MCP-38: A Comprehensive Threat Taxonomy for Model Context Protocol Systems (v1.0)

제시된 논문 "MCP-38: A Comprehensive Threat Taxonomy for Model Context Protocol Systems (v1.0)" 은 Anthropic 이 도입한 Model Context Protocol (MCP) 의 보안 위협을 체계적으로 분류한 연구입니다. 이 논문은 기존 LLM 보안 프레임워크가 MCP 의 고유한 공격 표면 (Semantic Attack Surface) 을 충분히 포착하지 못한다는 문제를 지적하고, 38 가지의 구체적인 위협 카테고리를 제시합니다.

다음은 논문의 문제 정의, 방법론, 주요 기여, 결과, 그리고 의의에 대한 상세한 기술적 요약입니다.

1. 문제 정의 (Problem)

MCP 는 대규모 언어 모델 (LLM) 기반 에이전트가 외부 도구 및 데이터 소스와 상호작용하는 표준 프로토콜로 빠르게 자리 잡았습니다. 그러나 MCP 의 핵심 메커니즘인 "자유 형식의 자연어 설명에 기반한 도구 선택 및 호출" 은 기존 소프트웨어 보안 프레임워크로는 다루기 어려운 새로운 공격 표면 (Semantic Attack Surface) 을 생성합니다.

• 기존 프레임워크의 한계: OWASP LLM Top 10, OWASP Agentic Applications, MITRE ATT&CK 등은 모델 수준, API 수준, 또는 시스템 수준에서 위협을 정의합니다. 하지만 MCP 의 프로토콜 계층 (Tool Manifest, Input Schema, Transport) 에서 발생하는 구체적인 위협 (예: 도구 설명 중독, 간접 프롬프트 주입, 동적 신뢰 위반) 을 정밀하게 정의하거나 대응책을 제시하지 못합니다.
• 실제 위협 사례: 2025 년 GitHub 리포지토리에 악성 파일을 업로드하여 에이전트를 조작해 민감 데이터를 유출한 사례나, OAuth 인증 엔드포인트를 조작하여 명령어 주입 (CVE-2025-6514) 을 일으킨 사례는 기존 분류 체계로는 설명이 부족했습니다.

2. 방법론 (Methodology)

저자들은 이론적 가능성과 실제 발생 가능성을 균형 있게 고려하기 위해 4 단계의 체계적인 방법론을 적용하여 MCP-38 을 도출했습니다.

1. 프로토콜 분해 (Protocol Decomposition): MCP 명세서의 모든 규범적 요소 (도구 발견, 호출, 전송, 멀티서버 라우팅 등) 를 분석하여 잠재적인 실패 모드와 공격 벡터를 추출했습니다.
2. 프레임워크 교차 매핑 (Framework Cross-Mapping): 추출된 후보 위협을 OWASP LLM/Agentic Top 10 및 MITRE ATT&CK 와 비교하여 기존에 이미 포괄된 것인지, 부분적으로만 다루어진 것인지, 아니면 MCP 고유의 새로운 위협인지 판별했습니다.
3. 실제 사고 합성 (Real-World Incident Synthesis): CVE 데이터베이스, 보안 권고안, 학술적 PoC(Proof of Concept), 레지스트리 관찰 등 4 가지 증거원을 통해 이론적 위협이 실제 환경에서 실행 가능한지 검증했습니다. 검증되지 않은 추상적 위협은 제외했습니다.
4. 카테고리화 (Categorization): 검증된 38 가지 위협을 MCP 의 구조적 속성과 대응 (Remediation) 관점에 따라 5 가지 주요 위험 카테고리로 재구성했습니다.

3. 주요 기여 (Key Contributions)

이 논문의 가장 큰 기여는 MCP-38이라는 프로토콜 특화 위협 분류 체계의 제시입니다.

