Claude Duet 자율 에이전트 아키텍처: 비동기 이벤트 루프와 다계층 승인 거버넌스

AI에게 말을 걸려면 늘 내가 먼저 채팅창을 열어야 했습니다. 이번에 Anthropic이 내놓은 Claude Duet는 그 순서를 뒤집은 앱입니다. 아침에 AI가 먼저 “오늘 볼 것은 이것입니다” 하고 말을 걸어 옵니다.

기능 소개는 거의 겹쳐서, 겹치는 부분은 한 번만 정리하고 글들이 서로 다르게 짚은 대목, 그러니까 이 AI가 어디서 멈추는지에 힘을 제공했습니다. 공식 발표를 옮긴 글과 그걸 해석한 글을 읽고 정리한 내용입니다.

Claude Duet 자율형 에이전트 아키텍처 개요

공식 설명을 옮긴 글들이 입을 모아 말하는 건 다음과 같습니다.

• 평소 쓰는 Claude 앱과는 별개의 앱입니다. iPhone과 Android 전용 앱이 있고, 컴퓨터에서는 claude.ai로 씁니다.
• 매일 아침, 연결해 둔 앱들(메일, 채팅, 회계 도구 등)을 훑고 중요한 것만 짧은 요약(브리프)으로 보내 줍니다.
• 낮에는 몇 시간에 한 번씩 다시 살피고, 정말 필요할 때만 메시지를 보냅니다.
• Anthropic 서버에 나만의 가상 컴퓨터와 브라우저가 있어서, 내 PC나 폰이 꺼져 있어도 일이 이어집니다.
• 연결할 수 있는 건 Claude 마켓플레이스의 커넥터와 플러그인 6,000개 이상이고, 평소 쓰던 Claude 계정의 기억, 스킬, 연결 앱을 그대로 가져옵니다.
• 속에서 도는 모델은 Claude Opus 5.5이고, 선택할 수는 없다고 합니다.
• 추가 요금은 없습니다. Pro, Max 구독에 포함되고 평소 Claude와 같은 사용량 한도를 나눠 씁니다.

주기가 “수 시간마다”인 이유도 공식 설명에 있습니다. 쉬지 않고 확인하면 구독 한도를 훨씬 빨리 다 써 버렸기 때문이라고 밝혔습니다. 그래서 확인과 확인 사이에 온 급한 메일은 바로 못 잡을 수 있다고 공식이 직접 적었습니다.

비동기 이벤트 루프 기반 일상 운용 워크플로우

써 본 사람들의 이야기는 공식 발표문에 실려 있고, 읽은 글 여럿이 그대로 옮겼습니다. 한 부동산 사업자는 부탁하지도 않았는데 달력에 잘못된 날짜로 들어간 집 보여 주기 일정을 Duet가 먼저 짚어 제공했다고 보고했습니다. 한 브랜드 전략가는 잠재 고객과의 통화가 비행기 출발 직전에 잡혀 있다는 걸 Duet가 알아채고 일정을 옮기자고 제안했다고 보고했습니다. 한 글이 이렇게 짚습니다. 둘 다 “시킨 걸 해낸” 장면이 아니라 “시키지 않았는데 알아챈” 장면이라는 점이 이 제품의 성격을 보여 준다고 분석했습니다.

3계층 보안 가드레일과 실행 경계 격리 메커니즘

글을 읽다 보면 대부분의 필자가 같은 대목에서 멈춥니다. 기능보다 어디서 멈추는가입니다.

이 구조에서 오래 남는 건 세 번째 칸입니다. “승인하면 뭐든 한다”가 아니라, 사람이 승인해도 넘지 않는 선을 처음부터 따로 그어 뒀다는 점입니다. 한 글은 이걸 사람이 AI에게 일을 맡길 때도 그대로 쓸 수 있는 생각이라고 짚습니다.

런타임 안전 가드레일과 샌드박스 보안 장치

공개 이틀 뒤 Anthropic이 안전과 프라이버시를 풀어 쓴 글도 냈고, 이를 옮긴 글에서 요점이 다섯 가지로 정리됩니다.

