에이전트 메모리 아키텍처의 세 지층

순수한 언어모델은 토큰을 받아 토큰을 내놓는 함수다. 호출과 호출 사이에 남는 것이 없고, 대화가 이어지는 것처럼 보이는 이유는 매번 이전 내용을 통째로 다시 넣어주기 때문이다. 이 방식은 몇 턴짜리 챗봇에서는 충분했지만, 며칠에 걸쳐 코드베이스를 마이그레이션하거나 수백 번의 도구 호출을 거치는 에이전트에서는 즉시 무너진다.

그래서 2025~2026년을 지나며 메모리는 부가 기능이 아니라 일급 아키텍처 구성요소가 됐다. 이 글은 그 분야를 관통하는 세 개의 축 — 기질(어디에 사는가), 내용(어떤 종류의 정보인가), 연산(무엇을 하는가) — 을 중심으로 정리한다. 세 축은 서로 대체재가 아니라 서로 다른 질문에 답하며, 이 구도 자체가 CoALA(Cognitive Architectures for Language Agents, Princeton/CMU, 2023)와 그 이후 서베이 문헌들이 수렴해 온 결과다.

1. 왜 지금 메모리가 문제인가

세 가지 숫자가 이유를 압축한다.

57% — 2026년 기준 조직의 절반 이상이 에이전트를 프로덕션에 올렸고, 최대 장애 요인으로 품질과 지연이 꼽힌다. 둘 다 인출 품질의 하류 문제다.
25,000 → 7,000토큰 — 풀 컨텍스트 방식이 질의당 25,000토큰 이상을 쓰는 자리에서, 전용 메모리 계층은 7,000토큰 미만으로 비슷하거나 더 나은 정확도를 낸다(Mem0 벤치마크).
40% → 80%+ — 에이전트가 응답 전 메모리를 참조하도록 설계된 경우, 메모리 포이즈닝 공격 성공률이 기준선에서 두 배 이상 뛴다.

수요, 비용, 위험이 동시에 메모리를 향해 몰리고 있다는 뜻이다.

2. 기질 축 — 파라메트릭, 외부, 그리고 지능

에이전트가 무언가를 “기억한다”고 할 때, 그 기억은 세 곳 중 하나에 산다.

층 1 · 파라메트릭 메모리(in-weights). 사전학습·후학습으로 가중치에 암묵적으로 저장된 지식이다. 별도 검색 단계 없이 순전파만으로 접근되며, 즉각적이고 영속적이다. 대신 세 가지 한계가 있다 — 학습이 끝나는 순간 얼어붙는 시간 지연, 근거 없이 그럴듯한 답을 만드는 환각, 그리고 사용자 생일 하나가 가중치 어디에 있는지 특정할 수 없는 선택적 수정 불가능성. 사실 하나를 고치는 데 파인튜닝 한 번이 든다.

층 2 · 외부 메모리(out-of-weights). 벡터 인덱스, 지식 그래프, 관계형 테이블, 평범한 마크다운 파일까지 모두 여기 들어간다. 파라메트릭과 정확히 반대 성질을 갖는다 — 쓰기가 싸고, 눈으로 확인할 수 있고, 지울 수 있고, 출처를 붙일 수 있다. 대신 인출에 지연이 붙고, 인출이 확률적이라 필요한 것이 안 나올 수 있다. 배포된 에이전트 대부분이 파라메트릭이 아니라 비파라메트릭·검사 가능한 저장소를 택하는 이유가 이것이다.

층 3 · 지능(harness). 세 번째 층은 저장소가 아니라 판단이다. 무엇을 기억할지, 언제 인출할지, 무엇을 승격시키고 무엇을 버릴지 결정하는 층이다. 2026년의 중요한 관점 전환은, 에이전트의 지능이 신경망 단독의 속성이 아니라 가중치와 하네스를 합친 시스템 전체의 속성이라는 것이다 — 분산 인지(distributed cognition) 시스템으로 보는 관점이다. 이 관점은 인지적 인공물(cognitive artifact) 이론에 뿌리를 둔다. 장보기 목록은 생물학적 기억 용량을 늘리지 않는다 — 어려운 회상 문제를 쉬운 재인 문제로 바꿀 뿐이다. 좋은 메모리 설계도 같은 논리를 따른다: 모델을 더 똑똑하게 만드는 게 아니라, 지금 가진 능력으로 풀 수 있는 형태로 문제를 다시 쓰는 것이다.

