A Formal Security Framework for MCP-Based AI Agents: Threat Taxonomy, Verification Models, and Defense Mechanisms

1. 연구 배경 및 문제 정의 (Problem)

• 배경: 2024 년 11 월 Anthropic 에서 도입된 **모델 컨텍스트 프로토콜 (MCP)**은 대규모 언어 모델 (LLM) 기반 에이전트가 외부 도구 및 데이터 소스에 연결하기 위한 사실상의 표준 (de facto standard) 으로 급부상했습니다. 2026 년 초 기준 17 만 7 천 개 이상의 등록 도구와 월간 9,700 만 건의 SDK 다운로드를 기록하며 생태계가 폭발적으로 성장했습니다.
• 문제점:
  • 보안 프레임워크의 부재: MCP 의 급속한 채택은 공격 면 (Attack Surface) 을 급격히 확대시켰으나, 이를 체계적으로 분석하고 완화할 수 있는 통합된 공식 보안 프레임워크가 존재하지 않습니다.
  • 연구의 단편화: 기존 보안 연구는 개별 공격 논문, 분리된 벤치마크, 점 단위 방어 메커니즘에 국한되어 있어, 위협을 체계적으로 분류하거나 방어 수단을 비교 평가하기 어렵습니다.
  • 검증 불가능성: MCP 상호작용의 보안 속성을 공식적으로 (formally) 정의하고 자동화된 검증을 수행할 수 있는 모델이 없어, 인증된 배포가 불가능한 상태입니다.
  • 실제 위협: '액션' 도구 (외부 환경 수정 가능) 의 비율이 27% 에서 65% 로 급증하면서, 도구 중독 (Tool Poisoning), Rug Pull(승인 후 도구 행동 변경), 크로스-서버 데이터 유출 등의 구체적인 공격이 발생하고 있습니다.

2. 방법론 (Methodology)

저자들은 MCPSHIELD라는 포괄적인 공식 보안 프레임워크를 제안하기 위해 다음과 같은 체계적인 접근법을 사용했습니다.

1. 데이터 수집 및 분석: 12 개의 MCP 보안 논문, 5 개의 벤치마크, OWASP LLM 애플리케이션 Top 10, 그리고 17 만 7 천 개 이상의 MCP 도구 실증 데이터를 분석했습니다.
2. 위협 분류 체계 (Taxonomy) 구축: 수집된 데이터를 코딩 (coding) 하고 통합하여 계층적 위협 분류 체계를 수립했습니다.
3. 공식 검증 모델 (Formal Verification Model) 정의: 라벨링된 전이 시스템 (Labeled Transition System, LTS) 과 신뢰 경계 주석을 기반으로 MCP 상호작용을 상태 전이로 공식화하고, 검증 가능한 보안 속성을 정의했습니다.
4. 방어 메커니즘 비교 평가: 기존 12 가지 방어 메커니즘을 새로 구축된 위협 분류 체계에 대입하여 커버리지 (Coverage) 격차를 분석했습니다.
5. 방어 심층 (Defense-in-Depth) 아키텍처 설계: 분석 결과를 바탕으로 4 개의 계층으로 구성된 통합 방어 아키텍처를 설계했습니다.

3. 주요 기여 (Key Contributions)

이 논문은 다음과 같은 4 가지 주요 기여를 제공합니다.

A. 계층적 위협 분류 체계 (Unified Threat Taxonomy)

MCP 기반 에이전트 시스템의 **4 가지 공격 면 (Attack Surfaces)**과 7 가지 위협 카테고리, 23 가지 공격 벡터를 정의했습니다.

• 4 가지 공격 면:
  1. S_tool: 도구 인터페이스 (도구 설명, 스키마, 반환값).
  2. S_transport: 전송 채널 (JSON-RPC 메시지, 세션 상태).
  3. S_server: 서버 구현 (인증, 리소스 접근, 공급망).
  4. S_compose: 구성 면 (여러 서버/도구/에이전트 간의 상호작용).
• 7 가지 위협 카테고리: 도구 중독 (Tool Poisoning), Rug Pull 및 변형 공격, 크로스-서버 데이터 유출, 권한 상승, 서버 신뢰 위반, 컨텍스트 조작, 프로토콜 수준 취약점.

B. 공식 검증 모델 (Formal Verification Model: MMCP)

MCP 상호작용을 라벨링된 전이 시스템으로 모델링하고 다음 4 가지 기본 보안 속성을 정의했습니다.

