기술 요약: MCP-SandboxScan (SandScope)

문제 정의

Model Context Protocol (MCP)는 대규모 언어 모델(LLM) 에이전트가 외부 도구를 호출하고 데이터 소스에 접근할 수 있게 함으로써, 새로운 소프트웨어 공급망 공격 표면을 생성합니다. 도구들은 제3자 패키지처럼 설치되지만, 그 출력값은 종종 에이전트의 추론 컨텍스트(reasoning context)로 유입됩니다. 이러한 아키텍처는 혼동된 대리인(confused-deputy) 위험을 초래합니다. 즉, 공격자가 제어하는 입력값(예: LLM이 생성한 인자, 검색된 웹 페이지, 또는 저장소 메타데이터)이 선량하거나 신뢰할 수 있는 도구로 하여금 로컬 파일, 환경 변수 또는 네트워크 작업에 대한 정당한 권한을 행사하도록 유도할 수 있습니다. 결정적인 위험은 이러한 도구들이 민감한 정보나 명령과 같은 콘텐츠를 LLM이 볼 수 있는 필드에 반환하여, 결과적으로 비밀 정보를 유출하거나 에이전트의 다음 추론 단계에 명령을 주입할 수 있다는 점입니다.

기존의 보안 접근 방식은 다음과 같은 이유로 불충분합니다:

1. 정적 검사(Static inspection): 도구의 설명이나 소스 코드를 검사하는 것만으로는 런타임에 발생하는 동작(예: 난독화된 파일 접근 또는 런타임 파일 읽기에서 파생된 비밀 정보)을 탐지할 수 없습니다.
2. 프록시 기반 모니터링(Proxy-based monitoring): 트래픽을 모니터링하는 방식은 내부 도구 프로세스의 동작이나 외부 입력에서 LLM이 가시적인 출력으로 이어지는 구체적인 데이터 흐름을 포착하지 못하는 경우가 많습니다.
3. 직접 실행(Direct execution): 호스트에서 제3자 도구를 직접 실행하는 것은 이러한 도구들이 흔히 상속받는 광범위한 권한 때문에 안전하지 않습니다.

따라서 런타임 관측성 및 격리(containment) 측면에서 공백이 존재합니다. 감사자는 신뢰할 수 없는 도구에 무제한적인 호스트 권한을 부여하지 않으면서도, 외부 입력에서 LLM이 가시적인 출력으로 이어지는 흐름을 관찰해야 합니다.

방법론: SandScope 프레임워크

저자들은 제어된 실행(controlled execution), 런타임 목격자 탐지(runtime witness detection), 그리고 **의미론적 도구 프로파일링(semantic tool profiling)**을 결합한 MCP 인식 감사 프레임워크인 SandScope를 제안합니다. 이 프레임워크는 도구 코드 자체가 악의적이라고 가정하지 않고, 외부 입력에 의해 유발되는 혼동된 대리인 동작에 집중합니다.

1. 실행 백엔드 (Execution Backends)

SandScope는 격리와 프로토콜 충실도 사이의 균형을 맞추기 위해 두 가지 실행 경로를 지원합니다:

• WASI 샌드박스 경로 (WASI Sandbox Path): 이식 가능한 도구(WebAssembly 아티팩트 또는 경량 어댑터로 래핑된 도구)의 경우, SandScope는 WebAssembly System Interface (WASM) 하에서 이를 실행합니다. 이를 통해 명시적이고 제한된 기능(예: 특정 환경 변수, 사전 오픈된 데이터 디렉토리)을 부여하고 기본적으로 네트워크 접근을 차단합니다.
• 네이티브 stdio 경로 (Native stdio Path): 수정되지 않은 MCP 서버(Node.js, Python, Go 등)의 경우, SandScope는 표준 입출력을 통해 서버를 구동합니다. 이는 프로토콜 충실도를 유지하지만, 격리를 위해 외부 OS 수준의 샌드박싱(예: Docker, Bubblewrap)에 의존합니다.

