작은 AI가 막힐 때 큰 AI에게 넘기고 계속 지켜보는 LEASH

배경과 문제

컴퓨터 사용 에이전트(CUA)는 자연어 지시와 화면 이미지를 보고 마우스 클릭, 키보드 입력 같은 실행 가능한 행동을 만들어내는 시스템이다. 이런 에이전트는 점점 더 복잡하고 오래 걸리는 작업에 투입되는데, 평균 한 시간이 넘는 작업도 있다. 최신 대형 모델은 성능이 뛰어나지만 모든 단계에서 대형 모델을 호출하면 비용이 크게 늘어난다. 반대로 작은 오픈소스 모델만 쓰면 간단한 작업에서도 실패하는 경우가 많아, 정확도와 비용 사이에 근본적인 상충이 생긴다.

이 상충을 완화하기 위해 약한 모델이 기본 실행을 맡고 필요할 때만 강한 모델로 제어를 넘기는 '약-강 에스컬레이션(weak-to-strong escalation)'이 제안되었다. 여기서 두 가지 질문이 중요하다. 첫째, 언제 약한 모델이 강한 모델로 넘겨야 하는가? 둘째, 넘긴 뒤에는 누가 강한 모델을 감시하는가? 기존 연구는 주로 첫 번째 질문에 집중했지만, 두 번째 질문은 종종 간과된다. 강한 모델도 반복적인 행동 루프에 빠지거나 여러 단계의 상호작용에서 길을 잃을 수 있기 때문이다.

기존 접근의 한계

기존의 약-강 에스컬레이션 연구는 약한 모델의 실패 위험을 추정해 인계 시점을 결정한다. 어떤 방법은 별도의 모니터링 에이전트를 두어 각 단계를 검증하는데, 이는 무거운 모델을 단계마다 추가로 실행해야 하므로 비용이 크게 늘어난다. 다른 방법은 주석이 달린 궤적 데이터로 추가 모니터 모듈을 훈련하는데, 이는 데이터 수집과 훈련 단계가 필요해 실제 환경에 바로 적용하기 어렵다.

훈련 없이 불확실성을 추정하는 방법도 있지만, 외부 지식 베이스나 별도의 참조 모델, 또는 각 단계에서 여러 번 샘플링하는 방식에 의존한다. 이런 방법은 긴 작업에서 매 단계마다 반복 생성하거나 추가 모델을 호출해야 하므로 실용성이 떨어진다. 또한 인계 후에도 실행 불확실성은 남아 있는데, 강한 모델이 블랙박스 API로 제공되면 내부 상태에 접근할 수 없고, 모델이 말로 표현하는 자신감도 긴 작업의 변화하는 맥락에서는 신뢰하기 어렵다.

연구방법을 단계별로

LEASH는 약한 모델의 은닉 상태에서 얻은 불확실성 신호를 에스컬레이션과 감시 모두에 사용하는 훈련 없는 프레임워크다. 먼저, 평가용 262개 과제와 겹치지 않는 99개 참조 작업 집합에서 약한 모델을 실행해 성공과 실패 궤적을 수집한다. 각 작업의 질의 마지막 토큰과 각 실행 단계의 행동 마지막 토큰에서 은닉 상태를 추출해 '표상 은행(representation bank)'을 만든다. 질의 은행은 작업 전체의 성공/실패 결과로, 행동 은행은 큰 모델인 Claude Opus 5를 쓰는 Manager가 평가한 하위 목표 단위의 성공/실패 결과로 라벨을 붙인다.

불확실성 점수는 새로 만난 은닉 상태가 과거 실패 표상에 더 가까운지, 성공 표상에 더 가까운지를 측정한다. 구체적으로, 각 채널의 표상을 표준화한 뒤 공유 공분산을 반영한 마할라노비스 거리의 제곱을 계산하고, 성공 중심까지의 제곱 거리에서 실패 중심까지의 제곱 거리를 뺀 값을 사용한다. 이 값이 클수록 실패 표상에 더 가깝다는 뜻이다. 이 점수는 가중치 학습이나 추가 모니터 네트워크 훈련 없이, 단지 평균과 공분산의 통계적 적합만으로 얻는다.