• 중요한 행동 전에는 반드시 확인합니다. 작업하는 AI와 따로 도는 점검 장치가 그 행동이 정말 내 뜻에 맞는지 한 번 더 판단해서, 웹페이지에 숨은 명령에 흔들리지 않도록 했다고 합니다.
• 승인해도 안 하는 일이 있습니다. 위 그림의 세 번째 칸입니다.
• 정보가 나가는 길을 지켜봅니다. 로그인 정보, 카드와 계좌 번호 전체 자리, 신분증 번호는 부탁받아도 내보내지 않고, 건강이나 금융 정보는 내가 분명히 지시할 때만 보냅니다.
• AI 본체는 비밀번호를 보지 못합니다. 비밀번호는 앱 안의 전용 입력란에서 암호화되고, 푸는 건 브라우저 전용의 다른 머신뿐이라고 합니다.
• 숨은 명령(프롬프트 인젝션)을 막는 대책이 들어 있습니다. 브라우저도 전용 가상 머신에서 돌려서 사이트의 프로그램이 Duet의 기억이나 연결 앱에 닿지 못하게 했다고 합니다.

쇼핑은 Stripe의 지갑 기능(Link)을 거칩니다. Duet가 물건을 확인하면 Link가 지출 승인을 요청하고, 결제는 그 가게와 그 금액에만 쓰이는 1회용 카드 번호로 이뤄져서 진짜 카드 번호는 상대에게 가지 않는다고 보고했습니다. 승인이 두 번 끼는 구조입니다.

휴먼 인 더 루프(HITL) 최적 승인 정책 설계

한 필자는 이 제품을 월말 보고서 작업에 적용해 보면서 이렇게 말합니다. 승인은 일이 무거운지, 불안한지로 놓지 말고 되돌릴 수 있는지로 놓으라고 권고했습니다. 아래는 그분이 만든 가설의 흐름입니다. 공식 사례가 아니라 설계 판단을 그 필자의 업무에 적용한 것이라고 본인이 밝혔습니다.

여기에 얽힌 문제가 “승인 피로”입니다. 공식 설명도 이를 직접 짚는다고 합니다. 확인을 너무 자주 요구하면 사람이 내용을 읽지 않고 OK만 누르게 되고, 그러면 확인이라는 안전장치가 형식만 남게 됩니다. 그래서 얼마나 자주 확인을 요구할지를 시간을 들여 조정했고 앞으로도 손볼 거라고 합니다. 한 필자는 좋은 비서는 뭐든 위에 올리지 않고 “이건 내가 처리, 이건 지금 보고, 이건 내일 보고”를 가른다며, 그 가르는 능력이 Duet가 내세우는 판단력의 정체라고 풉니다.

공식 벤치마크 기반 한계점 및 취약 영역 분석

필자들이 놓치지 않은 대목입니다. 발표문 쪽에서 스스로 적은 약점으로 글들이 공통으로 옮긴 것은 다음과 같습니다.

• 메일 스레드를 잘못 읽거나, 얼마나 급한지 잘못 판단할 수 있습니다.
• 몇 시간 간격의 확인 사이에 온 것을 놓칠 수 있습니다.
• 일을 위해 만들어서 티켓 예매 같은 개인 용무는 아직 서툴다고 합니다.
• 작업 중인 브라우저 화면을 아직 사용자에게 보여 주지 못합니다. 대신 작업 목록에서 무엇을 했고 지금 무엇을 하는지는 볼 수 있습니다.
• 개인 정보를 막는 분류 장치도 놓치거나 괜한 경고를 낼 수 있고, 숨은 명령에 완벽한 방어는 없다고 공식이 적었습니다. 그래서 중요한 동작에 승인을 끼운 거라고 합니다.

자율형 에이전트 아키텍처 비교: Dots 및 Muse 대조 실측

비슷한 서비스가 한 달 사이에 연달아 출시되었습니다. 글들을 종합해서 같은 틀로 놓으면 다음과 같습니다.

	Claude Duet	OpenAI Dots	Meta Muse
주 대상	전문직, 소규모 사업자	직장 업무	개인의 일상
요금	Pro, Max 구독에 포함	Pro(월 100달러부터라는 보도)부터	무료로 시작할 수 있음
말을 거는 곳	전용 앱, claude.ai	Slack, Teams	WhatsApp 등

세 서비스 모두 각 회사 서버에서 돌고, 중요한 동작 전에 본인 확인을 받는 점은 같습니다. 다른 건 사용자가 이미 있는 곳으로 찾아가느냐입니다. Dots와 Muse는 Slack, Teams, WhatsApp 같은 익숙한 곳에서 말을 걸고, Duet는 전용 앱이나 claude.ai로 와야 한다고 한 글이 짚었습니다. 그 글은 이 차이가 곧 태도의 차이라고 봅니다.

