"When Context Gets Root: Privilege Escalation in LLM Harnesses"는 8월 27일 16:03:57 UTC에 arXiv에 제출됐다. 이 논문의 주장에 따르면, 모델을 감싸는 소프트웨어가 — 모델이 아니라 — 공격자가 통제하는 파일 내용을 에이전트의 최고 권한 지시 슬롯으로 승격시키며, 따라서 완전히 순응적인 모델조차도 장악당하게 된다.
무엇을 시험했나
명시된 최신 버전의 하네스 6개를 시험했다. Claude Code(Opus 4.8, v2.1.210), Codex(GPT-5.5, v0.138.0), Gemini CLI(Gemini 3.1 Pro Preview, v0.50.0), Qwen Code(Qwen3.7 Max, v0.21.4), Kimi(Kimi 3, v0.36.0), OpenCode(DeepSeek-V4-Pro-0813, v1.18.1)다. 공격은 지속적 목표와 예약 작업 같은 출하된 기능을 통해 재현되며, 이것이 이 연구를 이론이 아니라 실질적인 것으로 만든다.
초록의 수치
"무제한 행동 실행 하에서 공격은 6개 하네스 모두에서 13개 목표 전부를 달성했으며," 또한 "자동 권한 검토 하에서도 이 모드를 제공하는 3개 하네스 모두에서 13개 목표 전부를 달성했다." 서론에는 도구-대-사용자 권한 상승의 평균 성공률 97.3%, 도구-대-시스템의 평균 성공률 80.3%가 추가로 제시된다.
흔한 해석이 틀린 이유
"6개 중 6개, 13개 중 13개"는 모든 에이전트가 매번 무너졌다는 뜻처럼 읽힌다. 그러나 논문 자체 표는 더 좁은 의미를 말한다. 13/13은 반복 시도 전체를 통틀어 각 목표가 최소 한 번은 성공했다는 뜻이지, 한 번의 시도가 성공했다는 뜻이 아니다. 가장 허용적인 설정인 Full Access에서의 시도당 수치는 Claude Code 31.7%, Gemini CLI 61.7%, Qwen Code 61.7%, Kimi 64.9%, OpenCode 72.5%다. 진정한 100.0%에 도달한 것은 Codex뿐이다. 정직하게 말하면, 충분히 재시도하면 모든 목표가 결국 모든 에이전트에서 성공했지만, 적중률은 대략 3분의 1에서 100% 사이였다.
둘째, 두 체제를 같은 것으로 제시하지만 실제로는 그렇지 않다. 자동 권한 검토는 정확히 한 하네스에서만 측정 가능한 도움을 줬다. Codex는 27.8포인트 하락했으며, 논문은 이유를 이렇게 설명한다. "Codex의 Auto PR은 새로 삽입된 함수 호출과 그 런타임 동작을 적극적으로 검사한다." Claude Code에서는 비율이 오히려 31.7%에서 37.1%로 올랐는데, 이 표본 크기에서는 방어가 작동했다기보다 잡음으로 읽힌다. 두 체제를 똑같이 무너진 것으로 말하면, 연구에서 실제로 효과를 낸 유일한 메커니즘을 지워버리게 된다.
셋째, 분모가 있다. 6개 하네스 중 3개는 권한 검토 모드가 아예 없다. 따라서 "이 모드를 제공하는 3개 하네스 모두"는 6개가 아니라 3개를 뜻한다.
공격을 승인한 검토자
논문에서 한 문장은 그대로 인용할 가치가 있다. "성공한 Claude Code 사례에서는 검토자가 todo 서버에 가해진 수정을 관찰하지만, 여전히 그 실행을 승인한다." 검사는 실행됐고, 변경을 봤고, 승인했다.