셋 중 무엇을 택할지는 다음 네 기준의 트레이드오프로 정리된다.

기준	가중치 안이 유리	가중치 밖이 유리
갱신 주기	거의 변하지 않는 상식·언어 능력	빠르게 변하는 정보 — 즉시 외부화
신뢰성 대 지연	실행이 빠름	더 신뢰할 만함, 대신 인출·조합 지연
거버넌스·안전	—	고위험 절차는 명시적으로 외부화해 사람이 감사·제약
복잡도	단순하고 직관적인 과제	다단계 워크플로 — 외부 절차 안내가 이득

중요한 것은, 컨텍스트 윈도우가 이 셋 사이의 유일한 통로라는 점이다. 모든 것은 컨텍스트 윈도우를 통과해야 계산에 반영된다. 파라메트릭 메모리는 읽기가 공짜지만 쓰기가 극단적으로 비싸고, 외부 메모리는 쓰기가 싸지만 읽기에 검색이라는 확률적 단계가 낀다. 지능 층은 매 턴 이 비대칭 사이에서 결정을 내린다.

3. 하드웨어 메모리 계층 비유 — 어디서 맞고 어디서 깨지는가

이 아날로지는 은유가 아니라 계보다. MemGPT 논문(2023)이 명시적으로 운영체제의 가상 메모리를 설계 원리로 삼았고, 그 제품화 버전인 Letta는 core / archival / recall 3계층으로 구조화하며 페이징을 전부 LLM 함수 호출로 처리한다. 더 넓게는 컨텍스트를 에이전트의 운영체제로 보는 관점이 자리를 잡았다 — 메모리 관리, 자원 할당, 프로세스 격리, 외부 시스템에 대한 통일된 인터페이스라는 OS의 역할을 컨텍스트 계층이 그대로 수행한다.

하드웨어	에이전트 대응물	비고
CPU 캐시	KV 캐시	런타임 자동, 프리픽스 캐싱. 프로덕션 최대 비용 지렛대
RAM	컨텍스트 윈도우(작업기억)	하네스가 예산 관리·압축. 검색 문제가 아니라 예산 문제
SSD	인덱싱된 메모리 스토어	벡터 인덱스, 시간 지식 그래프. Mem0·Zep·LangMem·A-Mem
HDD	원본 세션 로그	전문 트랜스크립트. 배치 요약으로 상위 계층에 공급
콜드 아카이브	감사 로그	규정 준수, 조회 드묾. EU AI Act 12·13조 대응
(별도 축) ROM·펌웨어	모델 가중치	읽기는 공짜, 쓰기는 재학습 — 속도 사다리 밖에 있음

비유가 개념으로서 깔끔하게 작동하는 이유는 두 가지다. 속도–용량–비용 트레이드오프가 단조롭고, 승급이 자동이며 투명하다는 것 — 프로그래머는 L2 캐시의 존재를 몰라도 올바른 프로그램을 짤 수 있다. 에이전트 메모리에서는 이 두 조건이 모두 성립하지 않는다.

깨지는 지점	하드웨어에서는	에이전트에서는
승급이 자동인가	캐시 승급·축출을 하드웨어가 투명하게 처리	일화기억이 언제 의미기억으로 응고될지가 자동이 아니다. 대부분 명시적 프롬프팅이나 휴리스틱 트리거에 의존한다 — 이 전이 정책이 분야의 핵심 난제다
주소인가 의미인가	주소로 접근. 캐시 미스는 결정론적	의미 유사도로 접근. 인출 실패는 확률적이고, 실패했는지조차 모른 채 그럴듯한 답을 만든다
망각이 있는가	대응물이 없다. 디스크는 지우기 전까지 그대로	망각이 일급 연산이다. 관리하지 않으면 메모리가 선형으로 늘어 인출 지연을 유발한다

작업기억을 검색 문제로 다루는 것은 범주 오류다. 검색할 외부 저장소가 애초에 없다. 압축과 우선순위 결정으로 관리해야 할 컨텍스트 예산 문제다. “컨텍스트 = RAM”이라는 비유만 가져가서 LRU 축출 정책을 그대로 구현했다가, 의미 유사도 인출에서는 최근성이 정답성과 무관하다는 걸 뒤늦게 발견하는 경우가 실무에서 흔하다.

