감사체인 재검증 증명서 — 2026-06-17 ~ 07-14 앵커 공백 구간

• 발급일: 2026-07-14
• 지시: CEO (이만우)
• 대상: agent_audit_log (paperclip / star365_hub)
• 불변 기록: star365_audit_log id 20360, action=audit_chain_reverification_attested
  • 증명서 entry_hash: 0d94f1a2d440c08e9d4dfb93211a0e84b84ae3cafdd8896d5ea28c48975ff0c2
  • 고정된 감사체인 head: id 11579 / fab22dc93d9b2381e56e5feac50984ab59ec86144219c97c336f7d06aee5095c
  • 이 증명서 자체가 해시체인에 묶여 있으므로, 사후 수정 시 탐지된다.

---

1. 왜 재검증이 필요했나

2026-06-17 13:59:27, 링크 트리거의 tip 추정 버그(ORDER BY id DESC LIMIT 1)로 체인에 포크가 생겼다. 그 순간부터 검증 함수가 실패했고, 일일 앵커는 2026-06-18 ~ 07-14 (27일) 연속 실패 상태였다.

문제는 실패 그 자체가 아니라, 그 27일간 앵커가 자라나는 체인의 head 를 전혀 고정하지 못했다는 점이다. 앵커는 매일 ae55d0…(2674행의 해시)만 반복 기록했다 — head_id 는 MAX(id) 에서, head_hash 는 검증이 멈춘 지점에서 가져와 서로 짝이 맞은 적이 없었다.

앵커의 역할은 전면 재작성(행을 고치고 이후 해시를 전부 다시 계산해 덮어쓰기)을 막는 것이다. DB 내부 재계산만으로는 그 공격을 잡을 수 없다 — 재작성된 체인은 자기 자신과 완벽히 일치하기 때문이다. 따라서 그 27일 구간은 외부 고정점이 비어 있는 상태였고, 별도의 독립 증거원 없이는 "변조가 없었다"고 말할 수 없었다.

2. 재검증 방법 — 증거 2종

증거 1. 체인 전수 해시 재계산

genesis 부터 전 행의 entry_hash 를 내용에서 재계산해 대조 (조기 종료 없음).

항목	값
검증 행수	11,579행 (100%)
변조 행	0
결과	PASS

참고: 수정 이전 검증기는 2675행에서 멈춰 전체의 77%를 한 번도 보지 않았다. "매일 검증 통과"가 아니라 "매일 4분의 1만 보고 있었다"가 사실이었다.

증거 2. 독립 증거원(WORM) 전수 대조 ← 핵심

/var/log/audit/agent-audit.jsonl 은 chattr +a(append-only) 로 붙박인 파일이며, 행 삽입 시점에 DB와 별개로 prev_hash / entry_hash 를 기록해왔다.

공격자가 DB를 전면 재작성해도 WORM 에는 원래 해시가 남는다. 따라서 이 대조가 통과해야 비로소 전면 재작성이 배제된다.

항목	값
대조 행수	11,579
해시 불일치 (전면 재작성)	0
DB에서 삭제된 행 (증거 인멸)	0
27일 공백 구간 대조 행수	8,906
구간 내 불일치	0
결과	PASS

3. 판정

✅ 2026-06-17 ~ 07-14 구간, 감사기록 변조 없음. 신뢰선 복구됨.

독립적인 두 증거원(DB 재계산 + append-only WORM)이 전 구간에서 일치한다. 부분 변조·전면 재작성·행 삭제 모두 배제된다.

판정된 구조 예외 1건 (변조 아님)

• agent_audit_log id 2675 — 2026-06-17 경쟁조건으로 생긴 양성 포크(1행짜리 죽은 가지).
• entry_hash 재계산 일치 = 내용 변조 없음. 본선 체인은 전 구간 무결.
• 불변 로그이므로 삭제·재작성하지 않았다. audit_chain_exceptions 에 entry_hash 를 고정해 판정 기록으로 보존.
• 예외 등록이 사각지대를 만들지 않도록, 내용 무결성 검사는 예외 행에도 항상 적용된다(실증 완료).

---

4. ⚠️ 이 증명서가 증명하지 못하는 것

4-1. 체인 밖 기록 87건 — 완전성 결손

훅(immutable-audit.sh)은 감사 API 호출이 실패하면 도구호출 페이로드를 WORM 파일에 직접 append 한다. 이 기록에는 entry_hash 가 없다 — 해시체인 밖이다.

시각	건수	status	원인
2026-06-17	5	api_failed_no_key	훅이 감사 API 키를 읽지 못함
2026-06-24	3	api_failed_no_key	동일
2026-07-01 02:40~03:14 KST	79	api_failed_000	pkill -f server.mjs 로 인한 HQ 33분 다운 당시 연결 실패
	87		2026-07-01 이후 발생 없음

• 이 87건은 변조가 아니라 누락이다. 해당 도구호출 기록은 체인의 무결성 보증을 받지 못한다.
• 전문은 유실되지 않았다 — WORM 파일 + agent_audit_worm_fallback 테이블에 보존.
• 체인에 뒤늦게 append 하지 않았다. 지금 체인 끝에 붙이면 발생 시점이 아닌 오늘 위치에 끼워넣는 것이 되어 체인이 시간을 거짓말하게 된다.
• 훅 주석은 이 기록을 "anchor 가 일일 점검" 한다고 적어두었으나 앵커는 실제로 한 번도 보지 않았다. → 이번에 앵커에 배선했다. 이후 미수집 폴백이 생기면 경보한다.

4-2. 원리적 한계

해시체인과 WORM 은 "기록된 것이 이후 바뀌지 않았음" 만 증명한다. 애초에 두 곳 어디에도 보내지지 않은 사건이 있었는지는 이 증명서로 알 수 없다. (예: 훅이 아예 실행되지 않은 경우 — 훅 미등록 세션, 프로세스 강제 종료 등)

---

5. 재발 방지 (배포 완료)

조치	내용
tip 추적	audit_chain_head 테이블로 진짜 tip 을 O(1) 명시 추적. MAX(id) 추정 제거 (양 체인)
검증 함수	구조 검증으로 재작성 — 조기종료 없음, id 순서 가정 없음. 인덱스 4개 추가
앵커 기준선	연속성 대조 기준선을 verified 앵커로 한정 (실패 앵커의 head_hash 는 정의상 무의미)
예외 은폐 방어	예외 목록의 sha256 지문을 앵커에 고정 → 몰래 추가/제거 시 경보 (양방향 실증)
체인 밖 기록	앵커가 매일 계수·보고. 미수집분 발생 시 경보
대시보드	ceo.star365.site/audit 에 판정 예외 + 체인 밖 기록 상시 노출

검증 결과: 앵커 exit 0 (27일 만의 첫 통과), 검증 범위 23% → 100%, DB 직접 변조 3종(본선 행 위조 / 예외 행 위조 / 행 삭제) 전부 탐지 실증.

6. 근거 자료

• 마이그레이션: /opt/star365-ceo/scripts/migrate-audit-chain-head-20260714.sql, migrate-audit-verify-20260714.sql
• 롤백: /opt/star365-ceo/scripts/_rollback-audit-chain-20260714.sql
• 독립 대조: /opt/star365-ceo/scripts/worm-crosscheck.mjs
• 증명서 발급: /opt/star365-ceo/scripts/attest-chain-reverification.mjs
• 폴백 수집: /opt/star365-ceo/scripts/ingest-worm-fallback.mjs
• 백업: /opt/backups/paperclip-local/audit-chain-backup-20260714.dump (16MB)