MCPHunt: An Evaluation Framework for Cross-Boundary Data Propagation in Multi-Server MCP Agents

"Multi-Server MCP Agents 의 교차 경계 데이터 전파 평가를 위한 MCPHunt: 평가 프레임워크"논문에 대한 상세한 기술적 요약입니다.

1. 문제 제기

이 논문은 Multi-Server Model Context Protocol(MCP) 에이전트에서 발생하는 치명적이지만 적대적이지 않은 보안 취약점을 다룹니다. 기존 보안 연구는 적대적 공격 (예: 프롬프트 인젝션, 저어브레이크, 악성 서버) 에 초점을 맞추고 있지만, 본 연구는 **신뢰할 수 있는 도구 조합 (faithful tool composition)**에 내재된 구조적 위험을 규명합니다.

• 핵심 문제: 다중 서버 환경에서 에이전트는 사용자 작업을 완료하기 위해 한 서버 (예: 데이터베이스 또는 설정 파일) 에서 민감한 데이터 (예: API 키, 자격 증명) 를 정당한 목적으로 읽은 후, 다른 서버 (예: 브라우저, 스크립트, 또는 다른 디렉토리) 에 기록할 수 있습니다.
• 위험: 이러한 "조합적 데이터 전파"는 악의적인 의도 없이 자격 증명이 신뢰 경계를 넘어 이동하게 만듭니다. 에이전트는 지시된 대로 정확히 행동하지만, 기존 접근 제어 경계 밖의 새로운 위치에 프로덕션 자격 증명이 실수로 노출됩니다.
• 격차: 현재 벤치마크는 적대적 견고성이나 조합적 추론 (새로운 정보 합성) 을 평가하지만, 일상적인 비적대적 작업 수행 중 기존 자격 증명의 그대로의 전파를 측정하는 것은 없습니다.

2. 방법론: MCPHunt 프레임워크

저자들은 비적대적 교차 경계 자격 증명 전파를 격리하고 측정하도록 설계된 최초의 통제된 벤치마크인 MCPHunt를 소개합니다. 이 프레임워크는 세 가지 방법론적 기둥에 의존합니다.

A. 캐나리 기반 태인 (Taint) 추적

• 메커니즘: 실제 비밀 정보를 사용하는 대신, 시스템은 작업 공간 (파일, 데이터베이스, 지식 그래프) 에 형식적 진위성을 가진 캐나리 문자열 (예: sk_live_..., AKIA..., ghp_...) 을 주입합니다.
• 탐지: 전파는 도구 호출 인자의 객관적인 문자열 매칭을 통해 탐지됩니다. 소스에서 읽힌 캐나리가 싱크 (쓰기 작업) 에 나타나면 유출로 플래그가 지정됩니다. 이는 인간 주석의 필요성을 없애고 오탐지를 줄입니다.

B. 환경 통제 설계

탐지된 전파가 자격 증명 형식 아티팩트가 아닌 작업 토폴로지 때문임을 보장하기 위해, 프레임워크는 세 가지 명확한 조건에서 작업을 실행합니다.

1. 위험 (Risky): 형식적 진위성을 가진 캐나리를 포함합니다.
2. 무해 (Benign): 캐나리가 없는 동일한 구조의 무해한 플레이스홀더를 포함합니다. 탐지기가 0% 의 오탐지를 생성하는지 확인하는 데 사용됩니다.
3. 하드 네거티브 (Hard-Negative): test_key_not_for_production과 같이 사람이 읽을 수 있는 보안 테마의 플레이스홀더를 포함합니다. 이는 자격 증명의 형식이 유출을 주도하는지, 아니면 데이터 흐름 자체가 충분한지 테스트합니다.

C. CRS 계층화 (Completion-Requires-Secret)

프레임워크는 진정한 안전성 실패를 격리하기 위해 두 가지 유형의 전파를 구분합니다.

• 작업 의무 전파 (CRS): 프롬프트가 에이전트에게 데이터를 그대로 복사하도록 명시적으로 지시하는 경우 (예: "모든 것을 복사", "전체 내보내기"). 여기서 전파는 모델 실패가 아닌 배포 위험입니다.
• 정책 위반 전파 (Non-CRS): 프롬프트가 파생 아티팩트를 요청하는 경우 (예: "요약 작성", "보고서 생성") 에이전트가 원시 자격 증명을 포함하는 경우. 이것이 주요 안전성 지표입니다.