4. CoALA의 네 유형 — 어떤 종류의 정보인가

기질 축과 직교하는 두 번째 축은 내용이다. CoALA는 SOAR 아키텍처와 Tulving(1972)의 인간 기억 분류를 끌어와 에이전트 메모리를 작업 · 일화 · 의미 · 절차 기억으로 나눴다. LangGraph 문서가 이 분류를 그대로 쓰면서 출처로 CoALA를 명시하고, Letta·Mem0·LangChain을 포함한 주요 프레임워크 대부분이 이를 기반으로 삼는다.

유형	저장소	쓰기	읽기	내용
작업기억	컨텍스트 윈도우 (없음)	실행하면 자동	검색 단계 없음	세션 종료 시 소멸
일화기억	로그·벡터 인덱스	로깅으로 자동	유사도 + 최근성	무슨 일이 있었나
의미기억	그래프·사실 테이블	추출·증류 필요	사실 조회	무엇이 참인가
절차기억	스킬 파일·코드	코드 커밋처럼	조건 매칭	어떻게 하는가

작업기억을 나머지 셋과 다르게 그려야 하는 이유는 저장소가 없기 때문이다. 인출할 외부 저장소가 없으므로 압축·우선순위 문제이지 검색 문제가 아니다. 유형마다 인출 로직이 전혀 다른데, 넷을 하나의 검색 파이프라인으로 뭉개는 것이 프로덕션에서 가장 흔한 설계 오류다.

응고(consolidation) — CoALA의 결정적 기여는 유형을 나눈 것이 아니라 유형 사이의 변환에 이름을 붙인 것이다. “사용자가 1월 5일, 1월 12일, 2월 1일에 날짜 형식을 고쳤다”는 일화 기록 세 건은 “사용자는 DD/MM/YYYY를 선호한다”는 의미 레코드 하나로 응고될 수 있다. 원시 로그부터 파라메트릭 메모리까지 이어지는 응고 사다리를 그리면:

원시 로그 --로깅(자동)--> 일화기억 --증류(수동 트리거)--> 의미기억
         --일반화(거의 미성숙)--> 절차기억 --파인튜닝(비용 폭증)--> 파라메트릭

오른쪽으로 갈수록 추상화와 재사용성은 올라가고, 되돌리기와 감사 가능성은 떨어진다. 왼쪽 네 단계는 모두 외부 메모리(층 2) 안에서 일어나는 내용 유형의 변환이고, 마지막 화살표 하나만 기질을 바꾼다. 문제는 응고 대부분이 자동으로 일어나지 않는다는 것 — 현재 시스템 대부분이 명시적 프롬프팅이나 휴리스틱 트리거를 필요로 한다.

이 4분류가 “표준”은 아니다. 2025년 12월 서베이는 사실기억·경험기억· 작업기억 세 축으로의 재편을 제안하고, DeepMind의 2026년 3월 인지 프레임워크는 아예 작업기억을 메모리가 아니라 실행 기능(executive functions) 아래에 배치한다. Letta의 엔지니어는 LLM이 뇌가 아니라 토큰 in–토큰 out 함수이므로 과도한 의인화 비유 자체를 경계해야 한다고 본다. 벤더 용어도 제각각이다 — Amazon Bedrock AgentCore Memory는 procedural에 해당하는 저장소가 아예 없다.

5. 메모리 생애주기 — 여섯 개의 연산

세 번째 축은 기억에 무엇을 하는가다. 서베이들이 공통으로 꼽는 연산은 저장·인출·갱신·압축·망각 다섯이고, 보안 문헌은 여기에 실행과 공유를 더해 쓰기 → 저장 → 인출 → 실행 → 공유 → 망각/롤백 여섯 단계로 프레임한다. 실무 실패가 정확히 이 단계 경계에서 나기 때문에, 이 프레임이 실용적으로 더 유용하다.