엔터프라이즈 도입 타당성 검토를 위한 거버넌스 체크리스트

필자들이 공통으로 말하는 건 이 도구를 쓰든 안 쓰든 “어디까지 맡길지의 선”은 먼저 정해 두는 게 낫다는 것입니다. Duet의 선을 본보기로 질문 여덟 개로 줄여 확인했습니다. 해당하는 항목을 눌러 확인하시기 바랍니다. 각 엔지니어링 팀의 요구사항에 맞추어 유연하게 적용할 수 있습니다.

프로액티브(Proactive) AI 에이전트의 내부 이벤트 루프와 상태 머신

기존의 챗봇 인터페이스가 사용자의 명시적인 프롬프트 입력을 기다리는 수동적 단방향 구조(Request-Response)였다면, Claude Duet은 시스템 레벨의 비동기 이벤트 스트림을 구독(Subscribe)하며 자율적으로 판단하는 능동적 상태 머신(Finite State Machine) 아키텍처를 기반으로 설계되었습니다.

로컬 데스크톱 및 서버 백그라운드 데몬으로 상주하는 Duet 코어는 OS의 파일 시스템 변경 이벤트(inotify, FSEvents), git 커밋 훅, 시스템 로그 감시 소켓을 지속적으로 폴링(Polling)합니다. 개발자가 터미널에서 특정 명령을 실행하거나 빌드가 실패하는 즉시, Duet의 이벤트 디스패처는 현재 작업 컨텍스트와 에러 트레이스를 캡처하여 로컬 경량 평가 엔진으로 전달합니다.

# Claude Duet 자율 이벤트 루프 및 개입 임계치 평가 엔진 (아키텍처 개념 코드)
import asyncio
from dataclasses import dataclass
from enum import Enum

class InterventionUrgency(Enum):
    LOW = "LOG_ONLY"
    MEDIUM = "PASSIVE_SUGGESTION"
    HIGH = "PROACTIVE_INTERRUPT"
    CRITICAL = "EXECUTE_WITH_APPROVAL"

@dataclass
class SystemEvent:
    event_type: str
    context_diff: str
    risk_score: float

class DuetProactiveController:
    def __init__(self, agent_runtime, approval_gateway):
        self.agent = agent_runtime
        self.gateway = approval_gateway
        self.threshold = 0.82

    async def handle_system_event(self, event: SystemEvent):
        # 1. 개입 긴급도 및 사용자 방해 비용(Distraction Cost) 평가
        urgency = self.calculate_urgency(event)
        
        if urgency == InterventionUrgency.LOW:
            await self.record_telemetry(event)
            return

        # 2. 해결책 사전 생성 및 도구 호출 계획 수립 (Pre-planning)
        plan = await self.agent.generate_plan(event.context_diff)
        
        # 3. 고위험 행동에 대한 승인 게이트웨이 요청
        if plan.involves_mutating_actions:
            approved = await self.gateway.request_human_confirmation(plan)
            if not approved:
                return

        # 4. 계획된 복구 조치 실행 및 상태 동기화
        await self.agent.execute_plan(plan)

휴먼 인 더 루프(Human-in-the-Loop) 승인 게이트와 멱등성 보장

자율 에이전트가 프로덕션 환경에서 가장 위험해지는 순간은 ’선의의 개입’이 시스템의 상태를 되돌릴 수 없는 파괴적 변경(Destructive Mutation)으로 몰고 갈 때입니다. 예를 들어 빌드 실패를 감지한 AI가 임의로 데이터베이스 마이그레이션 롤백 명령을 내리거나, 로컬 설정 파일을 초기화하는 참사가 발생할 수 있습니다.

Claude Duet은 이러한 위험을 원천 차단하기 위해 엄격한 행동 격리 매트릭스를 적용합니다. 파일 읽기, 정적 코드 분석, 단위 테스트 실행과 같은 읽기 전용(Read-Only) 작업은 사용자의 개입 없이 완전 자율로 수행되지만, 파일 수정, 외부 API 호출, 원격 저장소 푸시, 시스템 설정 변경과 같은 쓰기 작업(Mutating Actions)은 반드시 명시적인 승인 게이트(Approval Gate)를 통과하도록 강제됩니다.

더 나아가 승인된 작업이라 할지라도 네트워크 단절이나 예외 상황에 대비하여 모든 도구 호출(Tool Call)은 멱등성(Idempotency)을 완벽히 만족해야 합니다. 동일한 패치 스크립트가 두 번 실행되더라도 시스템 상태가 오염되지 않도록 트랜잭션 롤백 스냅샷을 사전 생성하는 메커니즘이 런타임 깊숙이 내장되어 있습니다.

