Clawdrain: Exploiting Tool-Calling Chains for Stealthy Token Exhaustion in OpenClaw Agents

1. 문제 제기 (Problem)

최근 오픈소스 개인 비서 에이전트인 OpenClaw와 같은 생성형 AI 에이전트들이 급격히 확산되고 있습니다. 이러한 에이전트는 외부 '기술 (Skills)'을 호출하여 복잡한 작업을 수행하지만, 이 과정에서 공급망 공격 (Supply-chain Attack) 의 새로운 표면이 노출됩니다.

• 핵심 취약점: 에이전트 프레임워크는 기술 문서 (SKILL.md) 와 도구 실행 결과 (Tool Outputs) 를 대화 컨텍스트에 지속적으로 주입하고 재사용합니다.
• 공격 시나리오: 공격자는 악성 기술을 배포하여 에이전트가 불필요하게 긴 토큰을 생성하거나, 반복적인 도구 호출 루프에 빠지도록 유도할 수 있습니다.
• 기존 연구의 한계: 기존 연구는 주로 시뮬레이션 환경에서 최종 답변의 정확성만 기준으로 '은밀성 (Stealth)'을 정의했으나, 실제 배포 환경에서는 에이전트의 자동 복구 행동, 도구 조합 (Tool Composition), 그리고 인터페이스에 따른 가시성 차이가 공격의 규모와 탐지 난이도를 근본적으로 바꾼다는 점이 간과되었습니다.

2. 방법론 (Methodology)

저자들은 실제 배포 환경과 유사한 OpenClaw 인스턴스 (Gemini 2.5 Pro 백엔드 사용) 에서 Clawdrain이라는 악성 기술을 구현하고 평가했습니다.

• 공격 메커니즘: 분할 검증 프로토콜 (Segmented Verification Protocol, SVP)
  • 구조: 악성 기술의 SKILL.md 에 주입된 지시사항과 동반 스크립트 (query_tool.py) 를 통해 다단계 프로토콜을 강제합니다.
  • 작동 원리: 에이전트는 매 호출마다 1부터 L까지의 정수 시퀀스 (보정 데이터) 를 생성해야 합니다. 스크립트는 이를 검증하여 PROGRESS(진행), REPAIR(수정 필요), TERMINAL(종료) 신호를 반환합니다.
  • 목표: 최종 답변은 정확하게 유지하면서 (사용자에게는 정상적으로 보임), 중간 과정에서의 토큰 생성량을 극대화하여 비용을 고갈시킵니다.
• 실험 설정:
  • 모델: Gemini 2.5 Pro (실제 프로덕션 모델).
  • 구성: 세 가지 다른 SVP 설정 (v1: 최소 지시, v2: 명시적 지시, v3: 고강도 파라미터) 을 적용하여 토큰 증폭 효과를 측정했습니다.
  • 시나리오: 채팅 GUI, TUI(내레이션 모드), 자율 실행 (Cron/Heartbeat) 등 다양한 인터페이스 환경에서 공격의 가시성을 평가했습니다.

3. 주요 기여 (Key Contributions)

1. 실제 배포 환경에서의 토큰 고갈 공격 구현: Gemini 2.5 Pro 와 같은 최신 프로덕션 모델이 주입된 다단계 프로토콜에 순응하여 토큰을 고갈시키는 것을 증명했습니다.
2. 실패 시나리오의 비용 증폭 발견: 공격이 실패하여 에이전트가 '복구 루프 (Fallback Cascade)'에 들어가는 경우, 성공적인 공격보다 더 많은 토큰 (약 9 배) 을 소모할 수 있음을 발견했습니다. 이는 기존 연구가 '공격 성공률 (ASR)'을 최우선으로 보던 관점을 뒤집는 결과입니다.
3. 에이전트의 자동화된 도구 조합 (Tool Composition) 발견: 에이전트가 반복적인 토큰 생성을 피하기 위해 스스로 쉘/파이썬 스크립트를 작성하여 프로토콜을 우회하는 '방어적 행동'을 관찰했습니다. 이는 시뮬레이션 환경에서는 관찰할 수 없는 현상입니다.
4. 인터페이스 의존적 은밀성 (Interface-Dependent Stealth) 분석: 공격의 탐지 가능성은 사용자가 에이전트와 상호작용하는 방식 (GUI, TUI, 자율 실행) 에 따라 완전히 달라진다는 것을 규명했습니다.

4. 실험 결과 (Results)

• 토큰 증폭률:
  • SVP v1/v2 (성공): 정상적인 작업 대비 6~7 배의 토큰 증폭을 달성했습니다.
  • SVP v3 (실패/복구): 프로토콜 완수에 실패했으나, 에이전트의 자율적 복구 시도 (대체 데이터 소스 검색, 프로세스 종료 등) 로 인해 약 9 배의 토큰을 소모했습니다. 이는 성공적인 공격보다 더 큰 경제적 피해를 입힙니다.
• 도구 조합의 영향:
  • L=1000 설정에서 에이전트는 매번 토큰을 생성하는 대신 python3 명령어를 실행하여 시퀀스를 생성하는 우회 경로를 찾았습니다. 이로 인해 1 회 호출당 토큰 소모량이 급격히 감소하여 증폭률이 시뮬레이션 기반 연구 (65~658 배) 보다 낮게 측정되었습니다.
• 은밀성 차이:
  • Chat GUI: 모든 도구 호출과 데이터가 사용자에게 노출되어 공격이 쉽게 탐지됩니다.
  • TUI (내레이션 모드): 도구 호출 세부사항이 숨겨지고 요약 메시지만 표시되어 공격이 은밀하게 진행됩니다.
  • 자율 실행 (Cron): 사용자 피드백이 전혀 없어 공격이 완전히 보이지 않게 (Invisible) 진행될 수 있습니다.

5. 의의 및 시사점 (Significance)

이 논문은 AI 에이전트 보안 평가에 있어 실제 배포 환경 (Deployment-grounded) 의 중요성을 강조합니다.

• 시뮬레이션과 현실의 괴리: 시뮬레이션 기반 평가는 에이전트가 스스로 도구를 조합하여 공격을 우회하거나, 실패 시 과도한 복구 비용을 발생시키는 등의 복잡한 행동을 포착하지 못합니다.
• 새로운 위협 벡터: 단순한 출력 토큰 증폭뿐만 아니라, 과도한 기술 문서 (Input-token bloat), 지속적인 컨텍스트 오염, 크론/하트비트 기반의 빈도 증폭 등 실제 환경에서 더 치명적인 비용 소모 경로가 존재함을 지적했습니다.
• 방어 전략의 필요성: 단순한 토큰 제한이나 최종 답변 검증만으로는 충분하지 않으며, 도구 조합 능력, 컨텍스트 관리, 실행 스케줄링, 그리고 인터페이스별 가시성을 고려한 시스템 수준의 통제 (System-level controls) 가 필요함을 주장합니다.

결론적으로, Clawdrain 은 실제 AI 에이전트 시스템이 어떻게 악성 프로토콜에 의해 경제적 고갈 (Economic DoS) 공격에 취약할 수 있는지, 그리고 에이전트의 자율성이 오히려 공격 비용을 증폭시킬 수 있는 역설적인 상황을 보여줍니다.