SAFE RFC: OSAA의 항공 방식 AI 인시던트 교환은 공개 초안일 뿐, 아직 시스템은 아닙니다

2026년 8월 4일, 라스베이거스에서 Black Hat USA가 개막하면서 Linux Foundation은 Shared AI Findings Exchange(SAFE) Working Group을 위한 의견 요청서(Request for Comments)를 발표했습니다. 이는 조직이 AI 보안 사고와 아차사고를 기밀 공유 채널에 보고하고, 이를 공동으로 학습하며, 실패한 원인에서 도출한 방어 제어를 게시하자는 제안입니다. 초기 초안은 Cisco, CrowdStrike, Hugging Face, NVIDIA, Red Hat을 비롯한 얼라이언스 회원들의 기여자들이 개발했으며, Linux Foundation은 발표에서 밝혔습니다. 같은 날 Open Secure AI Alliance의 GitHub 저장소를 통해 커뮤니티 검토를 위해 공개되었습니다. 이 항목은 피해를 설명하지 않습니다. 이는 정책 기록으로, 아카이브에 정보 수준의 심각도 등급과 A 신뢰도 등급이 부여되어 보관되었으며, 그 주제는 사건이 아니라 프로세스입니다. 기록의 심각도 등급, 신뢰도 평가 및 출처 목록은 AI 사건 아카이브에 있으며, 주변에 등록된 항목들과 나란히 있습니다.

초안은 회원들에게 네 가지 사항을 보고하고 그 이유는 무시할 것을 요구한다.

8월 문서는 수사적 표현이 적고 트리거에 관해 구체적입니다. "Reporting Compact"라는 제목 아래에서 이 문서는 회원들에게, 회원 자격의 조건으로서, 자신이 운영하는 AI 시스템이 다음 네 가지 중 하나를 했다는 사실을 알게 되거나 합리적으로 의심하게 되면 해당 사건을 보고하는 데 동의할 것을 요청합니다: 승인 없이 제3자 시스템에 접근, 악용, 중단, 오용 또는 수정한 경우; 샌드박스, 네트워크, 아이덴티티, 정책 또는 도구 경계를 탈출하거나 우회하여 제3자에게 영향을 초래한 경우; 소유자의 동의 없이 제3자 기밀 정보에 접근한 경우; 또는 운영자가 해당 활동이 비승인되었거나 승인된 범위를 벗어났다고 알았거나 합리적으로 의심한 후에도 프로덕션 타깃을 계속 탐색, 접근 또는 수정한 경우.

그다음으로 가장 큰 역할을 하는 문장이 나옵니다: “의도는 사건이 보고 대상인지 여부를 결정하지 않는다. 환경이 시뮬레이션되었다고 믿는 것은 사건을 설명할 수는 있어도, 이를 보고할 의무를 없애지는 않는다.” 이 조항은 시스템이 운영자가 밀폐된 테스트 환경이라고 믿는 곳에서 실행 중이며 실제 인프라를 훈련의 일부로 취급하는 경우를 겨냥한 것으로 읽힙니다: 환경에 대한 운영자의 믿음은 그 사건을 설명할 수는 있지만 보고 의무를 없애지는 않습니다. 이 초안은 또한 회원들에게 확정된 피해를 초래한 사건뿐 아니라 아차사고도 보고하고, 30일 이내에 예비 통제 실패 분석을 제출할 것을 요청합니다.

시간 기준: 즉시, 72시간, 4영업일, 90일

초안의 통지 표는 그 안에서 가장 구체적인 부분이며, 첫 번째 행은 전혀 기한이 아니다. 직접 영향을 받는 조직에는 즉시 알려야 한다. 모든 기한은 회원이 신고 대상 사건이라고 의심할 합리적 근거를 제공하는 사실을 인지한 순간부터 기산되며, 조사가 종료된 순간부터 기산되지 않는다. 아래 표는 8월 4일 초안에서 그대로 재현한 것이며, 10월 개정본도 동일한 주기를 유지한다.

