검사를 통과했다는 안도감
클로드나 GPT 에이전트에 남이 만든 스킬을 몇 개씩 설치해 쓰면서, 설치할 때 검사를 통과했으니 안전하다고 믿고 있진 않으신가요? 1인 사업자에게 에이전트 스킬은 직원 없이 일을 늘리는 지렛대입니다. 뉴스레터 발송, 고객 응대, 자료 정리까지 스킬 몇 개를 조합하면 어제까지 반나절 걸리던 일이 자동으로 굴러갑니다.
그런데 이 조합이라는 말에 함정이 있습니다. 이번에 소개할 논문은 AI 에이전트 보안의 사각지대가 스킬 하나가 아니라 스킬 사이에 있다는 사실을 실험으로 보여줍니다.
어떤 연구인가
연구진은 먼저 기존 스킬 스캐너들을 실증적으로 조사했습니다. 그 결과 현행 방어 체계가 주로 개별 스킬 단위로만 검사한다는 점, 그래서 스킬 간 조합에서 생기는 위험은 충분히 들여다보지 않는다는 점을 확인했습니다. 낱개로는 그럴듯한 스킬 여러 개가 각각 보안 검사를 통과한 뒤, 에이전트가 실행되는 동안 합쳐져 유해한 작업 흐름을 만들 수 있다는 뜻입니다.
이 위협을 검증하기 위해 연구진은 ColluSkill이라는 공격 프레임워크를 만들었습니다. 하나의 악성 의도를 여러 조각으로 쪼개, 서로 의존하는 하위 페이로드 형태로 따로따로 포장된 스킬들에 나눠 심는 방식입니다. 어느 한 스킬도 그 자체로는 악성이 아니지만, 문맥 의존성과 산출물 전달, 실행 넘겨주기를 거치며 순서대로 조합되면 공격이 완성됩니다. 여기에 LLM 기반 체인 설계와 스캐너 피드백을 반영한 다듬기를 더해, 전체 공격의 의미는 지키면서 개별 스킬의 의심 신호는 낮췄습니다.
무엇을 발견했나
결과는 뚜렷합니다. 대표적인 스킬 스캐너 여섯 종을 대상으로 한 실험에서 ColluSkill은 평균 96.0%의 공격 성공률을 기록했고, 비교 대상이 된 단일 스킬·다중 스킬 공격 기법들을 일관되게 앞섰습니다. 지금의 검사 방식으로는 이런 조합 공격을 거의 걸러내지 못한다는 이야기입니다.
연구진은 방어책도 함께 내놓았습니다. ChainGuard는 새로 설치하려는 스킬을 단독으로 보지 않고, 이미 설치된 스킬들과 함께 분석하는 문맥 인지형 스캐너입니다. 스킬 사이의 의존 관계와 산출물 흐름, 능력 조합, 후속 동작을 재구성해 작업 흐름 수준에서만 드러나는 위험을 찾아냅니다. 이 방식은 공격 성공률을 22.5%까지 낮추면서도 정상 작업 흐름의 99.5%를 통과시켰습니다.
실무에 적용하면
혼자 일하는 분일수록 시사점이 큽니다. 보안팀이 따로 없는 1인 사업자에게는 설치 시점의 검사 통과가 사실상 유일한 안전장치인데, 이 연구는 그 안전장치가 조합 앞에서 무력해질 수 있음을 보여줬기 때문입니다.
행동으로 옮기면 이렇습니다. 첫째, 스킬을 하나씩 평가하지 말고 설치된 전체 목록을 하나의 작업 흐름으로 놓고 점검합니다. 파일을 읽는 스킬과 외부로 전송하는 스킬이 같이 깔려 있다면, 각각은 무해해도 조합은 다른 문제입니다. 둘째, 최소 설치 원칙입니다. 쓰지 않는 스킬을 지우는 것만으로 위험한 조합의 경우의 수가 줄어듭니다. 셋째, 출처가 제각각인 스킬을 섞어 쓸수록 위험이 커지니, 중요한 업무를 맡긴 에이전트일수록 신뢰할 수 있는 출처로 좁힙니다. 넷째, 새 스킬을 들일 때는 그 스킬 하나만 보지 말고, 이미 설치된 스킬들과 합쳐지면 어떤 작업 흐름이 새로 가능해지는지 잠시 따져 봅니다. 연구진이 제안한 방어 도구가 하는 일을 손으로 미리 해 보는 셈입니다. 결국 에이전트 보안은 스킬 단위가 아니라 조합 단위로 바라볼 때 지켜집니다.
주의할 점
이 연구의 수치는 여섯 종의 스캐너를 대상으로 한 실험 환경에서 나온 결과입니다. 실제 스킬 생태계 전반에서 같은 성공률이 나온다고 단정할 수는 없습니다. 또 ChainGuard도 공격을 완전히 막지는 못합니다. 성공률을 22.5%로 낮췄다는 것은 뒤집어 보면 그만큼은 여전히 뚫린다는 뜻입니다. 방어 기법이 이제 막 제안된 단계라는 점을 감안하면, 당분간은 사용자의 점검 습관이 도구보다 앞서야 합니다. 편리함을 위해 설치해 둔 스킬 목록을 오늘 한 번 훑어보시길 권합니다. AI 에이전트 보안은 설치 버튼을 누르기 전, 그 목록을 들여다보는 몇 분에서 시작됩니다.
