1. 문제 정의 (Problem)

LLM(대형 언어 모델) 에이전트 애플리케이션을 배포하기 전 개발자가 무엇을 점검해야 하는지에 대한 질문에서 시작합니다. 기존 연구와 도구는 주로 모델 가중치 (Model Weights) 자체의 보안에 집중했으나, 실제 보안 실패 사례는 주변 소프트웨어 스택에서 발생합니다.

• 주요 취약점 원인:
  • 도구 함수 (Tool Functions): 신뢰할 수 없는 입력을 위험한 연산 (예: 코드 실행) 으로 전달하는 로직.
  • 프롬프트 주입: 사용자 입력이 정제되지 않은 채 시스템 지시문에 직접 포함되는 경우.
  • 배포 아티팩트 및 MCP 구성: Model Context Protocol (MCP) 설정에서 과도한 권한 부여, 신뢰할 수 없는 서드파티 서버 연결, 노출된 자격 증명 (Credentials).
• 기존 도구의 한계: Bandit, Semgrep 과 같은 범용 정적 분석 도구 (SAST) 는 일반적인 코드 패턴 (예: eval() 사용) 은 탐지할 수 있으나, 에이전트 특유의 @tool 데코레이터의 문맥, 프롬프트 구성 과정의 위험, MCP 설정 파일의 의미론적 분석은 수행하지 못합니다.

2. 방법론 (Methodology)

Agent Audit은 Python 에이전트 코드와 배포 아티팩트 (MCP 설정 등) 를 분석하는 에이전트 인식형 (Agent-Aware) 보안 분석 시스템입니다.

A. 시스템 아키텍처

시스템은 4 개의 전문 스캐너가 병렬로 실행된 후, 통합된 RuleEngine으로 결과가 집계되는 파이프라인 구조를 가집니다.

1. PythonScanner (코드 분석):
   • 도구 경계 감지: LangChain, CrewAI 등 프레임워크의 @tool 데코레이터를 인식하여 일반 코드와 구분합니다. 도구 함수 내의 취약점은 신뢰도 (Confidence) 를 높게 설정합니다.
   • 내부 절차 오염 분석 (Intra-procedural Taint Analysis): 사용자 입력, 모델 출력, 외부 요청 데이터를 '오염원 (Source)'으로 표시하고, eval(), subprocess.run() 등 위험한 '싱크 (Sink)'까지의 데이터 흐름을 AST(추상 구문 트리) 를 통해 추적합니다.
   • 프롬프트 주입 탐지: f-문자열, .format(), 문자열 연결 등을 통해 사용자 입력이 시스템 프롬프트에 삽입되는지 감지합니다.
2. SecretScanner (자격 증명 탐지):
   • 40 개 이상의 정규식 패턴, Shannon 엔트로피 분석, 프레임워크 컨텍스트 (예: Pydantic Field 정의 무시) 를 결합하여 API 키, 토큰, 연결 문자열 등을 탐지합니다.
3. MCPConfigScanner (설정 파일 분석):
   • MCP 설정 (JSON/YAML) 을 소스 코드가 아닌 구조화된 데이터로 파싱합니다.
   • 과도한 파일 시스템 접근, 검증되지 않은 서버 소스, 샌드박싱 부재, 인증 누락, 공급망 공격 (Tool Shadowing 등) 을 탐지하는 전용 규칙을 적용합니다.
4. PrivilegeScanner (권한 상승 감지):
   • 배포 구성에서의 권한 상승 위험 (예: NOPASSWD sudoers, CAP_SYS_ADMIN 등) 을 분석합니다.

B. 신뢰도 기반 계층화 (Confidence-Based Tiering)

모든 탐지 결과는 4 단계 신뢰도 시스템으로 분류됩니다.

• BLOCK (≥0.92): 즉각적인 조치가 필요한 고신뢰도 취약점.
• WARN (≥0.60): 가능성이 높은 문제.
• INFO (≥0.30): 정보성 발견.
• SUPPRESSED (<0.30): 거짓 양성으로 간주되어 숨김.
• 거짓 양성 감소: 도구 경계 보강, 프레임워크 경로 억제, 테스트 컨텍스트 감지 등 20 가지 이상의 메커니즘을 통해 신뢰도를 조정합니다.

3. 주요 기여 (Key Contributions)

1. 새로운 분석 시스템 (Agent Audit): LLM 에이전트 코드와 MCP 구성 파일을 통합적으로 분석하는 오픈소스 도구 제공.
2. 새로운 벤치마크 (Agent-Vuln-Bench, AVB):
   • 22 개의 샘플과 42 개의 주석된 취약점 (코드 실행, 자격 증명 유출, MCP 구성 위험 등) 으로 구성.
   • CVE 재현, 실제 에이전트 취약점 패턴, MCP 공급망 공격 시나리오를 포함.
3. 실용적 접근성:
   • pip 설치를 통한 간편한 배포, SARIF 형식 지원 (GitHub Code Scanning, VS Code 연동), CI/CD 파이프라인 통합.
   • OWASP Agentic Security Initiative Top 10 의 모든 10 개 카테고리를 커버하는 규칙 세트 적용.

4. 평가 결과 (Results)

AVB 벤치마크 (42 개 취약점) 에서 Agent Audit, Semgrep, Bandit 을 비교 평가했습니다.

• 성능: 22,009 줄의 Python 코드를 0.87 초 내에 스캔 (초당 25,000 줄). Bandit 과 유사한 속도를 유지하면서 Semgrep 보다 6.9 배 빠름.
• 효과성: Semgrep 대비 4 배 높은 재현율을 달성했으며, 특히 MCP 구성 관련 취약점과 에이전트 특유의 패턴 (프롬프트 주입, 도구 중독 등) 을 효과적으로 탐지했습니다.
• 오류: 6 개의 거짓 양성 (False Positive) 이 발생했으나, 이는 MCP 설정 휴리스틱에 의한 것으로, 높은 재현율과 30 개의 독점 탐지 성공을 고려할 때 수용 가능한 트레이드오프로 평가됨.

5. 의의 및 결론 (Significance)

• 새로운 보안 패러다임: LLM 에이전트의 보안은 모델 자체뿐만 아니라 코드, 프롬프트, 배포 구성이라는 3 층위에서 접근해야 함을 입증했습니다.
• 실무 적용 가능성: 개발 워크플로우 (로컬 개발, CI/CD) 에 원활하게 통합되어 실시간으로 보안 리스크를 식별하고 수정할 수 있게 합니다.
• 표준 준수: OWASP Agentic Security Initiative Top 10 을 체계적으로 반영한 최초의 정적 분석 도구로서, 에이전트 보안 표준화에 기여합니다.
• 향후 과제: 현재는 절차 내 (Intra-procedural) 데이터 흐름 분석에 국한되어 있으며, 절차 간 (Inter-procedural) 분석, TypeScript/JavaScript 지원 확대, 런타임 모니터링 기능 추가 등을 통해 발전할 예정입니다.

이 논문은 LLM 에이전트 시스템의 보안 취약점을 체계적으로 탐지하고 완화하기 위한 Agent Audit이라는 실용적인 도구를 제시함으로써, 에이전트 기술의 안전한 상용화를 위한 중요한 기반을 마련했습니다.