2. 증거 파이프라인 (Evidence Pipeline)

프레임워크는 6단계 파이프라인을 따릅니다:

1. 감사 소스 설정 (Audit Source Setup): SandScope는 구별 가능한 "카나리(canary)" 값을 환경 변수, 파일 디렉토리, 도구 호출 인자에 심습니다. 또한 네트워크 의도 신호(예: 외부 요청을 암시하는 문자열)를 추적합니다.
2. 대상 발견 및 적응 (Target Discovery & Adaptation): 대상(이식 가능한 아티팩트 vs 네이티브 서버)을 식별하고 적절한 실행 경로를 선택합니다. 네이티브 서버의 경우, tools/list 메타데이터를 복구하기 위해 얕은 스캔을 수행합니다.
3. 제어된 실행 (Controlled Execution): 대상이 실행됩니다. 네이티브 서버의 경우, 드라이버가 프로토콜을 초기화하고 도구 목록을 요청하며 도구를 호출합니다.
4. 런타임 모니터링 (Runtime Monitoring): 시스템은 제한된 stdout/stderr, 종료 코드, MCP 트랜스크립트(JSON-RPC), 그리고 샌드박스 이벤트(예: 거부된 연결)를 기록합니다.
5. 싱크 추출 (Sink Extraction): SandScope는 에이전트의 프롬프트에 다시 삽입될 가능성이 높은 텍스트 영역인 **LLM 가시적 싱크(LLM-visible sinks)**를 식별합니다. 여기에는 다음이 포함됩니다:
   • 프롬프트 마커(예: PROMPT:)를 포함하는 라인.
   • JSON 응답 내의 prompt 또는 messages 필드.
   • 구조화된 도구 반환값 내의 문자열 값 리프 노드.
6. 목격자 탐지 (Witness Detection): 시스템은 추출된 싱크와 소스 카나리를 매칭합니다. 시스템은 다음을 확인하는 **양의 증거 탐지기(positive-evidence detector)**를 채택합니다:
   • 정확한 서브스트링(substring).
   • 접두사/접미사 윈도우(부분적인 유출, 예: API 키를 포착하기 위함).
   • 정규화 및 디코딩된 형태(ROT13, Hex, Base64 및 구분자 청킹 처리).

3. 의미론적 프로파일링 (Semantic Profiling)

동적 실행이 실패하는 경우(빌드 오류, 자격 증명 누락, 복잡한 상태 등)를 처리하기 위해, SandScope는 의미론적 레이어를 포함합니다. 이 레이어는 다음으로부터 선언된 기능을 추출합니다:

• 런타임 tools/list 응답.
• 정적 소스 수준 등록(예: 데코레이터, 함수 정의).
• 저장소 메타데이터(README 등).
  이 레이어는 공격 표면(예: "네트워크 접근", "파일 시스템 접근")을 특징짓고, 동적 실행이 불가능하더라도 테스트 우선순위를 정하기 위해 도구를 분류합니다.

주요 기여 (Key Contributions)

1. MCP 보안 싱크의 정의: 저자들은 LLM 가시적 MCP 응답 필드(도구 결과, 프로프트/메시지 필드, 구조화된 페이로드)를 프로토콜 수준의 보안 싱크로 공식 정의하고, 외부에서 싱크로 이어지는 노출을 런타임 리스크로 규정했습니다.
2. 시나리오 기반 런타임 감사 파이프라인: 수정되지 않은 MCP 서버 및 이식 가능한 WASI 피사체에 대해 환경, 파일, 도구 입력을 LLM 가시적 싱크와 연결하여 감사 가능한 블랙박스 목격자를 통해 실행하는 시스템을 구축했습니다.
3. 보완적 의미론적 프로파일링: 메타데이터와 정적 등록으로부터 선언된 도구 기능을 복구하는 방법을 제시하여, 동적 실행이 불완전할 때 공격 표면을 특징짓고 선언된 유출 위험과 런타임 증거 간의 교차 검증을 가능하게 합니다.
4. 경험적 평가: 통제된 교차 언어 피사체, 회피 벤치마크, 100개의 저장소 코퍼스를 통한 종합적인 평가를 수행했습니다.

