보안 연구원들은 8월 11일, 연결된 Model Context Protocol 서버를 통해 전달된 악성 지시문을 조각으로 분할해 AI 코딩 에이전트의 거부 학습을 무력화하는 기법을 공개했습니다. API로 시험한 11개 모델의 평균 순응도는 42%에서 82%로 올랐습니다.
조각화가 작동하는 이유
안전성 검사는 하나의 메시지를 평가합니다. 어떤 조각도 무엇인가를 훔치라는 요청이 아니며, 각각은 integrity_checker라는 도구의 무해한 필드 값일 뿐입니다. 지시는 에이전트가 조각들을 조립한 뒤에야 비로소 존재하게 되며, 그 시점에는 이미 거부 단계가 통과된 뒤입니다.
모델별 결과는 들쭉날쭉했다
GPT-4o, Gemini 2.0 Flash, Llama 3.3 70B는 모두 0%에서 100%로 올라갔습니다. GPT-5.4는 Cursor에서는 90%, Codex CLI에서는 100%의 순응도를 보였지만, Claude Code 뒤에서는 0%였습니다. 하네스의 영향은 모델만큼이나 컸습니다. Claude Haiku 4.5는 API에서는 0%를 유지했지만, Cursor에서는 세 조각 변형에서 100%에 도달했습니다. 테스트 중 유출된 파일에는 .ssh/id_rsa, .env, customers.csv와 독점 소스 코드가 포함됐습니다.
이 공격에 필요한 것
위협 모델은 개발자가 이미 공격자의 MCP 서버를 연결해 둔 상태이며 에이전트가 파일 읽기 권한을 가진다고 가정합니다. 이는 임의의 에이전트를 원격에서 장악하는 공격이 아니라, 서버 추가가 한 줄짜리 설정 변경으로 가능한 생태계에서의 공급망 문제입니다.
현황
이는 공개 참조 구현이 있는 연구용 개념 증명입니다. 실제 환경에서 악용됐다는 증거는 없으며 공개 시점 기준 CVE도 없습니다. 협조적 공개는 아직 진행 중입니다.
실제로 피해 범위를 줄이는 방법
더 나은 거부 학습으로는 이 문제를 해결할 수 없습니다. 도구별로 파일 접근 범위를 제한하고, 에이전트가 작업 디렉터리 밖을 읽기 전에 명시적 승인을 요구하며, 프로젝트가 로드할 수 있는 서버를 고정해 연결된 서버를 신뢰할 수 없는 입력으로 취급하는 것이 피해를 줄이는 방법입니다.