Supply-Chain Poisoning Attacks Against LLM Coding Agent Skill Ecosystems

1. 문제 정의 (Problem Definition)

배경:
LLM 기반 코딩 에이전트 (Coding Agents) 는 제 3 자 마켓플레이스에서 제공하는 "에이전트 스킬 (Agent Skills)"을 통해 기능을 확장합니다. 이러한 스킬은 도구 호출 로직, API 리소스, 컨텍스트 프롬프트를 번들링한 표준화된 단위입니다.

핵심 위협:
기존의 소프트웨어 공급망 공격과 달리, 에이전트 스킬은 단순한 문서가 아니라 에이전트가 실행하는 **운영 지시사항 (Operational Directives)**으로 간주됩니다. 에이전트는 기본적으로 스킬의 설명 파일 (예: SKILL.md) 을 신뢰하고 이를 기반으로 코드를 생성하며, 생성된 코드는 파일 입출력, 쉘 명령어, 네트워크 요청 등 **시스템 수준의 권한 (Action Space)**을 가진 채 실행됩니다.

공격 시나리오:
공격자는 스킬의 문서 내에 악성 로직을 숨겨두면, 에이전트가 정상적인 작업 수행 과정에서 해당 코드를 "참조 구현체 (Reference Implementation)"로 인식하여 재생산하고 실행하게 됩니다. 이는 명시적인 악성 지시 없이도 에이전트가 악성 코드를 실행하게 만들어, 기존 안전 장치 (Safety Alignment) 와 아키텍처적 방어 (Sandboxing) 를 우회할 수 있습니다.

---

2. 방법론 (Methodology)

저자들은 PoisonedSkills이라는 프레임워크를 제안하며, 이를 통해 공급망 중독 공격을 체계적으로 증명합니다. 핵심은 **문서 기반 암시적 페이로드 실행 (Document-Driven Implicit Payload Execution, DDIPE)**입니다.

2.1 DDIPE (Document-Driven Implicit Payload Execution)

명시적인 악성 명령을 사용하지 않고, 스킬 문서 내의 코드 예제와 설정 템플릿에 악성 로직을 은폐하는 전략입니다.

• 코드 예제 중독 (Code Example Poisoning): 마크다운 코드 블록 내에 악성 코드를 포함시켜, 에이전트가 이를 "모범 사례 (Best Practice)"로 인식하고 생성된 코드에 포함하도록 유도합니다.
• 설정 템플릿 중독 (Configuration Template Poisoning): YAML, JSON, Makefile 등의 배포 템플릿에 악성 설정 (예: 권한 상승 백도어, 악성 레지스트리 주소) 을 주입합니다.
• 위장 기법 (Camouflage):
  • 기능 준수 위장: 데이터 유출을 환경 모니터링이나 보안 감사로 가장합니다.
  • 침묵 예외 처리: try/except: pass 블록을 사용하여 오류를 숨기고 주 로직이 중단되지 않게 합니다.
  • 가짜 권위: 내부 서비스와 유사한 도메인 (예: api.internal-telemetry.com) 을 사용하여 신뢰성을 확보합니다.

2.2 확장 가능한 적대적 스킬 생성 파이프라인

수동 제작의 한계를 극복하기 위해 LLM 기반의 Seed-Mutation-Validation 파이프라인을 구축했습니다.

1. 시드 (Seed) 구축: 15 가지 MITRE ATT&CK 카테고리를 기반으로 81 개의 전문가 제작 시드 스킬을 준비합니다.
2. 변형 (Mutation): LLM 을 사용하여 시드를 변형하고, 위장 기법 (ContextShift, AuthorityInject 등) 을 적용하여 1,070 개의 적대적 스킬을 생성합니다.
3. 검증 (Validation): 생성된 스킬이 유효한 마크다운인지, 문법 오류가 없는지, 기존 샘플과 중복되지 않는지 (Jaccard 유사도) 를 검증합니다.

---

3. 주요 기여 (Key Contributions)

1. 새로운 공격 표면 (New Attack Surface) 발견:

   • 기존 연구가 텍스트 생성 오염 (RAG Poisoning) 에 집중했다면, 본 연구는 **에이전트의 행동 공간 (Action Space)**을 직접 장악하는 공급망 공격을 최초로 규명했습니다.
   • DDIPE 기법을 통해 문서 내 코드 예제가 시스템 명령어로 직접 실행되는 경로를 증명했습니다.

