MCP-DPT: A Defense-Placement Taxonomy and Coverage Analysis for Model Context Protocol Security

논문 개요

이 논문은 대규모 언어 모델 (LLM) 이 외부 도구를 동적으로 발견하고 호출할 수 있게 하는 모델 컨텍스트 프로토콜 (MCP) 의 보안 위협을 분석하고, 방어 전략의 배치 (Defense Placement) 에 초점을 맞춘 새로운 분류 체계 (Taxonomy) 를 제안합니다. 기존 연구들이 공격 기법이나 벤치마크에 치중했다면, 본 논문은 어디서 (어떤 아키텍처 계층에서) 방어 책임을 져야 하는지를 명확히 하는 데 주력하여 MCP 생태계의 구조적 보안 취약점을 규명합니다.

1. 문제 정의 (Problem)

• MCP 의 보안 지평 변화: MCP 는 LLM 이 외부 도구와 상호작용하는 방식을 표준화하지만, 단일 프롬프트 경계를 넘어 사전 실행 아티팩트 (Pre-execution artifacts), 공유 컨텍스트, 멀티턴 워크플로우, 제 3 자 공급망 등 분산된 공격 표면을 노출시킵니다.
• 기존 연구의 한계: 최근의 보안 연구들은 공격 벡터를 식별하거나 벤치마크를 구축하는 데 집중했습니다. 그러나 MCP 가 가진 다자간 (Multi-party) 설계와 분산된 신뢰 경계를 고려할 때, 방어 메커니즘이 아키텍처의 어느 계층에 배치되어야 하며, 누가 (어떤 이해관계자가) 그 책임을 져야 하는지에 대한 명확한 가이드가 부족했습니다.
• 방어의 불균형: 현재 제안된 방어책들은 주로 '도구 (Tool)' 중심이거나 '프롬프트' 중심에 집중되어 있어, 호스트 오케스트레이션, 전송 계층, 공급망 관리 등 구조적으로 중요한 계층은 상대적으로 방어가 미흡한 상태입니다.

2. 방법론 (Methodology)

저자들은 MCP-DPT(Defense-Placement Taxonomy) 라는 새로운 프레임워크를 개발하기 위해 다음과 같은 단계를 거쳤습니다.

1. 문헌 검토 및 공격 수집: 2025~2026 년까지 발표된 MCP 관련 보안 논문, 벤치마크, 서버 측 위협 분석, 생태계 측정 연구 등을 체계적으로 검토하여 49 가지 공격 사례를 수집했습니다.
2. 계층 정렬 분류 (Layer-aligned Taxonomy): 공격을 공격 기법이 아닌, 방어가 강제되어야 하는 아키텍처 계층에 따라 분류했습니다. MCP 의 6 가지 주요 계층을 정의했습니다:
   • 모델 제공자 / LLM 정렬 (Model Provider / LLM Alignment)
   • MCP 호스트 / 애플리케이션 (MCP Host / Application)
   • MCP 클라이언트 / SDK (MCP Client / SDK)
   • MCP 서버 / 도구 실행 (MCP Server / Tool Execution)
   • 전송 / 네트워크 (Transport / Network)
   • 레지스트리 / 마켓플레이스 및 공급망 (Registry / Marketplace & Supply-chain)
3. 방어 계층 매핑: 각 공격에 대해 주요 방어 계층 (Primary Defense Layer, 가장 초기에 방어가 가능한 지점) 과 보조 방어 계층 (Secondary Defense Layer, 주요 방어가 실패했을 때의 백업 지점) 을 할당하여 '방어 심층화 (Defense-in-Depth)' 논리를 수립했습니다.
4. 커버리지 분석 (Coverage Analysis): 기존 학술 및 산업계 방어 메커니즘 (13 가지 도구) 을 이 분류 체계에 매핑하여, 각 계층별 방어 능력 (Capability-based coverage) 을 정량적으로 분석했습니다.

3. 주요 기여 (Key Contributions)

1. 방어 배치 관점의 전환: 공격 실행 방식이 아닌, 강제 책임 (Enforcement Responsibility) 에 초점을 맞춘 최초의 MCP 보안 분류 체계를 제시했습니다.
2. 신뢰 경계 기반 분류: MCP 배포의 실제 신뢰 경계와 소유권 역할을 반영한 6 계층 아키텍처 분류를 정립했습니다.
3. 주요/보조 방어점 식별: 각 공격에 대해 가장 초기에 방어할 수 있는 지점과 fallback 지점을 명시하여, 책임 소재를 명확히 하고 방어 심층화 전략을 지원합니다.
4. 커버리지 격차 발견: 기존 방어 메커니즘이 도구 중심 (Tool-centric) 으로 편향되어 있으며, 전송 계층, 호스트 오케스트레이션, 공급망 계층 등 핵심 인프라 계층이 방어가 미흡함을 실증했습니다.
5. 구조적 취약성 규명: 많은 MCP 보안 약점이 개별 구현 결함이 아니라 아키텍처 정렬 (Architectural misalignment) 에서 비롯됨을 지적했습니다.

4. 분석 결과 (Results)

• 방어 집중도 불균형: 현재 방어 도구들은 레지스트리/공급망 (ToolHive 등 100% 커버리지) 과 서버 실행 계층 (MCP-Guardian 등 50% 커버리지) 에 집중되어 있습니다.
• 방어 사각지대 (Critical Gaps):
  • 전송/네트워크 계층 (Transport/Network): 거의 모든 방어 도구가 0% 커버리지를 보이며, 중간자 공격 (MitM) 등 네트워크 수준 공격에 취약합니다. (MCP-Gateway 만 50% 커버리지)
  • 호스트/애플리케이션 계층: 오케스트레이션 및 권한 관리 측면에서 방어력이 38% 수준으로 낮습니다.
  • 모델 정렬 계층: 모든 도구에서 부분적인 커버리지 (최대 44%) 만을 보입니다.
• 결론: 현재 방어 전략은 도구를 검사하기 쉬운 계층에 집중되어 있지만, 공격이 발생했을 때 가장 큰 파급효과 (Blast Radius) 를 가지는 인프라 계층은 구조적으로 방어가 미흡합니다.

5. 의의 및 시사점 (Significance)

• 실무적 가이드라인 제공: 이 분류 체계는 MCP 배포 시 방어 메커니즘의 적절한 배치를 결정하는 체크리스트 역할을 하며, 누가 (모델 제공자, 호스트, 서버 등) 어떤 공격을 막아야 하는지 명확히 합니다.
• 연구 방향성 제시: 기존 연구가 놓치고 있던 의사결정 계층 (Decision-level) 방어와 전송 계층 보안의 중요성을 강조합니다. 특히 멀티턴 워크플로우에서의 계획 단계 조작 (Planning-time manipulation) 에 대한 방어 연구가 시급함을 지적합니다.
• 생태계 안전성 제고: 단순한 구현 결함 수정을 넘어, MCP 생태계 전체의 신뢰 경계를 재정의하고 구조적인 보안 격차를 해소하기 위한 로드맵을 제시합니다.

요약

이 논문은 MCP 의 보안 문제를 "어디서 막아야 하는가"라는 질문으로 재정의하고, 아키텍처 계층별 방어 책임을 명확히 하는 분류 체계를 제안했습니다. 분석 결과, 현재 방어 수단이 도구 중심에 편향되어 있어 전송 및 공급망 등 핵심 인프라 계층이 취약함을 발견했으며, 이는 MCP 의 보안이 단순한 코드 수정이 아닌 구조적 정렬 (Structural Alignment) 을 통해 해결되어야 함을 시사합니다.