MCPShield: A Security Cognition Layer for Adaptive Trust Calibration in Model Context Protocol Agents

1. 연구 배경 및 문제 정의 (Problem)

Model Context Protocol (MCP) 은 LLM 기반 에이전트가 외부 도구 (Tools) 를 표준화된 인터페이스로 사용할 수 있게 하여 생태계의 개방성과 상호 운용성을 크게 확장했습니다. 그러나 이 개방성은 새로운 보안 불일치 (Security Misalignment) 를 초래합니다.

• 신뢰의 불일치: 에이전트는 MCP 서버가 제공하는 메타데이터 (도구 설명, 스키마) 를 기반으로 도구를 호출하지만, 서버는 이 메타데이터와 다른 실제 동작을 수행할 수 있습니다 (예: 악성 코드가 숨겨진 도구).
• 기존 방어의 한계: 기존 에이전트 프레임워크는 보안이 안전한 환경 (Security-benign) 을 가정하여 설계되었습니다. 현재 존재하는 방어 기법 (정적 코드 스캔, 샌드박싱 등) 은 에이전트 내부의 의사결정 과정에 통합되지 않아, 한 번의 호출에서 발견된 보안 증거가 다음 호출의 신뢰도 평가에 반영되지 못합니다.
• 주요 위협 모델:
  1. 의미론적 불일치 (Semantic Misalignment): 선언된 메타데이터와 실제 도구 의도 간의 차이.
  2. 관찰적 불일치 (Observational Discrepancy): 반환된 결과 (Output) 는 정상처럼 보이지만, 실행 궤적 (Execution Trajectory) 에는 무단 작업이 숨겨져 있는 경우.
  3. 시간적 분리 (Temporal Decoupling): 초기 호출은 정상으로 보이다가, 시간이 지나거나 반복 호출 시 악성 동작이 발동하는 경우 (Drift).

2. 제안 방법: MCPShield (Methodology)

저자들은 에이전트가 도구 호출을 '경험'으로 간주하고, 이를 통해 보안 인지 (Security Cognition) 를 점진적으로 업데이트하는 라이프사이클 전반의 보안 인지 계층 (Security Cognition Layer) 인 MCPShield 를 제안합니다. 이는 에이전트 측의 플러그인 정책으로 작동하며, 세 가지 핵심 메커니즘으로 구성됩니다.

2.1. 호출 전: 보안 인지 탐지 (Security Cognitive Probing)

• 목적: 의미론적 불일치 해결.
• 방식: 실제 사용자 데이터를 사용하지 않고, 메타데이터에 기반한 모의 호출 (Mock Invocations) 을 생성하여 서버에 전송합니다.
• 작동: 서버가 선언된 도구 설명과 모의 호출 결과 간의 일관성을 LLM 이 평가합니다. 일관성이 없거나 악성 징후가 보이면 서버를 차단하고 초기 보안 인지 상태를 '불신'으로 설정합니다.

2.2. 실행 중: 격리된 투영 (Isolated Projection)

• 목적: 관찰적 불일치 해결.
• 방식: 도구 호출을 격리된 런타임 (샌드박스) 환경에서 실행하며, 권한 범위 (파일, IP 등) 를 엄격히 제한합니다.
• 작동:
  • 허용된 범위 밖의 동작은 즉시 차단합니다.
  • 허용된 범위 내에서도 실행 궤적 (System calls, API 요청 등) 을 기록하여 LLM 이 분석합니다.
  • 기술적으로 허용되더라도 의도치 않은 위험한 부수 효과 (Side-effects) 가 감지되면 호출을 거부합니다.

2.3. 호출 후: 주기적 추론 (Periodic Reasoning)

• 목적: 시간적 분리 (Temporal Decoupling) 해결.
• 방식: 누적된 역사적 호출 기록 (Trace) 과 정상적인 기준선 (Baseline) 을 비교하여 행동의 변화 (Drift) 를 감지합니다.
• 작동:
  • 시간적 보안 인지: 단일 호출에서는 보이지 않는 장기적인 행동 변화를 감지하여 서버의 신뢰도를 재조정합니다.
  • 공동 방어 (Collaborative Defense): 악성 서버의 서명 (Signature) 과 편향 증거를 생태계와 공유하여 다른 에이전트들이 사전에 방어할 수 있도록 합니다.

3. 주요 기여 (Key Contributions)

1. 새로운 보안 패러다임: 외부 보안 인프라에 의존하는 대신, 에이전트 내부에 보안 인지 (Security Cognition) 를 내재화하여 호출 간 (Cross-invocation) 으로 신뢰를 적응적으로 보정하는 프레임워크를 제안했습니다.
2. 라이프사이클 전반의 방어: 호출 전 (Probing), 중 (Execution), 후 (Reasoning) 단계를 아우르는 통합 방어 메커니즘을 설계하여, 다양한 시점의 공격을 포괄적으로 차단합니다.
3. 실용적인 평가 및 벤치마크: 6 가지 새로운 MCP 기반 공격 시나리오와 76 개의 악성 MCP 서버, 6 가지 주요 에이전트 LLM (GPT-4o-mini, Kimi-K2, DeepSeek-V3.2 등) 을 대상으로 광범위한 실험을 수행했습니다.

4. 실험 결과 (Results)

• 방어 성능: 방어 장치가 없는 에이전트의 평균 방어율은 10.05% 에 불과했으나, MCPShield 를 적용한 에이전트는 95.30% 의 높은 방어율을 기록했습니다.
• 일반화 능력: 다양한 LLM 백본과 6 가지 공격 시나리오 (MCPSecbench, MCPSafetybench, DemonAgent, Adaptive Attack, MCP-Artifact, Rug Pull Attack) 에서 일관되게 높은 성능을 보였습니다.
• 오탐지 (False Positive) 최소화: 악성 서버를 차단하는 동시에 정상 서버의 기능을 유지했습니다. 정상 서버에 대한 거부율은 낮아 과도한 차단 (Over-refusal) 이 없음을 입증했습니다.
• 오버헤드:
  • 실행 시간 및 토큰: MCPShield 의 검사 비용은 소수의 정상 도구 호출 비용과 유사한 수준으로, 서버 재사용 시 비용이 상쇄 (Amortized) 되어 실용적입니다.
  • 안정성: Pass@1 부터 Pass@5 까지 반복 평가에서도 방어 성능이 안정적으로 유지되었습니다.

5. 의의 및 결론 (Significance)

이 연구는 개방형 MCP 생태계에서 에이전트의 보안을 강화하기 위한 실용적이고 견고한 솔루션을 제공합니다.

• 신뢰의 동적 조정: 정적 메타데이터나 단일 호출 결과에 의존하는 기존 방식을 넘어, 에이전트가 실제 실행 경험을 통해 신뢰를 지속적으로 보정 (Calibration) 할 수 있게 합니다.
• 생태계 보안: 개별 에이전트의 방어를 넘어, 악성 서버 서명을 공유하는 공동 방어 메커니즘을 통해 전체 MCP 생태계의 안전성을 높입니다.
• 미래 지향성: 이 작업은 AI 에이전트의 보안이 단순한 시스템 제어 (샌드박싱 등) 를 넘어, 에이전트 내부의 의사결정 루프에 보안 증거를 통합하는 에이전트 네이티브 (Agent-native) 보안으로 나아가야 함을 시사합니다.

요약하자면, MCPShield는 열려있는 도구 생태계에서 발생할 수 있는 다양한 형태의 은밀한 공격을 탐지하고 차단하며, 에이전트가 스스로 학습하여 적응적으로 신뢰를 관리할 수 있게 하는 혁신적인 보안 계층입니다.