2. 이중 방어 체계의 비동기적 상호작용 분석:

   • 에이전트 방어는 **모델 수준의 안전 정렬 (Model-level Alignment)**과 **프레임워크 수준의 아키텍처적 방어 (Framework-level Architectural Guardrails)**로 나뉩니다.
   • 두 방어 계층은 모델에 따라 비동기적으로 상호작용함을 발견했습니다. (예: 강력한 정렬을 가진 모델은 아키텍처적 방어가 없어도 잘 방어하지만, 약한 정렬 모델은 아키텍처적 방어가 없으면 공격 성공률이 급증함).

3. 실제 환경에서의 취약점 검증:

   • Claude Code, OpenHands, Codex, Gemini CLI 등 4 가지 주요 에이전트 프레임워크와 5 가지 LLM 모델을 대상으로 실험했습니다.
   • 책임 있는 공개 (Responsible Disclosure) 를 통해 4 가지 확인된 보안 이슈를 발견했고, 이 중 2 가지는 실제 패치되었습니다.

---

4. 실험 결과 (Results)

실험 설정:

• 데이터셋: 15 가지 MITRE ATT&CK 카테고리를 아우르는 1,070 개의 적대적 스킬.
• 대상: 4 개 프레임워크 (Claude Code, OpenHands, Codex, Gemini CLI) 및 5 개 모델 (Claude Sonnet 4.6, GLM-4.7, MiniMax-M2.5, GPT-5.4, Gemini 2.5 Pro).

주요 성과:

1. 우회율 (Bypass Rate):

   • DDIPE 공격은 모든 8 가지 구성 (프레임워크 + 모델) 에서 **11.6% ~ 33.5%**의 우회율을 기록했습니다.
   • 반면, 명시적 지시 공격 (Explicit Instruction Injection) 은 최강 방어 환경에서 **0%**의 성공률을 보였습니다. 이는 DDIPE 가 안전 장치를 우회하는 데 훨씬 효과적임을 의미합니다.

2. 직접 실행률 (Direct Execution Rate, DER):

   • 가장 방어력이 강한 구성 (Claude Code + Sonnet 4.6) 에서도 **2.3%**의 페이로드가 실제 시스템에서 실행되었습니다.
   • 방어력이 약한 구성 (OpenHands + GLM-4.7) 에서는 **27.1%**까지 급증했습니다.

3. 모델별 차이 및 "수면자 페이로드 (Sleeper Payloads)":

   • 모델마다 방어 취약점이 다릅니다. 약한 정렬 모델 (MiniMax-M2.5) 은 아키텍처적 방어가 없을 때 공격 성공률이 11.3 배 증가하는 반면, 강한 정렬 모델 (Sonnet 4.6) 은 거의 영향을 받지 않았습니다.
   • 특정 모델에서는 거부되었으나 다른 모델에서는 실행된 "수면자 페이로드"가 존재하며, 이는 모델별 정렬 전략의 편차를 보여줍니다.

4. 다중 모델 검증의 효과:

   • 단일 모델은 13~20% 의 우회율을 보였으나, 이질적인 모델들을 보안 장벽으로 사용하는 경우 (Ensemble) 동시 우회율은 **1.6%**로 크게 감소했습니다.

---

5. 의의 및 시사점 (Significance)

1. 보안 패러다임의 전환 필요성:

   • 현재 에이전트 스킬 생태계는 curated library 와 동일한 암묵적 신뢰를 부여받고 있으나, 이는 더 이상 유효하지 않습니다. 스킬의 의미론적 (Semantic) 내용을 검증하고, 개별 스킬 수준에서 권한을 제한해야 합니다.

2. 방어 전략의 방향성:

   • 단순한 정적 분석 (Static Analysis) 은 90.7% 의 공격을 탐지하지만, 2.5% 는 정적 분석과 정렬 방어 모두를 우회합니다.
   • 효과적인 방어를 위해서는 **의도 기반 추론 (Intent-level Reasoning)**이 필요하며, 이질적인 모델들을 조합하여 검증하는 것이 실용적인 대안으로 제시됩니다.

3. 실제 영향력:

   • 본 연구는 실험실 환경을 넘어 실제 상용 에이전트 (Claude Code, OpenHands 등) 에서도 치명적인 취약점이 존재함을 입증했습니다. 이는 공급망 공격이 단순한 정보 유출을 넘어, 시스템 제어 및 인프라 중독 (IaC Poisoning) 으로 이어질 수 있음을 경고합니다.

결론적으로, 이 논문은 LLM 코딩 에이전트의 스킬 생태계가 새로운 공급망 공격 벡터가 될 수 있음을 최초로 체계적으로 증명하고, 이를 방어하기 위한 다층적 접근 (모델 정렬 강화, 아키텍처적 통제, 의미론적 검증) 의 필요성을 강조합니다.