단계	핵심 설계 질문	대표 실패	통제 수단
쓰기	모든 발화를 남길 것인가, 추출된 사실만인가	포이즈닝 주입	출처 메타데이터 부착, 저장 전 정제, 민감정보 감사
저장	비정형 텍스트인가, 원자적 사실인가, 그래프 노드인가	테넌시 혼선	사용자·세션 간 격리, 만료·크기 상한
인출	유사도만인가, 최근성·엔티티·키워드를 융합하는가	오염 항목 부상	다중 신호 융합, 시간 유효성 검증, 신뢰도 임계값
실행	인출된 메모리가 도구 선택에 영향을 주는가	도구 하이재킹	특권 실행 경로로 설계
공유	멀티에이전트가 메모리를 공유하는가	교차 오염 전파	네임스페이스 분리, 권한 기반 접근
망각·롤백	무엇을 언제 지우는가, 지웠다는 것을 증명할 수 있는가	삭제 후 복원	예산 인식 망각 정책, 검증 가능한 삭제

정적 RAG와 달리 진화하는 메모리 시스템은 되먹임 고리를 만든다 — 인출한 기억이 다시 쓰기로 이어지고, 그 고리 위에서 오류가 누적된다. 반복 요약을 거치며 사실이 조금씩 왜곡되는 의미 표류, 나쁜 워크플로가 강화되는 절차 표류, 환각과 악의적 주입이 정상 지식으로 내면화되는 경로가 모두 이 고리에서 나온다.

가장 중요한 한 줄은 실행 단계에 있다: 인출된 메모리가 에이전트가 사용할 도구에 영향을 줄 수 있다면, 그것은 특권 실행 경로이며 그렇게 설계되어야 한다. 대부분의 팀이 메모리를 “읽기 전용 참고 자료”로 취급하다가 이 지점에서 사고를 낸다.

6. 작업기억을 다루는 법 — 컨텍스트 엔지니어링

작업기억은 인출 문제가 아니라 예산 문제이므로 별도의 기술 스택이 붙는다. 컨텍스트 엔지니어링의 핵심 규율은, 원하는 결과의 확률을 최대화하는 가장 작은 고신호 토큰 집합을 찾는 것이다. 더 큰 컨텍스트 윈도우를 기다리는 건 답이 아니다 — 2026년 1월 연구는 실효 최대 컨텍스트 윈도우가 광고된 한계와 크게 다르며, 일부 상위 모델이 수백 토큰 수준에서도 실패했고 대부분이 1,000토큰 부근에서 이미 심한 정확도 저하를 보였다고 보고했다.

세 가지 지렛대가 있다.

압축(Compaction) — 컨텍스트 한계에 근접한 대화를 요약해 그 요약으로 새 컨텍스트 윈도우를 시작한다. Claude Code는 아키텍처 결정·미해결 버그·구현 세부는 보존하고, 중복 도구 출력이나 메시지는 버리는 방식으로 구현한다.
컨텍스트 편집(Context editing) — 규칙 기반 가지치기. 임계값을 넘으면 과거 도구 출력을 제거하는 도구 결과 클리어링, 이전 턴의 추론 블록을 지우는 사고 블록 클리어링이 대표적이다.
메모리 도구(Memory tool) — 대화 밖 파일에 상태를 쓰고 읽는다. 압축과 짝지어 쓰는 것이 권장된다 — 압축은 활성 컨텍스트를 작게 유지하고, 메모리는 요약에서 살아남아야 하는 정보를 보존한다.

같은 코드 리뷰 과제(44개 파일 저장소)에서 전략에 따라 컨텍스트 증가 양상이 갈린다. 전략이 없으면 단조 증가하고, 압축은 임계값에서 떨어지는 톱니 패턴을 그리며, 서브에이전트 격리는 호출당 토큰을 상한 안에 묶는다. 무압축이 품질은 가장 좋게 나오지만(중복 재읽기 27%로 최저) 토큰을 2–6배 쓰고 벽시계 시간이 22분 걸린다 — “압축은 품질을 위한 게 아니라 단가를 위한 것”이라는 인식이 여기서 나온다.

