auth.md — 에이전트가 사용자를 대신해 가입시키는 오픈 프로토콜

!Auth.md 등록 흐름

auth.md — 에이전트가 사용자를 대신해 가입시키기 위한 오픈 프로토콜

2026년 6월 현재, AI 에이전트가 사용자를 대신해 가입하고 행동하는 일이 더 이상 SF가 아닙니다. WorkOS가 제안한 auth.md는 각 서비스가 자기 도메인 루트에 호스팅하는 마크다운 파일 하나로, 에이전트에게 사용자 등록 방법을 알려주는 표준 프로토콜입니다. 회원가입 폼을 거치지 않고 에이전트가 직접 사용자를 등록하는 길이 열렸습니다.

auth.md란 무엇인가

auth.md는 각 애플리케이션이 자신의 도메인 — 보통 https://yourapp.com/auth.md — 에 호스팅하는 마크다운 파일입니다. 이 파일은 에이전트에게 어떤 flow를 지원하는지, 어떤 scope가 존재하는지, 서비스에 어떻게 등록하는지를 알려줍니다. 파일 형식 자체는 단순한 마크다운이지만 그 위에 OAuth 표준들이 체계적으로 얹혀 있습니다.

• 핵심 약속: 에이전트가 auth.md를 가져와 지원되는 flow를 고른 뒤, verified identity assertion을 제시하거나 사용자 대상 코드 확인 claim을 수행하면 등록이 완료됩니다. 앱과 서비스는 어떤 flow를 받아들이고 어떤 자격 증명을 발급할지 직접 통제할 수 있습니다. 가입 폼은 더 이상 필수 UI가 아닙니다* — 에이전트가 폼 없이 사용자를 등록합니다.

세 주체로 보는 구조

auth.md 프로토콜은 세 가지 역할을 명확히 구분합니다:

• agent: 사용자를 대신해 동작하는 주체. 회원가입 절차를 자동화합니다
• agent provider: 신원 어서션 ID-JAG를 발급하는 IdP. 사용자가 누구인지 보증합니다
• service: 어서션을 수용해 자격 증명을 발급하는 주체. 가입을 받아들이는 앱입니다

이 분리 덕분에 에이전트에 발급되는 토큰은 사용자에 묶인 scoped access token입니다. 수명이 짧고 폐기 가능하며, 표준 OAuth 위에서 발급되므로 기존 API 인증을 그대로 재사용할 수 있습니다.

등록 방식 — 마케팅상 2가지, 구현상 3가지

auth.md가 정의하는 등록 방식은 마케팅 측면과 구현 측면에서 분류가 다릅니다.

• 마케팅상 두 가지*:
• Agent verified: 에이전트의 IdP가 사용자를 보증하며, 사람 개입이 없습니다
• User claimed: provider가 필요 없으며, 에이전트가 보여준 코드를 사용자가 로그인 후 확인합니다 (RFC 8628 스타일의 디바이스 플로우)

• 구현상 세 가지* (anonymous 포함):
• Agent verified: 에이전트 IdP가 사용자를 보증
• User claimed: provider 불필요, RFC 8628 스타일 claim ceremony 사용
• Anonymous Registration: 에이전트가 먼저 pre-claim scope로 동작하다가, 사용자가 소유권을 주장하면 post-claim 토큰으로 승격

대부분의 앱은 두 방식(verified + claimed)을 모두 지원하며, 에이전트가 상황에 맞게 선택합니다. 익명 등록은 별도 옵션으로, 나중에 사용자가 권한을 주장할 수 있는 구조를 제공합니다.

OAuth 표준을 그대로 재사용

auth.md는 완전히 새로운 인증 체계를 만드는 대신 기존 OAuth 표준 위에 얹힙니다:

• Protected Resource Metadata: 리소스 서버가 자신의 정보를 게시하는 표준
• ID-JAG (Identity Assertion JWT): 에이전트 신원을 표현하는 JWT 형식
• RFC 7523 JWT-bearer grant: ID-JAG를 access_token으로 교환하는 표준 grant
• /.well-known/oauth-authorization-server: 표준 디스커버리 엔드포인트

동작 흐름은 다음과 같습니다: 에이전트가 /.well-known/oauth-authorization-server에서 메타데이터를 가져온 뒤 → ID-JAG 발급 → RFC 7523 grant로 access_token 교환. 기존 OAuth 인프라가 있는 서비스라면 별도 인증 서버 구축 없이 auth.md를 도입할 수 있습니다.

