9월 2일 제출된 한 논문은 재사용 가능한 에이전트 스킬을 정조준한 공급망 공격을 정식화한다. 이 제3자 스킬은 광고한 작업을 정확히 수행하고, 유효한 출력을 반환하며, 검사도 통과하면서도, 에이전트가 내리는 의사결정을 은밀하게 공개되지 않은 목표 쪽으로 유도한다.
측정된 결과
에이전트형 커머스와 소프트웨어 의존성 선택에 적용했을 때, 이 프레임워크는 각각 81.33%와 63.33%의 공격자 선호 선택률에 도달했으며, 동시에 100%의 효용 보존율을 유지했다. 마지막 수치가 이 공격을 어렵게 만드는 핵심이다. 사용자가 요청한 작업은 여전히 매번 정확하게 완료되며, 눈에 띄는 실패가 없다.
프롬프트 인젝션과 다른 이유
이는 모두가 방어해 온 공격과는 다른 범주다. 프롬프트 인젝션은 지시문을 컨텍스트 윈도에 몰래 끼워 넣어 에이전트를 본래 작업에서 빼돌린다. 하지만 여기서는 삽입된 명령도, 탈취도 없다 — 스킬은 자신이 말한 일을 하고, 조작은 에이전트가 추론하는 의사결정 공간을 어떻게 형성하느냐에 숨어 있다. 적대적 지시문 탐지에 맞춰진 검출 방식으로는 걸릴 대상이 없다.
흔한 해석이 놓치는 점
두 가지를 바로잡아야 한다. 첫째, 이를 "또 하나의 탈옥(jailbreak) 논문"으로 보는 것은 아무 것도 탈옥되지 않았다는 점을 놓친다. 모델이 정책을 위반하도록 유도되는 것이 아니라, 하나의 유효한 선택지를 다른 선택지보다 선호하도록 유도될 뿐이다. 둘째, 논문은 평가된 스킬 스캐너들이 악성 스킬을 탐지하지 못했다고 보고한다. 이는 논문 조건에서 시험한 특정 스캐너들에 대한 결과일 뿐, 탐지가 불가능하다는 증명은 아니다. 다만 현재의 검사 계층이 잘못된 속성을 겨냥하고 있다는 점은 분명히 드러난다. 스캐너는 스킬이 해서는 안 되는 일을 하는지 확인하지만, 이 공격의 핵심 설계는 바로 그것을 하지 않는 데 있다.
전이 결과
이 정책들은 추가 최적화 없이 이질적인 모델 백엔드와 에이전트 환경 전반으로 전이됐다. 공격자는 어떤 모델이 그 스킬을 소비할지 알 필요가 없다. 이것이 이 결과를 연구 성과가 아닌 공급망 문제로 바꾸는 이유다. 한 번 게시된 스킬이 이를 실행하는 무엇이든 상대로 작동하기 때문이다.