압축은 공짜가 아니다. 되돌릴 수 없는 유지·폐기 결정은 실패로 이어질 수 있다. 더 심각한 것은 안전 문제다 — 컨텍스트가 찰 때 일상적인 압축이 안전 관련 지시를 조용히 떨어뜨릴 수 있고, 그 결과 에이전트가 제약 없는 목표 추구로 되돌아간다. 압축 이후 명시적 사용자 제약을 무시하고 파괴적 동작을 실행한 사고 사례가 보고됐다 — 공격자가 필요 없는 실패 양상이며, 에이전트 자신의 메모리 관리 인프라가 정상 동작 하면서 발생하는 창발적 결과라는 점이 특히 불편하다.

실무에서 가장 널리 퍼진 패턴은 놀랍게도 가장 단순하다: 저장소 루트의 평문 마크다운 파일을 세션 시작 시 읽는 것. AGENTS.md와 CLAUDE.md가 대표적이며, 전자는 6만 개 이상의 오픈소스 프로젝트에서 쓰인다. 여기엔 빌드·테스트 방법, 코드 스타일, 그리고 결정적으로 “우리가 하지 않는 것” 목록이 들어간다 — 일부러 제거한 패턴을 에이전트가 명랑하게 재도입하는 것을 막아준다. Manus 팀의 프로덕션 플레이북은 여기서 한 걸음 더 나가 파일 시스템을 궁극의 컨텍스트로 취급하라고 조언한다. 목표 표류를 막기 위해 todo.md를 반복해서 다시 쓰게 하고, 직관에 반하지만 잘못된 시도를 컨텍스트에 남겨둔다(자기 실패를 본 모델은 그것을 덜 반복한다). 가장 놀라운 교훈은 경제적인 것이다 — KV 캐시 적중률이 프로덕션 단계 AI 에이전트에서 가장 중요한 단일 지표이며, 이는 append-only 컨텍스트와 안정적인 프롬프트 접두부를 요구한다.

7. 구현 지형도

분류는 일화·의미·절차 3계층으로 상당히 일관되게 수렴했지만, 어떻게 구현하고 어떤 저장 백엔드를 쓰는지는 프레임워크마다 근본적으로 다르다.

시스템	핵심 아이디어	약점
Letta(MemGPT 제품화)	OS 스타일 3계층(core/archival/recall)과 LLM 주도 페이징	LLM 주도 메모리 연산이 페이징이 일어나는 모든 상호작용에 지연·토큰 비용을 더한다
Mem0	대화에서 사실을 추출해 ADD·UPDATE·DELETE·NOOP로 관리	ADD 전용 구조라 오래된 사실이 덮이지 않고 보존되어, 유사한 이전 사실이 최신 사실과 함께 부상할 수 있다
Zep(Graphiti 엔진)	시간 인식 지식 그래프, 사실·관계의 시간 유효성 명시 유지	그래프 구축이 비싸다. 수집 직후 인출이 실패하고 백그라운드 처리가 끝난 뒤 정답이 나오는 경우가 보고됨
LangGraph(+LangMem)	체크포인팅 기반 영속성. thread-scoped 단기 / cross-thread namespace 장기	메모리 정책은 여전히 직접 짜야 한다 — 무엇을 언제 응고할지는 사용자 몫
A-Mem	제텔카스텐식 자기조직화 노트, LLM 유사도 추론으로 노트 간 링크 생성	링크 생성 비용이 쓰기 경로에 붙고 그래프 품질이 LLM 판단에 좌우됨
Claude Code	선언적 파일 + 5계층 압축 파이프라인	압축 시 첨부 메시지가 폐기되어 실행 상태를 다시 announce해야 하는 등 상태 재구성 로직이 복잡

공통 패턴 셋:

단일 기질이 지배하지 않는다. 내재적 지식·사실에는 파라메트릭, 빠른 단기 추론에는 잠재(latent) 메모리, 확장 가능한 경험 저장에는 외부 메모리를 쓰는 하이브리드로 수렴한다.
메모리 관리 자체를 학습시키려는 흐름. 강화학습으로 add·update ·delete 시점을 스스로 결정하는 서브에이전트를 훈련시키거나 (Memory-R1, PPO), 장기 메모리 이득의 희소 보상을 다루는 접근 (MemAgent, GRPO)이 등장했다.
가장 널리 배포된 것은 가장 단순한 것. 마크다운 파일 기반 메모리가 여전히 가장 많이 쓰인다. “가장 단순하게 작동하는 것을 하라”가 여전히 최선의 조언이라는 것이 프레임워크 제공자들의 공통된 입장이다.

