Model Context Protocol Threat Modeling and Analyzing Vulnerabilities to Prompt Injection with Tool Poisoning

논문 개요

본 연구는 AI 어시스턴트를 외부 도구 및 데이터 소스에 연결하는 새로운 표준인 모델 컨텍스트 프로토콜 (MCP) 의 보안 취약점을 분석합니다. 특히, 서버 측이 아닌 클라이언트 측 (Client-side) 에서 발생하는 도구 중독 (Tool Poisoning) 공격에 초점을 맞추어, 주요 MCP 클라이언트들의 보안 태세를 실증적으로 평가하고 방어 전략을 제안합니다.

1. 문제 정의 (Problem Statement)

• MCP 의 보안 공백: MCP 는 "AI 를 위한 USB-C"로 불리며 급속히 확산되고 있으나, 기존 연구는 주로 서버 측 취약점에 집중되어 있었습니다. 클라이언트 측의 보안 평가는 거의 이루어지지 않았습니다.
• 클라이언트 측의 신뢰 모델 취약점:
  • 충분하지 않은 검증: 대부분의 클라이언트가 서버에서 제공하는 도구 메타데이터 (설명, 스키마 등) 를 검증 없이 그대로 LLM 에 전달합니다.
  • 사용자 인식 부족: 실행 시 도구 설명의 일부만 표시되거나, 중요한 매개변수가 숨겨져 있어 사용자가 악성 코드를 인지하지 못합니다.
  • 새로운 공격 표면: LLM 이 의사결정자 역할을 하므로, 전통적인 입력 검증이 무효화되고 프롬프트 인젝션 (Prompt Injection) 이 주요 공격 벡터가 됩니다.
• 도구 중독 (Tool Poisoning): 사용자 입력이 아닌 도구 메타데이터 (설명, 파라미터 등) 에 악성 지시를 숨겨 LLM 을 조작하는 간접 프롬프트 인젝션 공격이 가장 치명적인 위협으로 평가됩니다.

2. 연구 방법론 (Methodology)

연구는 두 가지 단계로 진행되었습니다.

가. 위협 모델링 (Threat Modeling)

• 프레임워크: STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) 와 DREAD (Damage, Reproducibility, Exploitability, Affected Users, Discoverability) 모델을 적용했습니다.
• 분석 대상: MCP 생태계의 5 가지 핵심 구성 요소 (MCP 호스트+클라이언트, LLM, MCP 서버, 외부 데이터 저장소, 인증 서버) 를 분석하여 총 57 가지 위협을 식별했습니다.
• 우선순위: DREAD 점수 분석 결과, 도구 중독 (Tool Poisoning) 이 'Critical (46.5/50)' 등급으로 가장 높은 위험도를 가지며, 클라이언트 측에서 가장 쉽게 악용될 수 있음이 확인되었습니다.

나. 실증적 평가 (Empirical Evaluation)

• 테스트 대상: 2025 년 11 월 기준, 상용 및 오픈소스 MCP 클라이언트 7 개 (Claude Desktop, Cursor, Cline, Continue, Gemini CLI, Claude Code, Langflow) 를 선정했습니다.
• 공격 시나리오: 4 가지 도구 중독 공격 유형을 구현하여 테스트했습니다.
  1. 민감 파일 읽기: 도구 설명에 숨겨진 지시로 SSH 키나 설정 파일을 읽게 하는 공격.
  2. 도구 사용 로깅: "최우선 순위"라는 거짓 주장을 통해 모든 사용자 활동을 감시하는 로그 파일 생성.
  3. 피싱 링크 생성: benign 한 텍스트 뒤에 악성 URL 을 숨겨 클릭하게 만드는 공격.
  4. 원격 스크립트 실행: 도구 실행 전 원격 서버에서 스크립트를 다운로드하여 실행하도록 유도하는 공격.
• 평가 지표: 공격 성공 여부 (Unsafe/Partial/Safe), 사용자 경고 표시, 매개변수 가시성, 정적 검증 유무 등을 분석했습니다.

