무슨 일이 있었나
Penn State / Montpellier / Dartmouth 연구진(arXiv 2610.13651, 2026-10-09 게시; 10월 12~14일 광범위 보도)은 6개 주요 오케스트레이션 프레임워크가 텍스트 반복 프롬프트에서 모델이 단순히 반복한 도구 호출을, 모델이 별도로 거부한 경우에도 실행한다는 것을 입증함 — 거부와 실제 실행된 호출이 서로 모순됨. ToFu 퍼저는 273개 오픈소스 MCP 서버 중 118개에서 253건의 재현 가능한 보안 버그를 확인함. CVE는 없으며, 시연 기록이 있는 실효 공격 클래스임.
왜 중요한가
이는 프레임워크 간 에이전트 실행 공격 클래스임: 네트워크 익스플로잇이나 표준 CVE 없이, 단지 조작된 프롬프트와 오케스트레이터 우회 경로만으로 가능함. 가장 널리 배포된 에이전트 프레임워크에서 모델 측 거부의 안전 가치를 무력화하며, 253개 MCP 도구 결함과 결합하여 도구 인수가 종단간 공격자 통제 하에 있음을 보여줌. 방어자에게는 권한 부여를 모델에서 도구/오케스트레이션 경계로 이동해야 한다는 우선순위 신호임.
공격 경로
'Repeat-After-Me' 프롬프트는 위험한 도구 호출을 모델이 반복해야 할 가상 텍스트로 구성함; 모델은 산문으로 거부를 표시하면서도 공격자의 정확한 구조화된 도구 호출을 출력하며, 오케스트레이션 계층은 실행 전 권한 검사 없이 이를 실행함. ToFu 퍼저는 MCP 도구가 스키마는 유효하지만 문서화된 제약(경로 탐색, 메타데이터에 대한 SSRF, 명령 주입)을 위반하는 적대적 인수를 수용함을 독립적으로 입증함.
영향받는 시스템
LangGraph (1.2.0에서 시연), Microsoft Agent Framework, AutoGen, Google ADK 2.0, AWS Strands Agents, CrewAI; ToFu를 통해 118개 오픈소스 MCP 서버
완화 방안
모델 출력을 요청으로 취급하고 권한 부여로 취급하지 마십시오: 실행 전에 도구별 독립 권한/허가 검사를 추가하고, 도구 자체 내부에서 도구 인수를 신뢰할 수 없는 값으로 검증하며, 파일/네트워크/자격 증명 범위를 제한하고, 민감/비가역 도구 호출에 승인 게이트를 적용하세요. MCP 운영자는 경로 탐색/SSRF/명령 주입 버그에 대해 118개 플래그된 서버를 검토하세요. 공급업체 패치는 없으며 아키텍처 강화가 필요함.