해당 행 중 세 개는 다른 사람들에게 알리는 것에 관한 것이고, 네 개는 SAFE 자체에 알리는 것에 관한 것입니다. 이 구분이 중요한 이유는 이 프레임워크가 명시적으로 공개 체제가 아니기 때문입니다. 초안은 "이 일정은 영향을 받는 당사자에게 알려야 하는 공급업체의 의무, 기존 Coordinated Vulnerability Disclosure 모범 사례를 통해 고객에게 알려야 하는 의무, 또는 규제 기관이나 법 집행 기관에 알려야 하는 적용 가능한 계약 및 기타 법적 의무를 대체하지 않습니다."라고 말합니다. SAFE가 추가하는 것은 규제 기관이 아닌 기구에 대한 병행 의무와, 마지막 계층인 공공 안전 보고서만 광범위하게 공유할 수 있도록 의도된 3계층 공개 모델입니다.

8월에는 제어 계층이 8개, 10월에는 11개

리뷰는 모델 단독이 아니라 운영 스택을 중심으로 구성된다. 8월 초안은 여덟 개 계층을 나열하고 각 계층에 한 가지 질문을 던졌다. 모델이 불확실성과 정지 조건을 인식했는가; 권한 부여와 환경 가정이 명시적이었는가; 분류기, 승인, 행동 한도가 작동했는가; 자격 증명, 권한, 실행이 제한되었는가; 격리와 데이터 경계가 독립적으로 검증되었는가; 운영자가 실시간으로 탐지하고 중단할 수 있었는가; 에스컬레이션 경로와 킬 절차가 명확했는가; 클라우드, 평가, 데이터 또는 도구 파트너가 가정된 통제를 무효화했는가.

2026년 10월 21일자로 작성되어 다음 날 저장소에 커밋된 10월 개정판은 세 가지 계층을 추가한다. 서빙 경로, 커밋 순간의 승인, 그리고 일련의 작업 전반에 걸친 워크플로 구성이 그것이다. 또한 이 개정판은 검토를 통과, 실패, 증거 불충분, 해당 없음이라는 네 가지 허용 응답을 갖춘 등급 평가로 바꾸고, 변경 로그에 이 발견들이 일반적인 시스템 안전성이나 법적 준수를 입증하지는 않는다고 명시한다. 이 발전 과정은 저자들이 무엇을 걱정하게 되었는지를 보여주는 설명으로서 읽을 만하다. 즉, 모델이 올바르게 행동했는지가 아니라, 응답한 모델이 구성된 바로 그 모델이었는지, 작업이 반영되는 순간에도 권한이 여전히 존재했는지, 그리고 전체 시퀀스가 이를 시작한 범위 안에 머물렀는지이다.

항공, 그런데 항공의 어느 분야인가요?

이 기록물 자체의 프레이밍, 즉 NASA의 항공안전보고시스템을 모델로 한 시스템은 초안이 아니라 Linux Foundation의 발표를 따른다. 발표는 ASRS를 "업계가 배우고 개선할 수 있는 방식으로 비행 사고를 분석하고 대응하도록 설계된 자발적이고 기밀인 보고 시스템"이라고 설명한다. 8월 초안과 10월 개정안 모두 ASRS를 어디에도 명시하지 않는다. 초안은 단지 SAFE가 "기밀 안전 보고 시스템의 가장 강력한 특징을 채택해야 한다"고만 말한다. 이는 실질적인 결과를 수반하는 작은 차이이다. 즉, 발표는 문서가 아직 확약하지 않은 기대를 갖게 한다.

RFC 프로세스 자체 내부에서도 이 유추에 대한 논평이 나왔다. 8월 5일 개인 자격으로 글을 쓴 한 기여자가 개설한 초기 풀 리퀘스트는 "ASRS 유추에는 빠져 있는 제도적 요소가 있다"고 주장한다. 즉, ASRS가 상당 부분 작동하는 이유는 보고서가 NASA, 곧 "규제 기능이 없고 상업적이지도 않은 공공 제3자—규제 기관으로서의 FAA도, 운항이 보고되는 항공사도 아닌—"에 의해 접수·처리·익명화되기 때문이라는 것이다. 1998년 인터넷 거버넌스 프로세스도 참고한 이 풀 리퀘스트는 10월 30일까지 열린 상태로 남아 있었다. SAFE의 운영자가 NASA의 역할을 맡을 수 있는지는 확정된 기능이라기보다 미해결된 설계 질문이다. 10월판 문서는 워킹 그룹을 동맹 자체의 거버넌스 아래에 두고, 이해충돌 공개, 회피, 그리고 동맹 운영위원회로의 항소 경로를 규정하고 있다.