8. 벤치마크를 읽는 법

엄밀한 의미의 메모리 벤치마크로 널리 인용되는 것은 셋뿐이다. 이들은 고정된 입력에 대한 단일 패스 어텐션이 아니라 대화 이력을 가로지르는 다중 세션 연속성을 시험한다 — NIAH·RULER·BABILong 같은 것들은 장문맥 어텐션을 재는 것이지 메모리를 재는 게 아니다.

벤치마크	규모와 구성	재는 것 / 한계
LoCoMo(2024)	10개 장기 대화, 272 세션, 대화당 평균 약 600턴	가장 널리 보고되는 숫자. 규모가 작아 공격적 인출 전략만으로도 점수가 크게 오를 수 있다
LongMemEval	500문항 6범주, S 설정 대화당 약 115,000토큰	더 길고 어렵다. 시간 이해와 정보 변경 처리를 명시적으로 시험
BEAM(2026)	100만·1000만 토큰 스케일	점수가 낮게 나오는 게 설계 의도 — 어떤 아키텍처도 포화시키지 못하게 만들어졌다

벤치마크 전쟁 사례. Mem0가 LoCoMo에서 SOTA를 주장하자 Zep은 자사 시스템이 잘못 구성된 채 평가됐다며 반박했고, 올바르게 구현하면 LoCoMo 점수가 65.99%가 아니라 75.14%라고 제시했다. 반대로 Mem0 논문은 Zep의 메모리 풋프린트가 대화당 60만 토큰을 넘는다고 보고했다(Mem0는 1,764). 어느 쪽이 옳은지가 요점이 아니다 — 벤더가 한 벤치마크의 숫자만 공개할 때는 왜 그런지 물어야 한다는 게 요점이다.

실무자에게 가장 유용한 조언: 정확도 숫자는 반드시 토큰 비용과 짝지어 읽고, 단일세션 점수는 다중세션 점수와 짝지어 읽는다. Precision@k와 nDCG 같은 고전 인출 지표는 올바른 문서가 인출됐는지는 알려주지만, 에이전트가 그걸 제대로 썼는지, 인출 자체가 지연 비용을 감수할 만했는지는 말해주지 않는다. 2026년 2월 AMA-Bench의 헤드라인 결론은 모든 과제 유형에서 이기는 단일 메모리 아키텍처는 없다는 것 — 대부분의 프로덕션 에이전트가 계층적 접근을 필요로 한다는 뜻이다.

작은 단일 도메인 에이전트를 위한 합격선은 의외로 단순하다: 대화 요약 버퍼 + 정형 장기 사실용 SQL 테이블 하나 + 인프로세스 벡터 라이브러리. 업그레이드 신호는 항목 수가 아니라 증상으로 판단한다 — 버퍼 요약이 사실을 잃기 시작하거나, 인출 품질이 눈에 띄게 나빠지거나, 프레임워크가 감당 못 하는 세션 간 신원 요구가 생길 때다.

9. 보안과 거버넌스

쓰기 가능한 영속 메모리는 그 자체로 독립적인 보안 문제다. 상태 없는 챗봇은 그 자리에서 정정할 수 있지만, 메모리를 가진 에이전트는 오염된 맥락을 이후 세션으로 실어 나른다.

OWASP는 2026년판 Agentic Applications Top 10에서 이를 ASI06 — Memory & Context Poisoning으로 분류했다. 데이터 포이즈닝의 에이전트 판본이지만, 결과가 학습 시점이 아니라 런타임에 나타난다는 점이 다르다. 진입점은 셋이다.