3. 주요 기여 (Key Contributions)

1. MCP 클라이언트 보안의 체계적 분석: 기존 연구가 간과했던 클라이언트 측 보안 취약점을 STRIDE/DREAD 프레임워크를 통해 체계적으로 매핑했습니다.
2. 실증적 벤치마킹: 7 가지 주요 MCP 클라이언트를 대상으로 동일한 공격 벡터 (도구 중독) 를 적용하여, 각 클라이언트의 방어 능력을 비교 평가했습니다.
3. 다층적 방어 전략 제안: 정적 메타데이터 분석, 의사결정 경로 추적, 행동 이상 탐지, 사용자 투명성 강화 등을 포함한 종합적인 방어 아키텍처를 제안했습니다.
4. 실행 가능한 권장 사항: 개발자, 조직, 표준 기구를 위한 즉각적 및 장기적 보안 개선 방안을 제시했습니다.

4. 연구 결과 (Results)

테스트 결과, 클라이언트 간 보안 수준에 극심한 편차가 존재함이 확인되었습니다.

• 가장 안전한 클라이언트:
  • Claude Desktop: 윤리적 가이드라인이 내장된 모델과 강력한 콘텐츠 정책으로 모든 공격 유형을 차단 (Safe).
  • Cline: 패턴 기반 인젝션 탐지 및 명확한 사용자 경고로 대부분의 공격을 차단 (Safe).
• 가장 취약한 클라이언트:
  • Cursor: 도구 설명 검증, 매개변수 필터링, 보안 경고가 전무하여 4 가지 공격 모두 성공 (Unsafe). 사용자는 악성 실행을 전혀 인지하지 못했습니다.
• 부분적으로 보호되는 클라이언트: Continue, Gemini CLI, Claude Code, Langflow 는 일부 공격은 차단했으나, 특정 상황에서는 취약점이 노출되거나 불일치하는 보호 수준을 보였습니다.

공통된 취약점:

• 정적 검증 부재: 7 개 중 5 개 클라이언트가 도구 등록 시 악성 패턴 스캔을 수행하지 않음.
• 매개변수 가시성 부족: 사용자가 실행 전 모든 파라미터를 확인하기 어렵거나 숨겨져 있음.
• 샌드박싱 부재: 대부분의 클라이언트가 호스트 시스템의 전체 권한으로 도구를 실행하며 격리 환경이 없음.
• 행동 모니터링 부재: 비정상적인 파일 접근이나 네트워크 활동을 탐지하는 시스템이 없음.

5. 의의 및 결론 (Significance & Conclusion)

• 보안 설계의 중요성: MCP 생태계의 보안은 구현 디테일보다는 신뢰 모델 (Trust Model) 과 검증 계층 (Validation Layer) 의 아키텍처적 결정에 달려 있음을 증명했습니다.
• 모델 행동의 영향: 기술적 제어뿐만 아니라, LLM 모델 자체의 윤리적 가이드라인 (예: Claude 모델) 이 보안의 핵심 레이어로 작용함을 확인했습니다.
• 실무적 시사점:
  • 개발자: 도구 설명에 대한 정적 검증, 매개변수 가시성 확보, 샌드박싱 실행 환경을 도입해야 합니다.
  • 조직: MCP 배포 전 위험 평가를 수행하고, 보안이 입증된 클라이언트 (Claude Desktop, Cline 등) 를 우선 선택해야 합니다.
  • 표준화: MCP 프로토콜에 보안 가이드라인을 포함하고, 클라이언트 인증 프로그램을 도입해야 합니다.

이 연구는 AI 에이전트 생태계의 급속한 발전에 따라, 클라이언트 측 보안이 현재 매우 미흡함을 경고하며, 체계적인 위협 모델링과 실증적 테스트를 통해 구체적인 방어 전략을 제시했다는 점에서 의의가 큽니다.