• 38 가지 구체적 위협 카테고리 (MCP-01 ~ MCP-38):

  • Category I (의미 조작 및 중독): 도구 설명 중독 (Tool Description Poisoning), 전체 스키마 중독 (Full Schema Poisoning), 도구 이름 위장 (Shadowing), 선호도 조작 등 LLM 이 텍스트를 명령으로 오인하게 만드는 공격.
  • Category II (프롬프트 주입 및 경계 붕괴): 직접/간접 프롬프트 주입, 명령어 주입, 파일 시스템 노출, 전통적인 웹 취약점 (SSRF, XSS) 등.
  • Category III (신원, 신뢰 및 공급망): 신원 스푸핑, 자격 증명 도난, 재사용 공격 (Replay), Rug Pull (동적 행동 변경), 공급망 침해, 전송 계층 조작 등.
  • Category IV (접근 제어 및 논리 이탈): 권한 상승, 혼란된 하위 (Confused Deputy), 인간-에이전트 루프 우회, 동의 피로, 에이전트 논리 드리프트 등.
  • Category V (데이터 유출 및 자원 남용): 도구 출력을 통한 데이터 유출, 프라이버시 역전 (Privacy Inversion), 자원 고갈 (Denial of Wallet), 가시성 부재 등.

• 표준 프레임워크와의 정밀 매핑: 각 MCP-38 위협을 STRIDE, OWASP LLM Top 10 (2025), OWASP Agentic Top 10 (2026) 과 매핑하여 실무자가 기존 리스크 관리 워크플로우에 통합할 수 있도록 했습니다.

• 구체적인 완화 전략 제시: 각 위협에 대해 암호학적 검증, 컨텍스트 격리, 정책 강제, 데이터 흐름 모니터링 등 구체적인 엔지니어링 대응책을 제안했습니다.

4. 결과 (Results)

• 커버리지 분석: MCP-38 은 OWASP LLM Top 10 의 10 가지 범주와 OWASP Agentic Top 10 의 10 가지 범주를 모두 포괄합니다. 특히 기존 프레임워크가 놓친 MCP 고유의 메커니즘 (예: 도구 설명 필드를 통한 프롬프트 주입, 멀티 툴 체이닝을 통한 데이터 유출, 동적 행동 변경 등) 을 정밀하게 분류했습니다.
• 보안 도구 격차: 현재 존재하는 5 가지 주요 MCP 보안 도구 (Enkrypt AI, MCP-Scan, Akto 등) 를 평가한 결과, 이 도구들은 38 가지 위협 중 최대 18 가지만 커버할 수 있었습니다. 특히 의미 조작 (Category I), 논리 드리프트 (Category IV), 관측 가능성 부재 (Category V) 와 같은 MCP 에이전트 운영 모델에 고유한 위협들은 현재 도구로 탐지되지 않는 '블라인드 스팟'으로 확인되었습니다.
• 실제 검증: CVE-2025-6514, GitHub MCP 데이터 유출 사건 등 실제 발생 사례를 통해 분류된 위협들의 현실성을 입증했습니다.

5. 의의 및 중요성 (Significance)

• 새로운 보안 표준의 기초: MCP-38 은 MCP 생태계의 보안 위험을 정의하는 최초의 포괄적인 어휘 (Vocabulary) 를 제공합니다. 이는 단순한 이론적 분류를 넘어, 자동화된 위협 인텔리전스 플랫폼 개발의 기초가 됩니다.
• 실무적 실행 가능성: 각 위협이 구체적인 프로토콜 요소 (예: inputSchema, stdio 전송, tool manifest) 와 연결되어 있어, 개발자와 보안 엔지니어가 구체적인 코드 수준에서 대응책을 구현할 수 있습니다.
• 미래 지향성: 에이전트 시스템이 자율적으로 도구를 조합하고 실행하는 환경에서 발생할 수 있는 '의미론적 공격'과 '논리적 드리프트'를 선제적으로 식별함으로써, AI 보안의 패러다임을 '모델 중심'에서 '프로토콜 및 에이전트 행동 중심'으로 전환하는 계기를 마련했습니다.

결론적으로, 이 논문은 MCP 프로토콜이 가진 구조적 취약점을 체계적으로 규명하고, 38 가지 구체적인 위협 카테고리와 대응 방안을 제시함으로써, LLM 에이전트 시스템의 안전한 배포와 운영을 위한 필수적인 보안 프레임워크를 제공합니다.