명시적 선호 쓰기 — “이걸 내 영구 선호로 저장해”라는 요청을 시스템이 그대로 따른다.
암묵적 요약 — 에이전트가 대화를 요약하면서 공격자가 통제한 표현을 장기 메모리에 구워 넣는다.
RAG 캐시 — 오염된 문서가 색인되어, 이후 세션에서 에이전트가 근거로 삼는 영속적 사실이 된다.

응답 전 메모리를 참조하도록 설계된 에이전트에서 공격 성공률이 기준선 40%에서 80% 이상으로 뛴다. 2026년 초 보안 연구는 테스트된 에이전트의 90% 이상이 취약했고, 대화 중 정정으로 문제를 고치려 했을 때 재발률이 100%였다고 보고했다.

공격자가 없어도 일어나는 실패가 오히려 더 흔하다 — 반복 요약을 거치며 사실이 왜곡되는 의미 표류, 차선의 워크플로가 강화되는 절차 표류, 환각을 유효한 지식으로 내면화하는 경로. 여기에 앞서 본 압축 시 안전 제약 소실이 더해진다. 안전 메커니즘은 컨텍스트 길이가 늘수록 불안정해져, 10만 토큰 이상에서 거부율이 30–70%까지 흔들린다는 보고가 있다.

거버넌스는 이제 선택이 아니다. EU AI Act 12조는 고위험 시스템에 대해 수명 전체에 걸친 자동 이벤트 로깅과 추적성을 요구하고, 13조는 배포자가 출력을 해석할 수 있을 만한 투명성을 요구한다 — 2026년 8월 2일부터 집행 가능해졌다. 출처 추적성 없이 최근성 순위 임베딩만 저장하는 메모리 계층은 이 조항들 아래에서 규정 미준수 인프라다. GDPR도 직접적이다 — 사용자는 에이전트가 자신에 대해 무엇을 기억하는지 접근할 권리(15조), 부정확한 기억의 정정을 요구할 권리(16조), 삭제를 요구할 권리(17조, 잊힐 권리)를 갖는다. 특정 사용자의 메모리를 열거·내보내기· 삭제할 수 있는 능력이 이제 기능 요구사항이다.

최소 통제 목록:

사용자별 메모리 격리
쓰기 전 입력 검증 — 저장 전 정제, 길이 제한, 민감정보 감사
모든 쓰기에 출처 메타데이터 — 어디서 왔는지, 어떻게 쓰였는지, 언제 재사용되는지, 누가 취소할 수 있는지
만료와 크기 상한, 의도된 망각 창
역할 기반 메모리 분리 — 시스템 규칙과 사용자 선호를 분리
장기 메모리 무결성 검사

단, 임계값 조정은 만만치 않다. 너무 공격적이면 정상 메모리를 차단해 유용성이 떨어지고, 너무 관대하면 미묘한 공격이 통과한다. 보편적 임계값은 없고 위험 감수 수준과 용례에 전적으로 달렸다. 연구 쪽은 이 문제를 기억 주권(mnemonic sovereignty)이라는 규범 개념으로 정리한다 — 무엇이 쓰일 수 있고, 누가 읽을 수 있고, 언제 갱신이 승인되며, 어떤 상태가 감사 가능해야 하는지에 대한 검증 가능하고 복구 가능한 통치. 다중 주체가 메모리를 공유하는 설정에서는 현재 에이전트 설계가 유용성·접근 통제·능동적 망각을 동시에 만족시키지 못한다는 것이 벤치마크로 확인됐다.

10. 설계 결정과 남은 난제

실무로 옮길 때 1주차에 내려야 하는 결정은 사실 두 개뿐이다.

결정 1 · 분류 — 에이전트가 무엇을 기억해야 하는가. 세 유형 모두가 필요한 것은 아니다. 범위를 정의하지 않으면 추출 파이프라인이 과잉 수집하고, 인출은 잡음을 반환하며, 컨텍스트 윈도우가 무관한 기억으로 채워진다.
결정 2 · 경계 — 컨텍스트 윈도우와 영속 저장소 사이의 경계가 어디인가. 티어 1은 최근 턴 + 현재 스크래치패드 + 관련 인출 기억 5~10개, 티어 2는 나머지 전부이며 필요할 때 티어 1에 공급한다.

층별 배치는 다음 체크리스트로 정리된다.