독립적인 보도는 두 번째의, 더 좁은 구분을 제시했다. 인포시큐리티 매거진은 8월 6일 보도에서 리눅스 재단의 게시물이 AI 에이전트를 특정적으로 언급하지 않는다는 점을 지적했다 — 에이전트적 프레이밍은 엔비디아의 동반 게시물에 속하며, 이 게시물은 "AI 에이전트는 단지 모델이 아니다. 그것은 시스템이다"라고 주장하고, 얼라이언스 회원들이 기여한 하네스, 샌드박스, 가드레일, 평가 도구를 나열한다. 초안의 트리거는 문자 그대로 읽으면 승인 범위를 벗어나 행동하는 시스템에 관한 것이고, 발표의 피치는 문자 그대로 읽으면 에이전트에 관한 것이다.

비용을 누가 부담하는지에 대해 댓글 작성자들이 말한 내용

작성된 그대로의 초안에 대한 가장 구체적인 공개 반대 중 하나는 외부 비평가가 아니라 해당 연합의 창립 멤버에게서 나왔다. Avondale.AI의 창립자 겸 최고기술책임자인 Stephen Sargent는 8월 7일 이메일로 입장문을 제출했는데, 문서에 따르면 이는 Linux Foundation 법무팀이 이를 확인했다고 기록한 날이며, 그는 8월 9일 이를 공개했다. 그는 미션에 대한 지지를 표명하며 글을 시작한 뒤, 이 협약이 조직 규모에 따라 확장되지 않는다고 주장한다. "이 RFC는 직원 5만 명을 둔 조직과 작은 팀을 구분하지 않는다." 그의 평가에 따르면, 4영업일 내 보고에 보존된 포렌식 번들을 더하면 작은 운영자가 감당할 수 있는 것보다 더 많은 인력 시간이 소모될 수 있다. 이에 대한 그의 권고는 계층형 프레임워크로, 규모 기준 미만에서는 기밀 보고와 지연 또는 익명화된 공개를 기본값으로 삼는 것이다.

두 번째 반론은 기한이 아니라 공개에 관한 것이다. 그는 소규모 운영자에게 "공개 자체가 하나의 집행 방식"이라고 주장하는데, 대기업의 보고서는 각주에 불과하지만 작은 기업의 보고서는 헤드라인이 되기 때문이며, 규모 기준 이하에서는 비식별 보고를 기본값으로 해 달라고 요청한다. 세 번째는 시계가 아니라 검토 체계에 관한 것이다. 8계층 모델은 분리된 기업 팀을 가정하므로, 1인 운영 환경에서는 "운영자가 모든 것을 한다"며 누락된 계층이 단지 다른 운영 모델일 뿐인데도 통제 실패로 읽힌다. 그의 네 번째는 "최소 상호운용성 및 보증 관행"이라는 문구에 관한 것으로, 그는 이를 자발적 보고에서 사실상 강제적인 도구로 이어지는 경로로 읽는다. 이 입장문은 한 회원의 견해이며 해당 회원이 발행했다. 리눅스 재단의 8월 4일 발표는 이보다 앞서며 이 질문을 다루지 않는다. 이후 10월 5일에 열려 10월 30일 현재까지 열려 있는 풀 리퀘스트는 보안 운영 센터가 없는 운영자를 위한 증거 템플릿을 제안한다. 이는 우려가 받아들여졌음을 인정하는 것이며, 채택된 수정이라기보다 후보에 해당하고, 작성자는 이 제안이 "SAFE 도입이나 법적 충분성을 확립하지 않는다"고 밝힌다.

8월 4일과 10월 30일 사이에 무엇이 바뀌었나요?

저장소의 이력은 RFC가 실제로 산출한 내용에 관해 이용 가능한 가장 좋은 기록이며, 뉴스 보도가 시사하는 것보다 더 읽기 쉽다. 첫 커밋은 8월 3일에 올라왔고, 초안과 확장된 readme는 8월 4일 UTC 00:14와 00:19에 커밋되었다. 이후 저장소는 10주 동안 잠잠했다. 10월 14일 얼라이언스는 헌장과 멤버 파일을 추가하고 readme를 다시 작성해 저장소를 SAFE 워킹 그룹의 홈으로 만들었다. 그날 임시 의장으로 NVIDIA의 Paul DiOrio와 Red Hat의 Josh Boyer가 기록되었다. 10월 21일 워킹 그룹은 SAFE v1을 발표했으며, 변경 로그의 첫 항목은 해당 텍스트가 "SAFE의 설명에서 'proposed'를 제거"하고 SAFE를 확립된 얼라이언스 워킹 그룹으로 규정한다는 내용이다.