1. 도구 무결성 (Tool Integrity): 승인된 도구 정의가 실행 시점까지 변경되지 않았음을 보장 (Rug Pull 방어).
2. 데이터 격리 (Data Confinement): 신뢰 도메인 간에 고위험 데이터가 저위험 영역으로 유출되지 않음을 보장.
3. 권한 한정 (Privilege Boundedness): 에이전트의 실행 권한이 부여된 기능과 호출된 도구의 권한 교집합을 초과하지 않음을 보장.
4. 컨텍스트 격리 (Context Isolation): 한 서버의 정보가 무단으로 다른 서버 요청에 영향을 미치지 않음을 보장.

• 이론적 결과: 도구 무결성과 데이터 격리 검증의 결정 가능성 (Decidability) 을 증명했습니다.

C. 기존 방어 메커니즘의 비교 분석

12 가지 기존 방어 메커니즘 (ETDI, MCP-Guard, MCPS 등) 을 평가한 결과, 어떤 단일 방어 메커니즘도 식별된 위협 환경의 34% 를 초과하여 커버하지 못하는 것으로 확인되었습니다. 특히 크로스-서버 데이터 유출 (TC3) 과 프로토콜 수준 공격 (TC7) 에 대한 방어는 거의 전무했습니다.

D. MCPSHIELD: 방어 심층 참조 아키텍처

위협 격차를 메우기 위해 4 개의 보완 계층을 통합한 아키텍처를 제안했습니다.

1. L-CAC (Capability-Based Access Control): 권한 기반 접근 제어. 에이전트가 명시적으로 부여된 기능 (Capability) 만 실행하도록 제한하고, 도구 연결 (Chaining) 정책을 적용합니다.
2. L-CTA (Cryptographic Tool Attestation): 암호화된 도구 인증. 도구 정의, 버전, 의존성 트리의 해시값을 서명하여 무결성을 검증합니다.
3. L-IFT (Information Flow Tracking): 정보 흐름 추적. 데이터에 태그를 부착하여 신뢰 도메인 간 유출을 동적으로 감시하고 차단합니다.
4. L-RPE (Runtime Policy Enforcement): 런타임 정책 집행. 보안 오토마타 (Security Automata) 를 사용하여 실행 트리를 실시간 모니터링하고, 비정상 행위를 억제하거나 수정합니다.

4. 결과 (Results)

• 커버리지 향상: 기존 단일 방어 메커니즘의 최대 커버리지가 34% 에 불과했던 반면, 제안된 **MCPSHIELD 아키텍처는 23 가지 공격 벡터 중 21 가지를 처리하여 이론적 커버리지 91%**를 달성했습니다.
• 남은 취약점: 91% 커버리지 외의 2 가지 (TV10: 채널 강제, TV19: 장기 메모리 중독) 는 프로토콜 수준을 벗어난 환경 제어 또는 LLM 내부 메커니즘이 필요하여 별도의 연구 과제로 남았습니다.
• 성능 오버헤드: MCPSHIELD 의 4 계층을 모두 적용할 경우, 도구 호출당 추정 오버헤드는 4~9ms로, LLM 추론 지연 (500ms~5s) 및 네트워크 왕복 시간에 비해 무시할 수준으로 분석되었습니다.

5. 의의 및 시사점 (Significance)

• 표준화된 보안 언어 제공: MCP 생태계 연구자 및 실무자 간에 공통된 위협 어휘와 분류 체계를 제공하여 보안 상태 평가를 체계화했습니다.
• 공식적 검증 가능성: MCP 상호작용에 대한 검증 가능한 보안 속성과 결정 가능한 검증 모델을 제시함으로써, 자동화된 검증 및 인증된 배포의 토대를 마련했습니다.
• 차세대 AI 에이전트 보안 가이드: 단순한 점 단위 방어를 넘어, 도구 구성 (Composition) 에서 발생하는 새로운 위협 (Emergent Risks) 을 포괄하는 방어 심층 아키텍처를 제시했습니다.
• 향후 연구 방향 제시: 7 가지 개방형 연구 과제 (구성적 보안 증명, 의미적 무결성 검증, 확장 가능한 정보 흐름 추적 등) 를 제시하여 차세대 에이전트 AI 시스템 보안을 위한 연구 방향을 제시했습니다.

결론적으로, 이 논문은 급성장하는 MCP 기반 AI 에이전트 생태계의 보안 공백을 메우기 위해 체계적인 위협 분류, 수학적 검증 모델, 그리고 실용적인 통합 방어 아키텍처를 제시함으로써, 에이전트 AI 시대의 안전한 인프라 구축에 중요한 기여를 하고 있습니다.