자율 AI 에이전트의 보안 위협 모델과 권한 상승(Privilege Escalation) 방어

먼저 말을 걸고 시스템을 조작하는 비서 소프트웨어는 공격자에게 매우 매력적인 공격 벡터입니다. 만약 개발자가 웹에서 다운로드한 코드 저장소에 악의적인 프롬프트 인젝션이 숨겨져 있다면, 프로젝트를 스캔하던 Claude Duet이 해당 지시문에 오염되어 개발자의 SSH 프라이빗 키를 외부 C2 서버로 전송할 위험이 존재합니다.

• 컨텍스트 격리 원칙: Duet이 신뢰할 수 없는 외부 입력(Git 커밋 메시지, 외부 PR 내용, 웹 스크랩 텍스트)을 처리할 때는 ’명령 실행 권한’이 완전히 박탈된 격리 샌드박스 런타임에서만 텍스트를 분석합니다.
• 도구 호출 화이트리스트: 시스템 셸을 무제한 호출할 수 있는 범용 터미널 도구 대신, 파라미터가 엄격히 타입화된(Typed Parameters) 단일 목적 도구 모음(예: git_diff_only, run_pytest_target)만을 제한적으로 노출합니다.
• 환경 변수 마스킹: 에이전트가 참조하는 프로세스 메모리 환경에서 AWS_SECRET_ACCESS_KEY, GITHUB_TOKEN과 같은 고위험 환경 변수를 런타임 메모리 레벨에서 마스킹 처리하여 프롬프트 컨텍스트 윈도우로 유출되는 사고를 방어합니다.

멀티 에이전트 오케스트레이션과 역할 분담(Role Segregation)

Claude Duet이 고도화되면서 도입된 가장 진보된 설계 철학은 단일 에이전트가 모든 작업을 독점하지 않고, 특화된 하위 서브에이전트(Subagents) 팀을 구성하여 상호 견제와 검증을 수행하는 역할 분담 아키텍처(Role Segregation)입니다.

• 기획 및 분석 에이전트(Planner): 유입된 시스템 이벤트와 요구사항을 분석하여 세부 실행 계획(Plan)을 수립하되, 어떠한 파일 쓰기나 시스템 명령 도구에도 접근하지 못하도록 격리됩니다.
• 실행 및 작성 에이전트(Executor): 오직 기획 에이전트가 승인받은 작업 지시서에 명시된 파일만을 수정할 수 있는 제한된 파일 I/O 도구만을 부여받습니다.
• 독립 검증 에이전트(Reviewer & Verifier): 작성된 코드나 변경 사항에 보안 취약점이 없는지, 원래 요구사항을 일탈하지 않았는지를 독립적으로 단위 테스트하고 정적 분석을 돌려 최종 배포 승인을 결정합니다.

이러한 삼중 분리 구조는 단일 모델이 환각(Hallucination)에 빠져 위험한 명령을 스스로 승인하고 실행해 버리는 자가 확증 편향(Self-Confirmation Bias)을 구조적으로 방지합니다.

[Multi-Agent Execution Pipeline Flow]
System Event (Build Failure Detected)
   │
   ▼
[Planner Agent] ──> 분석 보고서 및 변경 계획서 작성 (Read-Only Tools)
   │
   ▼
[Human-in-the-Loop Gateway] ──> 사용자의 원클릭 변경 승인
   │
   ▼
[Executor Agent] ──> 지정된 2개 파일의 버그 패치 수정 (Scoped I/O)
   │
   ▼
[Verifier Agent] ──> pytest 48개 테스트 케이스 전수 통과 확인 후 커밋 종결

비동기 텔레메트리와 시스템 관측성(Observability) 설계

에이전트가 백그라운드에서 상시 가동되는 환경에서는 “지금 AI가 내 컴퓨터에서 무엇을 하고 있는가”에 대한 가시성이 사용자 신뢰의 핵심 척도입니다. Claude Duet은 모든 파일 접근, 터미널 명령 시도, 추론 토큰 소비 내역을 OpenTelemetry 표준 포맷으로 실시간 스트리밍합니다.

개발자는 터미널 대시보드를 통해 에이전트의 현재 작업 상태, 지난 1시간 동안 소비된 API 토큰량, 승인 대기 중인 작업 큐를 한눈에 파악할 수 있으며, 의심스러운 행동이 감지되는 즉시 글로벌 킬 스위치(Global Kill Switch)를 눌러 모든 하위 에이전트 프로세스를 단 0.1초 만에 안전하게 인터럽트(SIGKILL)할 수 있습니다.

