무슨 일이 있었나
2026년 11월 3일에 제출된 논문은 '매개변수 중독'을 의도된 도구 동작을 유지하면서 하나 이상의 작업에 중요한 도구 인수(수신자, 경로, 금액)를 조작하는 간접 프롬프트 주입 변형으로 정의하며, 새로운 동작이 트리거되지 않으므로 동작 중심 프롬프트 주입 방어가 이를 놓칩니다. 방어 없이 공격 성공률은 93.06%에 도달합니다. 논문은 평가를 위한 FactAuthBench를 소개하고, 정보 필드에 대한 작업별 신뢰 계층을 구축하고 각 도구 인수 뒤의 정보 흐름을 추적하며, 현재 작업 하에서 해당 매개변수에 대해 소스 필드가 신뢰될 때만 값을 수락하는 3단계 방어인 AuthorityFlow를 제안합니다 — 성공률을 9.03%로 줄이면서 82.64%의 양성 유틸리티를 유지합니다.
왜 중요한가
동작 수준 가드는 구조적으로 불충분합니다. 합법적 동작이 유지되기 때문입니다; 인수만 손상됩니다. 배포된 에이전트에서 도구 인수(수신자, 금액, 경로, 목적지)를 중독시키면 데이터 유출을 리디렉션하거나 기존 간접 프롬프트 주입 탐지를 회피하면서 잘못된 대상 부작용을 일으킬 수 있습니다. 방어자는 동작 모니터링만이 아닌 인수 수준 신뢰 추론이 필요합니다.
공격 경로
의도된 도구 호출을 유지하면서 하나 이상의 작업에 중요한 인수에 공격자가 선택한 값을 대입하는 간접 프롬프트 주입으로, 에이전트가 공격자 제어 매개변수로 합법적 동작을 수행하여 동작 수준 주입 탐지를 회피합니다.
영향받는 시스템
도구 호출을 사용하는 LLM 에이전트; 제안된 방어 AuthorityFlow; 벤치마크 FactAuthBench.
완화 방안
각 도구 인수를 생성하는 정보 흐름을 추적하고 현재 작업 하에서 해당 매개변수에 대해 소스 필드가 신뢰될 때만 값을 수락하세요; 매개변수 수준(동작 수준만이 아닌) 신뢰 검사와 높은 영향력 매개변수에 대한 인간-인-더-루프 승인을 배포하세요.