사이먼 테일러(Simon Taylor)는 은행이 개인 에이전트의 접근을 허용하려면 에이전트가 누구를 대신하는지, 사용자가 어떤 행동을 승인했는지 확인할 수 있어야 한다고 주장한다. 그는 이를 위해 진입, 신원, 도구, 의도의 네 층위에서 여러 프로토콜을 조합하는 방안을 정리했다.

은행은 고객이 넘긴 로그인 정보를 이용하는 에이전트를 이미 차단하고 있다. JPMorgan은 돈을 옮기는 공유 자격 증명 서비스를 막고 있으며, 올바른 방식으로 처리할 방법을 마련 중이라고 밝혔다. 반면 월마트는 MCP 기반 Agent Gateway를 발표하고 개발자 베타를 시작했으며, 다음 달 지출 한도가 포함된 Agent Profiles를 선보일 예정이다. 메타의 실적 발표에서 마크 저커버그는 쇼핑이 Muse의 가장 흔한 사용 사례이며 평균 구매액이 200달러를 넘는다고 말했다.

테일러는 이 문제가 금융과 관련된 중요한 과제라고 본다. 로그인 정보를 건네는 것만으로는 은행이 어떤 에이전트가 접속하는지, 사용자가 무엇을 요청했는지, 에이전트의 행동이 지시와 일치하는지 알 수 없기 때문이다. 접근 승인이 에이전트가 시도할 수 있는 모든 행동에 대한 승인을 뜻하지도 않는다.

에이전트가 서비스에 들어가는 방법과 신원 확인

개인 에이전트 프로토콜(Personal Agent Protocol, PAP)은 현재 Poppy라는 이름으로 불린다. 사업자는 PAP 규격을 통해 에이전트가 상호작용하는 방법, 로그인 경로, 이용 가능한 인터페이스와 허용할 접근 범위를 알릴 수 있다. 에이전트는 이를 찾아 지원되는 로그인 절차를 이용하고, 사용자는 접근을 승인하며 사업자는 허용 범위를 정한다. 접근은 제한하거나 취소할 수 있다. 뱅크오브아메리카와 웰스파고는 설계 파트너로 참여하고 있지만, 이는 설계에 도움을 준다는 뜻이지 에이전트가 당장 은행 앱을 쓸 수 있다고 약속한 것은 아니다.

비자(Visa)의 Trusted Agent Protocol(TAP)은 쇼핑 에이전트가 서명된 정보를 제시해 자신이 비자 프로그램을 통해 승인된 에이전트이며 특정 고객을 위해 쇼핑하고 어떤 결제 방식을 쓸지 알리도록 한다. 판매자는 에이전트가 계속 진행하기 전에 이 정보를 확인할 수 있다. 다만 사용자가 해당 구매를 승인했는지는 별도로 확인해야 한다. Web Bot Auth는 웹사이트가 에이전트 운영자를 확인하도록 한다. 에이전트가 스스로 ‘Muse’라고 말하는 것만으로는 충분하지 않으며, 웹사이트는 요청 서명을 운영자가 공개한 키와 대조한다. TAP도 쇼핑 에이전트에 이 방식을 사용한다.

신원 확인에는 Proof의 x401과 OpenID for Verifiable Presentations(OpenID4VP)를 조합할 수 있다. x401은 서비스가 에이전트 뒤에 있는 사람의 증거를 요청하게 하고, OpenID4VP는 지갑이 그 자격 증명을 전달하도록 돕는다. FIDO 표준을 기반으로 한 패스키는 기기에서 얼굴·지문·기기 PIN으로 사용자를 인증하고, 서비스가 확인할 수 있는 서명을 보낸다. 생체 정보는 기기에 남는다. 이는 에이전트에게 비밀번호를 넘기지 않고 사용자를 인증하지만, 그 자체로 법적 신원을 증명하지는 않는다. 기존 은행 고객은 인증만 필요할 수 있지만 신규 고객이나 제한된 서비스는 신원 또는 자격 확인도 요구할 수 있다.