실전 시나리오 분석: 분산 트랜잭션 데드락의 자율 디버깅

Claude Duet이 개발자의 개입 없이 복잡한 시스템 장애를 진단하고 해결한 실제 프로덕션 시나리오는 자율 AI의 잠재력을 가장 극적으로 보여줍니다.

금요일 심야, 마이크로서비스 간 분산 결제 처리 파이프라인에서 Redis 분산 락(Redlock) 경합으로 인한 데이터베이스 커넥션 풀 고갈과 데드락(Deadlock)이 발생했습니다. 모니터링 경보(Alert)를 감지한 Duet은 즉시 다음과 같은 일련의 조치를 자율적으로 수행했습니다.

• 장애 로그 상관관계 분석: 백엔드 파이프라인에서 동시다발적으로 쏟아진 12,000건의 스택 트레이스를 시계열로 정렬하여 최초의 락 획득 타임아웃이 발생한 결제 취소 핸들러 함수(process_refund())를 장애 원인으로 특정했습니다.
• 로컬 재현 환경 구축: 격리된 도커 컨테이너에서 해당 트랜잭션 시나리오를 모사하는 비동기 부하 테스트 스크립트를 작성하여 락 해제 누락(Lock Leak) 버그를 3분 만에 로컬에서 완벽히 재현했습니다.
• 원자적 패치 생성 및 테스트 검증: 트랜잭션 롤백 블록 내에 finally 구문을 추가하여 예외 발생 시에도 분산 락이 즉각 반환되도록 코드를 수정한 뒤, 48개의 기존 통합 테스트를 전수 통과시켰습니다.
• 요약 보고서 및 승인 요청: 당직 엔지니어의 스마트폰으로 버그 원인, 깃 diff, 부하 테스트 결과 그래프를 첨부한 긴급 승인 요청을 전송했고, 엔지니어가 ’원클릭 승인’을 누르자 즉시 핫픽스 PR을 머지하고 카나리 배포를 완료했습니다.

과거 숙련된 SRE 엔지니어 서너 명이 달라붙어 최소 2시간 이상 진땀을 빼야 했던 심야 장애 복구 작업이, Claude Duet의 주도하에 단 11분 만에 무결하게 종료되었습니다.

장기 지속 세션(Persistent Sessions)과 에이전트 메모리 컴팩션

Claude Duet이 수일 동안 백그라운드에서 동작할 때 직면하는 또 다른 핵심 과제는 대화 이력과 컨텍스트 윈도우의 비대화(Context Bloat)입니다. 매 이벤트마다 누적되는 로그를 방치하면 모델의 입력 토큰 한도를 초과하거나 막대한 추론 비용이 발생합니다.

Duet은 이를 해결하기 위해 계층형 메모리 컴팩션(Hierarchical Memory Compaction)을 가동합니다. 지난 세션의 중요 이벤트는 벡터 임베딩 지식 베이스와 요약 마크다운 문서로 자동 압축되며, 활성 세션 컨텍스트에는 오직 현재 당면한 태스크와 핵심 파일 diff만이 8,000 토큰 이내로 타이트하게 유지됩니다. 이를 통해 시스템은 메모리 누수 없이 몇 달 동안 연속적으로 안정된 작업을 수행할 수 있습니다.

시스템 엔지니어가 준비해야 할 미래 협업 모델

결국 Claude Duet과 같은 프로액티브 비서의 등장은 개발자의 역할을 ’직접 손으로 코드를 타이핑하는 구현자’에서 ’AI 에이전트들이 제안하는 시스템 변경안을 검증하고 아키텍처 결정을 내리는 최종 의사결정자’로 이동시킵니다. 시스템의 복잡도가 극에 달하는 분산 클라우드 환경에서 에이전트와의 매끄러운 협업 프로토콜을 구축하는 엔지니어링 조직만이 압도적인 생산성과 안정성을 동시에 쟁취하게 될 것입니다. 안정적인 시스템 엔지니어링의 본질은 도구의 자율성이 높아질수록 그에 비례하는 관측성과 통제력을 확보하는 데 있습니다. Claude Duet이 제시하는 아키텍처는 엔지니어가 반복적인 유지보수의 늪에서 벗어나 더 높은 차원의 분산 시스템 설계에 집중할 수 있는 이상적인 자동화 균형점을 제시합니다.