오픈 프로토콜이라는 점의 의미

WorkOS가 작성하지만 WorkOS 인프라에 종속되지 않습니다. 기존 OAuth 표준을 조합해 계정 없이 게시·읽기가 가능합니다. 누구나 자신의 도메인에 auth.md를 호스팅할 수 있고, 어떤 에이전트도 사전 WorkOS 가입 없이 그 파일을 읽고 인증을 시도할 수 있습니다.

스펙뿐 아니라 agent provider·service 양측 샘플 구현과 skill manifest 역할의 AUTH.md 파일을 함께 제공합니다. 실제로 GitHub 저장소에서 바로 돌려볼 수 있습니다 (pnpm install && pnpm dev로 service는 :8000, provider는 :4000에서 실행).

• 이미 도입한 서비스들*:
• Cloudflare
• Firecrawl
• Resend
• monday.com
• 라이선스는 MIT

실전 적용 — 앱을 agent-ready로 만들기

자신의 서비스를 auth.md 지원 상태로 만들려면 세 가지 순서가 정석입니다:

1. /.well-known/oauth-authorization-server 엔드포인트 게시: 표준 메타데이터로 scopes_supported, grant_types_supported, agent_auth.skill 등을 노출
2. /auth.md 호스팅: 에이전트가 읽을 절차 문서. discovery → register → claim → exchange → use → handle revoke 흐름을 마크다운으로 기술
3. POST /agent/identity 엔드포인트 구현: ID-JAG 또는 verified email, anonymous identity_type을 받아 service-signed identity_assertion 반환 → 이어서 POST /oauth2/token에서 RFC 7523 JWT-bearer grant로 access_token 교환

세 가지 identity_type(identity_assertion, anonymous, service_auth)을 모두 지원하면 에이전트가 IdP 보유 여부와 관계없이 동작할 수 있습니다.

전망 — 회원가입 폼이 사라지는 미래

auth.md가 표준으로 자리 잡으면 에이전트 우선 가입 흐름이 일반화됩니다. 사용자는 더 이상 "이메일·비밀번호·본인확인" 폼을 직접 작성하지 않아도 됩니다. 에이전트가 verified identity를 들고 와서 등록하거나, 익명으로 시작해서 나중에 사용자가 클레임하는 패턴이 보편화됩니다.

여전히 풀어야 할 숙제가 있습니다: agent verified 방식의 신뢰성(에이전트 IdP의 사용자 보증 강도), anonymous에서 claimed로의 승격 UX(사용자가 나중에 소유권을 주장할 자연스러운 흐름), 폐기 propagation(토큰 폐기 이벤트가 agent provider → service 양방향으로 즉시 전파되는지). Cloudflare 사례에서 보듯 일부 공식 페이지는 아직 not found 상태 — 도입 초기라 생태계가 아직 성숙하지 않았습니다.

요약

| 항목 | 내용 |

|------|------|

| 정의 | 서비스 도메인 루트에 호스팅되는 마크다운 파일 + OAuth 표준 |

| 역할 | agent / agent provider / service 3주체 |

| 등록 방식 | Agent verified / User claimed / Anonymous (3가지) |

| 기반 표준 | Protected Resource Metadata + ID-JAG + RFC 7523 + RFC 8628 |

| 자격 증명 | scoped access token, 단명, 폐기 가능, OAuth 재사용 |

| 라이선스 | MIT |

| 채택 서비스 | Cloudflare, Firecrawl, Resend, monday.com |

| 도입 비용 | 표준 OAuth 인프라 위에 얹히므로 낮음 |

2026년 6월 기준으로 auth.md는 회원가입 UX를 폼에서 에이전트로 옮기는 첫 번째 오픈 표준입니다. AI 에이전트가 사용자 대신 행동하는 일이 일상이 되는 미래를 향한 작은 마크다운 파일 한 권 — 그 시작점이 auth.md입니다.