이 정보는…	어디에	이유
거의 변하지 않고 모든 사용자에게 같다	파라메트릭	이미 가중치에 있다. 다시 넣지 마라
모든 세션에서 반드시 참이어야 하는 규칙	항상 로드	파일로 두고 매번 컨텍스트에 넣는다. 인출에 맡기지 않는다
사용자·프로젝트마다 다르고 자주 갱신된다	의미기억	구조화해 저장하고 사실 조회로 인출
언제 무슨 일이 있었는지가 중요하다	일화기억	타임스탬프·출처를 붙여 로깅. 시간 유효성 관리 필요
반복되는 작업 절차다	절차기억	런타임 갱신이 아니라 설정 변경으로. 코드 커밋과 같은 리뷰 절차를 거쳐야 한다
규제·감사 때문에 보관해야 한다	콜드 아카이브	인출 대상에서 분리. 출처와 결정 시점 스냅샷 보존

열려 있는 난제는 다섯이다.

전이 정책 — 일화가 언제 의미로 승격되고, 의미가 언제 특정 과제를 위해 작업기억으로 다시 인스턴스화되는가. 이 분야의 핵심 미해결 문제이며, 현재는 거의 전부 수동 트리거다.
세션 간 신원과 시간 추상화 — 같은 사람·엔티티임을 세션과 채널을 가로질러 안정적으로 묶는 문제, 대규모에서의 시간 추상화.
절차기억 도구의 미성숙 — 업계 보고서 표현으로도 아직 초기 단계다. 역설적으로 그렇기 때문에 의도적으로 설계할 가치가 가장 크다 — 성능이 복리로 쌓이는 곳인데 기성품이 가장 적다.
인출 이후의 인식론 — 저장된 두 기억이 모순될 때 무엇이 이기는가. 기억이 진부해졌을 때(이직, 이사, 선호 변경) 시스템이 이를 감지하고 감쇠시키는가. 현재 벤치마크는 인출 계층만 재고 이 층위는 재지 않는다.
망각의 검증 — 지웠다는 것을 증명하는 문제. 기본적 인가에서 검증 가능한 망각으로 올라갈수록 배포 성숙도가 급격히 떨어진다.

한 문장으로 정리하면: 무엇을 저장할지, 언제 인출할지, 어떻게 갱신할지, 무엇을 버릴지에 대한 결정은 전부 아키텍처 결정이며, 기본값으로는 올바르게 내려지지 않는다.

References

Sumers, T., Yao, S., Narasimhan, K., & Griffiths, T. (2023). Cognitive Architectures for Language Agents (CoALA). arXiv:2309.02427
Packer, C., Wooders, S., Lin, K., Fang, V., Patil, S. G., Stoica, I., & Gonzalez, J. E. (2023). MemGPT: Towards LLMs as Operating Systems. arXiv:2310.08560
Chhikara, P., et al. (2025). Mem0: Building Production-Ready AI Agents with Scalable Long-Term Memory. arXiv:2504.19413
Rasmussen, P., et al. (2025). Zep: A Temporal Knowledge Graph Architecture for Agent Memory. arXiv:2501.13956
Xu, W., et al. A-Mem: Agentic Memory for LLM Agents. arXiv:2502.12110
Maharana, A., et al. (2024). LoCoMo: Evaluating Very Long-Term Conversational Memory of LLM Agents. arXiv:2402.17753
LongMemEval: Benchmarking Chat Assistants on Long-Term Interactive Memory. arXiv:2410.10813
OWASP GenAI Security Project. OWASP Top 10 for Agentic Applications (2026) — ASI06, Memory & Context Poisoning. genai.owasp.org
Anthropic Engineering. Effective context engineering for AI agents. anthropic.com
A Survey on the Security of Long-Term Memory in LLM Agents: Toward Mnemonic Sovereignty (2026-04). arXiv:2604.16548
그 외 CoALA 이후의 분류 재편 서베이(Memory in the Age of AI Agents, arXiv:2512.13564), 벤치마크 재평가 논쟁(Zep vs. Mem0), Google DeepMind의 2026년 3월 인지 프레임워크 등, 총 42건의 참조 문헌을 종합한 개인 강의 노트를 바탕으로 정리했다.