작업 수행과 사용자의 승인

모델 컨텍스트 프로토콜(MCP)은 은행이 에이전트가 할 수 있는 작업과 요청 방법을 설명하게 한다. 브라우저에서 구조화된 도구를 제공하는 WebMCP를 이용하면 에이전트가 버튼을 추측해 누르는 대신 카드 정지 도구를 호출할 수 있다. API는 직접적인 소프트웨어 인터페이스를 제공하며, MCP는 그 아래에서 API가 처리할 작업을 설명할 수 있다. Agent2Agent(A2A)는 에이전트가 사업자의 에이전트에 작업을 넘기고 진행 상황을 확인하게 하지만, 사용자가 그 작업을 승인했는지는 증명하지 않는다.

도구를 발견하는 것만으로 권한이 생기는 것은 아니다. ‘송금’ 도구를 찾았다고 해서 에이전트가 계좌 잔액을 모두 옮길 수 있는 것은 아니며, 접근 허용 여부는 사업자가 계속 통제한다. 당분간 에이전트는 이용 가능한 수단인 브라우저로 여러 서비스에 접속하고 페이지를 직접 탐색할 수 있다. 이때 예상하지 못한 팝업이 작업을 방해할 수도 있다.

사용자의 의도는 실제 행동의 범위와 맞아야 한다. 휴대전화를 잃어버렸을 때 에이전트에게 카드 정지와 기기 잠금을 요청했다고 해서 잔액 이체나 계좌 정보 변경까지 허용한 것은 아니다. 호텔 예약에서도 사용자는 객실 수, 날짜, 수수료를 포함한 1박 요금 상한과 함께 필요한 조건을 제시할 수 있다. 실제 예약이 이 조건을 따르는지 서비스가 확인해야 한다. 예를 들어 객실 요금이 190달러여도 추가 수수료가 60달러라면 200달러 상한을 넘는다. 결제 서명만으로 호텔에 원하는 체육관이 있는지 증명할 수도 없다.

x401은 서명된 행동 승인도 요청할 수 있다. 사용자가 기기에서 조건을 검토하고 승인하면 서비스는 진행 전에 서명된 응답을 확인한다. 서비스가 지원하는 경우 계정 변경이나 문서 처리에도 적용할 수 있다. 마스터카드의 Verifiable Intent는 사용자의 허가와 에이전트의 구매를 연결하는 서명된 증거를 제공한다. 에이전트의 말만 믿는 대신 서명과 거래가 한도에 맞는지 확인한다.

구글의 AP2는 위임장(mandate)이라고 부르는 구매 및 결제 권한을 연결한다. 판매자는 에이전트가 무엇을 살 수 있는지 확인하고, 결제 제공자는 해당 결제 수단을 그 결제에 쓸 수 있는지 확인한다. 비자의 Intelligent Commerce는 결제 지침과 통제 수단을 제공한다. 사용자가 지침을 인증하면 에이전트가 결제 자격 증명을 요청하고, 비자는 요청과 가맹점의 결제가 지침에 부합하는지 확인한다. TAP가 에이전트를 알아보도록 돕는다면, 이 통제 수단은 결제를 관리한다.

유럽의 강력한 고객 인증(Strong Customer Authentication)은 관련 원격 결제에서 승인을 금액과 수취인에 연결한다는 점에서 참고할 만한 단계별 인증 사례다. 하지만 휴대전화를 잃어버렸을 때 필요한 모든 작업을 포괄하는 보편적 권한을 제공하지는 않는다.

테일러는 소비자가 에이전트의 행동을 통제해야 하지만, 사용자의 지시가 은행을 대신해 은행 서비스 접근을 허가할 수는 없다고 강조한다. 관련 프로토콜은 이미 존재하지만 서로 연결해야 하며, 에이전트는 무엇이 보호됐고 무엇이 여전히 필요한지 사용자가 알 수 있도록 결과를 보고해야 한다. 그는 사용자가 에이전트의 권한 범위를 정하고, 사람과 에이전트 제작자의 신원에 이를 연결하며, 사업자와 은행에 권한을 요청하고 전체 과정을 감사 기록으로 남기는 구상을 제안한다.

다만 권한이 부여된 접근은 비용을 수반할 수 있다. JPMorgan과 Plaid의 데이터 접근 계약에는 이미 가격 책정이 포함돼 있으며, 계약의 세부 사항을 정리하는 데 거의 10년이 걸렸다. 테일러는 은행이 메타에도 더 많은 대가를 요구할 수 있다고 지적한다. 에이전트가 사용자의 지시를 수행하려면 그 권한을 증명할 수 있어야 하고, 은행이 그 과정에서 대가를 받을 수도 있다는 것이 그의 전망이다.