Ed25519 서명 기반 AI Commit Provenance 계층 설계

Who actually wrote that commit... you, or your AI agent?

SSX3602026년 6월 21일4분intermediate

AI 요약

Context

AI Agent 도입으로 인한 커밋 작성 주체 식별 불가 문제 발생. 기존 Git History의 Author 정보만으로는 실제 코드 생성 주체(Human vs AI)를 구분할 수 없는 감사 추적 및 Compliance 공백 존재.

Ed25519 알고리즘 기반의 Signed JSON Envelope를 커밋에 부착하여 무결성 보장
Byte-for-byte 재현성을 위해 키 정렬, ASCII 이스케이프, UTF-8 바이트 고정을 포함한 Strict Canonicalization 적용
SHA-256(public_key)의 상위 8자리 헥스값을 활용한 MS-XXXX-XXXX 형식의 고유 Device ID 체계 구축
중앙 서버 없는 오프라인 검증 구조를 통해 신뢰 체인(Trust Chain)의 단일 장애점 제거
Git Hook 및 GitHub Action을 통한 PR 머지 전 단계의 자동화된 Provenance 검증 파이프라인 구성
Software-emulated Key(L1)에서 Hardware-backed Secure Element(SE050)로 이어지는 단계적 신뢰 수준 확장 설계

실천 포인트

1. AI 생성 코드의 책임 추적성을 위해 커밋 단계의 Provenance 레이어 도입 검토

2. 서명 데이터의 일관성을 위해 정교한 Canonicalization 규칙 정의 및 적용

3. CI/CD 파이프라인 내에 서명 검증 단계를 추가하여 비인증 커밋의 머지 차단 설정

4. 보안 요구 수준에 따라 소프트웨어 키에서 하드웨어 보안 모듈(HSM/SE)로의 마이그레이션 계획 수립

태그