평가 결과 (Evaluation Results)

저자들은 세 가지 측면에서 SandScope를 평가했습니다:

1. 통제된 런타임 벤치마크

• 피사체: 선량한 도구, 환경 유출, 파일 탈취 및 C2 비콘 픽스처를 포함하는 30개의 교차 언어 피사체(Go, Python, Rust, TypeScript).
• 성능: SandScope는 100% 정밀도(오탐 0)와 88.9% 재현율(F1 = 0.941)을 달s성했습니다.
• 결과: 권한을 가진 소스가 LLM 가시적 싱크에 도달한 16개의 진양성(true positives) 사례를 성공적으로 탐지했습니다. 두 건의 미탐(false negatives)은 현재의 추출 규칙 하에서 복구 가능한 소스-투-싱크 목격자를 생성하지 않는 비프로토콜 C2 비콘 사례에서 발생했습니다.

2. 회피 벤치마크 (Evasion Benchmark)

• 향상된 탐지기(ROT13, Hex, Base64 및 청킹 지원)는 단순 서브스트링 매칭이 놓친 낮은 수준의 변환을 성공적으로 식별했습니다.
• 한계: 본 시스템은 양의 증거 탐지기이며, 암호화, 압축, 해싱 또는 의미론적 재작성에 대한 완전성을 주장하지 않습니다.

3. 실제 코퍼스 (100개 저장소)

• 동적 커버리지: SandScope는 91개의 저장소를 해결했으며, 35개에 대해 얕은 동적 스캔을 완료했습니다(성공률 38.5%). 실패 원인은 탐지기 자체의 문제가 아니라 주로 빌드, 시작 또는 프로토콜 초기화 문제였습니다.
• 타겟 탐색: 성공적으로 스캔된 35개 저장소 중, 타겟 스키마 가이드 탐색 패스를 통해 33개를 재실행하였고, 12개 저장소에서 소스-투-싱크 목격자를 관찰했습니다(총 60개 목격자).
• 의 의미론적 프로파일링: 의미론적 레이어는 최소 하나 이상의 보안 민감 선언 기능(예: 네트워크 접근, 파일 시스템 접근)을 가진 886개 도구를 포함하여 1,127개 도구를 포함하는 71개 저장소의 도구 수준 메타데이터를 복구했습니다.
• 교차 검증: 선언된 유출 기능과 런타임 증거를 비교한 결과, 기능은 선언되었으나 실행되지 않은 경우와, 메타데이터에 명시되지 않았음에도 런타임 동작(예: 차단된 외부 연결)이 관찰된 경우를 모두 확인했습니다.

의의 및 주장 (Significance and Claims)

본 논문은 SandScope를 LLM 가시적 프로토콜 필드를 보안 싱크로 취급하고, 수정되지 않은 MCP 서버 및 이식 가능한 WASI 피사체 전반에 걸쳐 런타임 소스-투-싱크 목격자를 보고하는 최초의 MCP 특화 행동 감사 프레임워크로 포지셔닝합니다.

• 제한적 주장: 저자들은 SandScope가 완전한 테인트 트래킹(taint-tracking) 엔진이나 독립적인 취약점 탐지기가 아님을 명시합니다. 이 시스템은 임의의 변환이나 암호화된 흐름을 추론하지 않습니다.
• 핵별 가치: 핵심 가치는 MCP 도구 리스크에 대한 실용적이고 감사 가능한 증거를 제공하는 데 있습니다. 선언된 메타데이터(의미론적 기능)와 런타임 목격자(관찰된 흐름)를 분리함으로써, 도구가 무엇을 한다고 주장하는지와 특정 실행 시나리오에서 실제로 무엇을 노출하는지 사이의 격차를 이해하고 테스트 우선순위를 정하는 데 도움이 되는 계층적 뷰를 제공합니다.
• 재현성: 재현성을 높이기 위해 소스 코드를 공개하며, 프레임워크는 도구 자체의 코드 수정 없이 기존 MCP 구현에서 작동하도록 설계되었습니다.