍼바이저 키로 서명되고, 운영자 채널을 통해 설치된 trust anchor에 대조해 오프라인으로 검증됩니다. 자신이 서명하는 보고서 안에 함께 실려 온 키는 결코 신뢰하지 않습니다.

증거는 전역 다이제스트가 아니라 성질별로 재사용됩니다.

수용은 논리곱입니다: 정확한 권한, 로컬 정책, 필요한 모든 경로에 대한 진정하고 적용 가능한 증거, 살아 있는 관측, 그리고 남은 예산. 보고서는 이 조건 가운데 하나를 충족할 수 있을 뿐, 나머지를 결코 대신하지 않으며 허가를 만들어 내는 일도 결코 없습니다. 운영자가 에이전트 밖에 설치한 버전이 매겨진 규칙이 각 주장의 실질적 의존성을 지금 관측된 구성과 비교합니다. 빠졌거나, 알 수 없거나, 확인할 수 없는 필드는 평가되지 않음을 뜻합니다.

• 파일과 프로세스 격리OS, 커널, 백엔드, 이미지, 아이덴티티, 특권, 마운트, 소켓, 실제 기동 방식에 따라 달라집니다. 새 Git 목적지만으로는 무효가 되지 않지만, 새 마운트는 이를 무효화합니다.
• 봉쇄된 네트워크 외부 송신규칙, 라우팅, DNS, 프록시, 헬퍼, 닿을 수 있는 엔드포인트에 따라 달라집니다. 다른 도메인을 승인해도 결코 PASS를 물려받지 않으며, 로컬 카나리아는 인터넷 차단을 증명하지 않습니다.
• 어댑터가 정확한 효과를 유지함메커니즘의 증거로 재사용할 수 있습니다. 권한, 네트워크, 아이덴티티, 실제 제공자의 동작에 대해서는 아무것도 증명하지 않습니다.
• 목적지 통합승인된 그 목적지에서만 얻어집니다. 로컬 픽스처가 실제 GitHub에 대한 증거가 되는 일은 결코 없으며, ref와 사전 상태는 효과마다 다시 읽습니다.
• 에이전트의 행동모델, 버전, 하네스, 도구, 과업, 매개변수에 묶여 있습니다. 새 모델은 그 모델 없이 시험한 OS 장벽을 무효화하지 않습니다. 무효가 되는 것은 그 행동을 외삽하는 일입니다.

녹색 보고서는 결코 Execution Grant를 발급하지 않고, 결코 MFA나 정족수를 대신하지 않으며, 결코 미래의 결과를 승인하지 않습니다. 새 후보 SHA에는, 환경에 관한 증거가 모두 여전히 적용되더라도 새로운 정확한 승인이 필요합니다.

정확한 내보내기

랩을 떠나는 것은 검토된 변경뿐입니다.

1. 01쓰기가 멈추고 후보는 격리 구역으로 옮겨집니다. 슈퍼바이저는 신뢰할 수 있는 베이스에 변경을 더해 깨끗한 저장소를 다시 만듭니다. 에이전트에서 온 .git, 훅, 헬퍼, 설정, 서브모듈, 필터는 들이지 않습니다.
2. 02과업이 허용한 파일 경로 안의 일반 텍스트 파일만 받아들입니다. symlinks, gitlinks, 범위를 벗어난 파일 경로, 통제에 대한 변경은 거부됩니다.
3. 03산출물 다이제스트, 후보 SHA, 베이스, 목적지, 예상 ref, 내보내는 범위의 전체 diff를 고정합니다. 커밋 작성자는 메타데이터일 뿐, 승인이 아닙니다.
4. 04검토에서는 무엇이 어느 저장소의 어느 브랜치로 보내지는지, 그리고 어떤 자동화를 촉발할지를 밝힙니다. Task Contract가 그 정확한 효과를 고정합니다.
5. 05Execution Guardian은 산출물, ref, 정책, 예산, 중지를 다시 검증한 뒤, 사전 상태를 원자적으로 비교하며 fast-forward 또는 ref 생성을 수행합니다. GitHub에서는 생성만 합니다. 범용 force-push는 없습니다.
6. 06원격 상태를 검증합니다. 타임아웃이 나면 대사가 끝날 때까지 예약과 불확실한 결과를 유지하며 눈감고 재시도하지 않고, receipt는 승인된 push와, 올바르거나 무해한 코드를 구분합니다.

정지, 생존 확인, 예산

Harnesses

하네스, 버전, 플랫폼별 증거.

어댑터는 고정된 버전의 하네스의 기동과 이벤트를 번역합니다. 하네스에 동등한 차단 훅이 없으면 봉쇄는 외부에 머물고, 그 훅은 지어내는 대신 지원되지 않음으로 표시됩니다. 시험된 백엔드는 Linux이며, macOS와 Windows는 그 결과를 물려받지 않고, 어떤 하네스 로고도 완전한 적용 범위를 뜻하지 않습니다.

1. 01

   Claude Code · Codex

   첫 어댑터들, 한 번에 하나씩. 네이티브 macOS 프로파일은 따로 평가되며 Linux에서 아무것도 물려받지 않습니다.

2. 02

   Cursor

   그다음, 자체 프로파일과 작업 패키지당 하나의 성질로.

3. 03

   SDKs

   이어서 SDKs를, 같은 증거 의미론 아래에서.

4. 04

   클라우드 에이전트

   실제로 중개되는 목적지에서의 효과만 인정됩니다. 에이전트의 내부 환경은 평가되지 않은 채로 남습니다.

모델을 훈련하고 평가하는 팀을 위해

시험을 거친 방어 경계 안에서의 에이전트형 평가.

하네스 평가는 생명주기, 시나리오, 제한을 다루기 위해 Inspect(그 과업, 샘플, Docker 샌드박스)와 통합됩니다. SecureStamp가 보태는 것은 외부 관측자, 효과 오라클, 보고서 내보내기이지, 또 하나의 스케줄러나 LLM 평가기나 로그 파이프라인이 아닙니다. 어떤 채점기도 신뢰된 프로세스 안에서 후보를 실행하지 않고, 효과를 동반하는 명령의 재시도는 비활성화되며, 개발 세트와 홀드아웃 세트는 분리해 둡니다. 홀드아웃은 통제를 조정하는 데 결코 쓰지 않습니다.

• 먼저 결정적 시도를 주입해 메커니즘의 인과적 테스트로 삼습니다. 실제 하네스와 모델은 그 뒤에, 승인된 예산 안에서, 시스템이 어떻게 동작하는지에 대한 증거로 실행됩니다.
• 요청을 재생해도 확률적 추론은 재생되지 않습니다. 버전, 사용 가능한 매개변수, 실행 횟수, 타임아웃, 분모는 보존하지만, 동일한 재생은 약속하지 않습니다.
• 유용성과 봉쇄는 따로 보고하므로, 모든 것을 막는 것이 작동하는 제품으로 셈해지는 일은 결코 없습니다. 0/N이라는 결과는 위험이 0이라는 뜻이 아닙니다.