교육 현장에서 에이전트를 붙인 팀이 가장 자주 손대는 것은 프롬프트다. 시스템 프롬프트를 고치고, 도구 설명을 다듬고, 모델을 한 등급 올린다. 그 사이에 바뀐 것은 프롬프트가 아니라 도구가 호출되는 경로다.
OpenAI는 Responses API에 Programmatic Tool Calling을 정식 기능으로 두고 있다. 모델이 도구를 하나씩 요청하는 대신, 도구를 호출하는 자바스크립트를 직접 작성한다. 그 코드는 격리된 V8 런타임에서 실행되며 루프와 조건문으로 도구를 부르고, 중간 결과를 처리한 뒤 최종값만 반환한다. 런타임에는 Node.js도, 네트워크도, 범용 파일시스템도, 실행 간 지속 상태도 없다.
Anthropic은 2025년 11월 같은 기능을 먼저 내놓으면서 수치를 공개했다. 복잡한 리서치 과제에서 평균 토큰이 43,588에서 27,297로 37% 줄었고, 내부 지식 검색 정확도는 25.6%에서 28.5%로 올랐다. 두 회사가 같은 방향으로 움직였다는 것은, 이것이 토큰 절감 옵션이 아니라 실행 모델의 변경이라는 뜻이다.
오케스트레이션은 배포물이 아니라 추론 결과가 됐다
지금까지 에이전트의 for문과 예외 처리는 사람이 작성해 배포한 코드였다. 버전이 있었고, 리뷰를 거쳤고, 같은 입력에 같은 경로를 탔다. 프로그램 호출에서는 그 흐름을 모델이 요청마다 새로 만든다. 동일한 입력에 동일한 프로그램이 나온다는 보장은 없다.
| 직접 호출 | 프로그램 호출 | |
|---|---|---|
| 제어 흐름 | 사람이 작성·배포 | 모델이 요청 시 생성 |
| 컨텍스트 | 중간 결과가 전부 유입 | 프로그램이 걸러 최종값만 |
| 재현·리뷰 | 코드 리뷰 가능 | 실행 후 로그로만 확인 |
감사 추적이 필요한 워크플로에서 이 차이는 비용이다. 감사 대상이 정적 코드에서 실행 기록으로 바뀐다.
로그에 남는 단위가 호출에서 프로그램으로 바뀐다
응답 객체에 항목이 늘어난다. 생성된 자바스크립트를 담은 program, 프로그램이 발생시킨 function_call, 상태와 결과를 담은 program_output이다. 상태값은 completed 아니면 incomplete다. 프로그램이 중간에 끊긴 경우를 애플리케이션이 직접 받아 재시도 한도를 정해야 한다는 뜻이다. 어느 도구까지 실행됐는지는 중첩된 호출의 caller_id를 따라가야 보인다.
기존 모니터링이 도구 호출 하나를 한 이벤트로 세고 있다면, 그 계측은 프로그램 호출을 통째로 놓친다.
통제는 프롬프트가 아니라 허용 목록에서 걸린다
도구는 allowed_callers로 옵트인한다. 기본값은 direct이므로, 아무 설정도 하지 않으면 모델이 작성한 코드는 도구를 부르지 못한다. OpenAI 문서 자체가 고위험 동작은 호출자와 무관하게 애플리케이션 레벨 승인을 두라고 명시한다. 권한 판단이 프롬프트 문장이 아니라 파라미터로 내려온 것이다.
같은 움직임이 실행 환경에도 있다. Cloudflare는 8월 7일 @cloudflare/computer를 오픈소스로 공개하며 에이전트에게 컨테이너 대신 지속되는 파일시스템을 주자고 제안했다. 파일 조작과 git은 isolate에서, Linux 바이너리가 필요한 명령만 컨테이너에서 돌려 컨테이너 사용을 전체 작업의 10% 아래로 두는 것이 목표이며, 파일시스템 연산은 전부 게이팅·감사된다. 다만 회사 스스로 실험과 프로토타입용 얼리 프리뷰라고 못박았다.
GitHub는 8월 6일 Agent Plugins 1.0을 발표했다. 스킬과 MCP 서버를 하나의 설치 단위로 묶는 개방 표준이고 AWS, Anysphere, Microsoft, OpenAI, Vercel, Google이 참여한다. 기업 고객은 managed-settings.json의 enabledPlugins와 strictKnownMarketplaces로 설치 가능한 플러그인을 클라이언트 전반에 고정한다. 무엇을 설치할 수 있는가가 곧 정책이다.
세 사건은 층이 다르지만 방향이 같다. 모델이 무엇을 말할지가 아니라 무엇을 실행할 수 있는지가 통제 지점이 된다. 조녁컴퍼니가 AX 전환 교육에서 프롬프트 작성법보다 허용 목록·승인 경계·실행 기록 읽는 법에 시간을 더 쓰는 이유도 여기에 있다. 도입 이후 남는 질문은 모델 선택이 아니라 운영 설계다.