무슨 일이 있었나
연구(arXiv 2610.31974)는 텍스트 채널만 라벨링하는 출처 방어가 이미지 스테가노그래피에 명령을 숨기고 도구가 에이전트의 신뢰 흐름으로 디코딩하는 무해해 보이는 캐리어에 의해 무력화됨을 보여줍니다. 방어되지 않은 파이프라인은 100%의 공격에서 누출되었고, 키워드/정규식 스캐너는 각각 62.5%에서 누출되었으며, 제안된 디코딩 시간 출처 바인딩은 공격 성공률을 0%로 줄였습니다 (그리고 하나의 신뢰 도메인 내에서 인프로세스 테인트 기준과 일치하지만 손상된 릴레이에서도 생존).
왜 중요한가
이것은 현재 에이전트 MCP 시스템에 롤아웃되고 있는 출처 기반 방어의 구체적인 우회입니다: 교차 모달, 캐리어 독립적, 표현 독립적입니다. 텍스트 채널 신뢰 라벨링이 불충분하며, 주입된 명령이 민감한 작업에 도달하는 것을 방지하기 위해 MCP 실행 계층이 디코딩/은닉 반전 경계에서 신뢰를 바인딩해야 함을 보여줍니다.
공격 경로
명령은 무해해 보이는 이미지(예: 이메일 서명 로고)의 이미지 스테가노그래피(LSB, DCT 또는 메타데이터)에 숨겨져 픽셀만 보는 텍스트 스캐너를 통과합니다; 도구가 런타임에 이를 디코딩하면 명령이 에이전트의 신뢰된 제어 흐름으로 세탁되어 텍스트 출처만 추적하는 출처 방어를 우회합니다.
영향받는 시스템
텍스트 채널 출처/테인트 방어를 사용하는 MCP 도구 오케스트레이션을 사용하는 LLM 에이전트 (간접 프롬프트 주입 표면).
완화 방안
디코딩 시간 출처 바인딩을 채택하십시오: 은닉 반전 도구 경계에서 HMAC 서명된 'Untrusted' 레이블을 생성하고 MCP 계층이 출처 계보(원장 + 컨텍스트별 테인트)를 독립적으로 유지하여, 손상된 에이전트가 관련 없는 신뢰된 값에 대한 유효한 레이블을 제시하더라도 검증자가 계보가 신뢰할 수 없는 모든 호출을 차단하도록 하십시오.