에스컬레이션은 두 개의 게이트로 구성된다. 초기 게이트는 작업 질의의 불확실성 점수가 임계값을 넘으면 바로 강한 모델로 넘긴다. 실행 중 게이트는 초기 게이트를 통과한 작업에서 각 행동의 불확실성을 감시하다가, 점수가 임계값을 넘는 첫 행동 직후 인계한다. 임계값은 참조 과제를 10개 묶음으로 나눠 한 묶음씩 제외하고 계산한 점수의 분위수로 설정하는데, 목표 초기 인계율 25%와 전체 인계율 50%를 기준으로 삼는다. 실제 평가에서는 참조 집합과 평가 집합의 차이 때문에 인계율이 43~64%로 달라질 수 있다고 논문은 명시한다.

인계 후에는 약한 모델이 '그림자 관찰자(Shadow observer)'로 역할을 바꾼다. 강한 모델이 실행한 행동을 약한 모델의 형식으로 이력에 추가하고, 첫 강한 행동과 이후 매 3단계마다 약한 모델에게 후보 행동을 생성하게 한다. 이 후보 행동의 은닉 상태에서 불확실성 점수를 계산해 임계값을 넘으면, 아직 실행하지 않은 강한 모델의 대기 행동을 버리고 중립적인 재검토 메시지와 함께 더 높은 추론 노력으로 다시 결정하게 한다. 후보 행동은 실행되지도, 강한 모델에게 보여지지도 않는다. 작업당 최대 6번의 개입이 허용되며, 두 번 행동을 바꾸면 추가 개입을 중단한다.

결과와 숫자의 의미

OSWorld에서 네 가지 약한 모델을 시험했으며 과제당 행동은 50번까지 허용했다. Qwen3.5-35B-A3B 단독 성공률은 37.40%, LEASH는 73.66%, 항상 Claude Opus 5를 쓴 비교군은 72.90%였다. 평가 대상은 262개 과제이며, 두 높은 점수의 차이만으로 통계적 우월성을 단정할 수는 없다. LEASH는 Manager를 포함한 전체 작업 흐름이고 항상 Opus를 쓰는 비교군에는 Manager가 없으므로, 모델 하나의 능력만 비교한 실험도 아니다.

비용 측면에서 LEASH의 평균 추론 비용은 작업당 0.4117달러로, 항상 Opus 5를 쓸 때의 0.5094달러보다 19.2% 낮다. 이 비용은 약한 모델, Manager, 강한 실행자, 감시 호출을 모두 포함하며, 로컬 모델도 OpenRouter 참조 가격으로 환산한 추정치다. 실제 서비스 청구액이나 GPU 전력·서버 비용을 측정한 값이 아니라는 점에 유의해야 한다. 또한 같은 인계율에서 무작위로 작업을 선택해 강한 모델에 넘기는 방식과 비교하면 LEASH가 6.55~11.94%포인트 높은 성공률을 보였다. 이는 거의 같은 인계율에서의 비교이며, 비용은 서로 다를 수 있다.

불확실성 추정기의 분별력은 AUROC로 평가했는데, 실행 중 단계에서는 Qwen3.8-27B에서 0.575, Nemotron-3에서 0.609로 중간 정도의 성능을 보였다. 초기 단계에서는 Qwen3.8-27B에서 확률 기반 기준선이 0.671로 LEASH의 0.600보다 오히려 좋았다. 이는 모델과 실행 단계에 따라 어떤 불확실성 신호가 더 효과적인지 달라진다는 것을 보여준다. 따라서 초기 게이트가 항상 도움이 된다고 일반화할 수 없다. 실제로 부록의 구성요소 제거 실험에서 실행 중 게이트만 쓴 경우(71.65%)가 초기+실행 게이트를 쓰고 Shadow를 뺀 경우(67.94%)보다 성공률이 높았다.