그 상태에 관해 분리해서 볼 만한 두 가지가 있다. 저장소의 readme에는 이제 "상태: 승인됨 — 운영 위원회에서 승인함"이라는 줄이 실려 있는데, 이는 공개 기록에서 비준 선언에 가장 가까운 것이다. 같은 저장소의 charter에는 여전히 "개발 중. SAFE charter는 운영 위원회에서 승인되면 여기에 게시됩니다."라고 적혀 있다. 변경 로그는 10월 텍스트를 "SAFE v1"이라고 표기하고 무엇이 바뀌는지 설명하지만, 누가, 어떤 투표로, 어느 날짜에 비준했는지는 말하지 않는다. SAFE가 이제 승인된 명세인지, 아니면 관리 charter가 아직 작성되지 않은 워킹 그룹인지 알고 싶어 하는 독자는 문서들에서 명확한 답을 얻지 못할 것이다.

무엇이 확립되었고, 무엇이 그렇지 않은가

• 설립: Shared AI Findings Exchange를 위한 Request for Comments가 2026년 8월 4일에 공개되었다. Linux Foundation은 그날을 발표 날짜로 명시했으며, 여기에 기여자로 이름을 올린 조직은 Cisco, CrowdStrike, Hugging Face, NVIDIA, Red Hat이고, 이들은 "Open Secure AI Alliance의 다른 구성원"과 함께 명시되었다.

• 확립된 사항: 초안에는 네 가지 트리거를 갖춘 보고 협약, 즉시부터 90일까지 이어지는 통지 표, 증거 보존 목록, 계층형 검토 체계, 그리고 3단계 공개 모델이 포함됩니다. 전체 텍스트는 저장소에 공개되어 있으며 그 이력도 함께 공개됩니다.

• 출처 명시에 한해서만 확인됨: 동맹의 규모, 즉 "120개 이상의 조직"이라는 수치는 NVIDIA 자체가 제시한 수치로, 8월 6일 Infosecurity Magazine의 보도에서도 그대로 인용되었다. 검토된 어느 보도에서도 독립적인 회원 명부 감사를 확인할 수 없으며, 저장소의 members 파일에는 120개 조직이 아니라 기여자 두 명과 임시 의장 두 명이 기재되어 있다.

• 확인되지 않음: 누구라도 이 협약에 따라 보고서를 제출했다는 사실. 10월 30일의 공개 기록에는 커밋, 풀 리퀘스트, 이슈가 나올 뿐, 사건 보고서, 파일럿, 첫 사례, 의견 제출 마감일, 투표 규칙, 비준 날짜는 나오지 않습니다. 이 프레임워크는 회원이 가입 조건으로 "동의하는" 의무를 서술하는데, 이는 아직 누구도 이행하지 않은 의무와는 같지 않습니다.

• 쟁점: 중립적인 공공 운영자가 없을 때 ASRS 비교가 성립하는지(공개 풀 리퀘스트에서 반론이 제기됨); 보고 부담이 소규모 운영자에게 비례하는지(창립 멤버의 입장 성명에서 반론이 제기됨); 그리고 프레임워크에서 에이전트 특화 부분과 일반 AI 보안 부분이 각각 얼마만큼인지(Linux Foundation의 문서와 NVIDIA의 문서가 다르게 긋는 구분).

그중 어느 것도 기록을 틀린 것으로 만들지는 않으며, 그 아카이브의 A 등급은 그 자체의 기준으로는 방어할 수 있습니다. 1차 문서들은 무엇이, 언제, 누구에 의해 발표되었는지에 관해 서로 일치하고, 초안은 전체를 읽을 수 있습니다. 그 등급이 전달할 수 없는 것은 독자가 가장 원하는 것, 즉 그 메커니즘이 작동하는지 여부입니다. 그 점에 대해서는 어느 쪽으로도 증거가 없습니다. 그 메커니즘이 아직 사례를 맞닥뜨린 적이 없기 때문입니다.