구체적인 예시

논문의 사례 연구는 실행 중 에스컬레이션이 실제로 어떻게 작동하는지 보여준다. 첫 번째 사례에서 약한 모델은 PPT 글꼴을 수정하려고 매크로 인터페이스에서 반복적으로 클릭만 하다가 진전이 없었다. LEASH는 11단계에서 강한 모델로 넘겼고, 강한 모델은 GUI 매크로 대신 터미널에서 python-pptx 스크립트를 사용해 27행동 만에 작업을 완료했다. Manager만 쓴 경우에는 50행동 예산을 모두 소진하고 실패했다.

두 번째 사례에서는 약한 모델이 사진을 열고 확인하고 닫는 루프를 반복했다. 8단계에서 인계된 강한 모델은 키보드 내비게이션과 다중 선택으로 전환해 올바른 presenter.zip 아카이브를 만들었다. Manager만 쓴 경우에는 잘못된 사진을 선택해 점수 0점을 받았다. 세 번째 사례에서는 약한 모델이 23단계 동안 LibreOffice 확장 프로그램을 설치하지 못하고 브라우징만 계속했다. 24단계에서 인계된 강한 모델은 터미널 기반 설치로 전환해 LanguageTool을 성공적으로 설치했다. 이 예들은 실제 실험에서 관찰된 사례이며, 일상적인 비유가 아니다.

한계와 오해하기 쉬운 점

LEASH의 이론적 최적성은 공유 공분산을 가진 가우시안 분포와 강한 모델의 도움 크기가 불확실성 점수에 단조 증가한다는 가정 하에서만 초기 게이트에 대해 분석된다. 실행 중 최적 인계 시점이나 실제 행동의 안전성을 보장하지 않는다. 또한 불확실성 점수는 약한 모델의 실패 위험을 추정할 뿐, 강한 모델로 넘겼을 때 얻는 이득 자체를 측정하지 않는다. 약한 모델과 강한 모델이 모두 실패하는 작업에서는 이 가정이 깨질 수 있다.

Shadow 관찰자는 약한 모델 궤적에서 강한 모델 궤적으로 분포가 바뀐 상황에서 작동하므로, 그 개입 효과가 인과적으로 완전히 분리되지 않았다고 논문은 명시한다. 표 5의 하위 집합 분석에서 Shadow가 발동한 31개 과제에서 성공률이 64.5% 대 48.4%로 높았지만, 이는 전체 효과로 해석해서는 안 된다. 또한 '추가 순전파 없음'이라는 표현은 약한 모델이 실행 중일 때 행동 은닉 상태를 재사용한다는 뜻이며, 초기 추론, Shadow 추론, 강한 모델 재검토에는 추가 비용이 든다. 큰 모델이 막힐 때만 처음 쓰인다는 설명도 틀리다. Manager로 Claude Opus 5가 처음부터 작업 분해와 하위 목표 진척 검증에 참여하기 때문이다.

실제로 어떻게 활용할까

활용 가능성은 작은 모델의 실행 경험을 다음 호출 판단에 재사용한다는 데 있다. 다만 실행 기록만으로 바로 되는 것은 아니다. 약한 모델의 은닉 상태에 접근하고 성공·실패 또는 하위 목표 결과를 붙여야 하며, 새 작업에 맞게 임계값도 보정해야 한다. 원문은 40개보다 99개 참조 과제에서 추정이 안정되는 경향을 보고했지만, 경험을 계속 쌓으면 성능이 무한히 좋아지는 자기 개선을 입증하지는 않았다.

다만 이 연구의 평가는 OSWorld라는 컴퓨터 사용 에이전트 벤치마크에 국한되어 있어, 다른 도메인으로 일반화할 수 있는지는 아직 검증되지 않았다. 실제 적용 시에는 참조 작업 집합과 평가 작업의 분포 차이로 인해 목표 인계율과 실제 인계율이 달라질 수 있다는 점을 고려해야 한다. 또한 비용 추정치는 고정 참조 가격과 기록된 토큰 사용량에 기반한 것이므로, 실제 서비스 환경에서는 다를 수 있다.