3. 주요 기여

1. 측정 프레임워크: 캐나리 추적과 CRS 계층화를 사용하여 정책 위반 전파율을 정량화하는 재사용 가능하고 모델에 구애받지 않는 방법론.
2. 위험 분류 체계: 소스에서 싱크로의 데이터 흐름 패턴 (예: browser_to_local, config_to_script, db_to_artifact) 을 기반으로 한 9 가지 위험 메커니즘 군의 분류.
3. 실증적 증거: 5 개 모델, 147 개 작업, 3,615 개 추적에 걸친 대규모 평가를 통해 전파가 모델 결함이 아닌 워크플로우의 구조적 속성임을 입증.

4. 주요 결과

전파율

• 전체: 5 개 모델 (GPT-5.4, GPT-5.2, DeepSeek, Gemini, MiniMax) 을 대상으로 한 결과, 정책 위반 전파율은 11.5% 에서 41.3% 사이였습니다.
• 메커니즘 특이성: 전파는 경로에 매우 의존적입니다. browser_to_local 메커니즘이 가장 높은 비율 (GPT-5.4 기준 74.4%) 을 보였으며, 에이전트가 원시 HTML 콘텐츠를 필터링하는 데 어려움을 겪기 때문입니다. 반면 indirect_exposure 는 0% 였습니다.
• 통계적 유의성: 메커니즘 군은 전파 위험의 분산의 **62%**를 설명하는 반면 (pseudo-R²), 모델 정체성은 **32%**만 설명했습니다. 이는 데이터가 어디로 흐르는지가 어떤 모델이 처리하는지보다 위험의 더 강력한 예측 변수임을 증명합니다.

모델 간 일반화

• 더 높은 유틸리티 (작업 성공) 가 낮은 전파와 상관관계가 없습니다. 예를 들어, MiniMax-M2.7 은 가장 높은 유틸리티 (92.2%) 를 보였지만 정책 위반 전파도 가장 높았습니다 (41.3%).
• 하드 네거티브 통제는 프로덕션 형식의 자격 증명이 유출에 필수적이지 않음을 확인시켜 주었습니다. 프롬프트 지향 교차 경계 흐름만으로도 전파를 일으킬 수 있습니다.

완화 분석

• 프롬프트 수준 방어: 일반적 리마인더에서 상세한 경계 인식 지시까지 점진적인 프롬프트 완화는 GPT-5.4 의 경우 정책 위반 전파를 최대 **97%**까지 줄였습니다. 그러나 효과는 모델에 따라 크게 달라졌으며, 이는 지시 따르기 능력과 상관관계가 있었습니다.
• 프롬프트의 한계: 프롬프트는 browser_to_local 작업에는 덜 효과적이었으며, 프롬프트에 의해 구조적으로 요구되는 작업 의무 (CRS) 전파를 막지 못했습니다.
• 런타임 태인 가드: 쓰기 시 캐나리를 마스킹하는 시뮬레이션된 사후 가드는 모든 모델에서 **85–96%**의 위험한 추적을 차단했습니다. 이는 프롬프트 엔지니어링보다 오케스트레이션 계층의 강제 조치가 더 효과적이고 모델에 구애받지 않음을 시사합니다.

5. 중요성과 함의

• 에이전트 안전성 재정의: 이 논문은 "악성 모델"에서 "구조적 부작용"으로 초점을 이동시킵니다. 워크플로우 토폴로지가 마스킹 로직 없이 신뢰 경계를 넘어 데이터를 라우팅하면, 완벽하게 정렬된 모델조차 자격 증명을 유출할 것이라고 주장합니다.
• 인프라 대 모델: 연구 결과는 모델 정렬 (RLHF) 이나 프롬프트 엔지니어링에만 의존하는 것은 불충분함을 시사합니다. 효과적인 완화는 인프라 수준에서 데이터 흐름 인식 오케스트레이션 (예: 런타임 태인 가드) 을 필요로 합니다.
• 브라우저 위험: 웹 콘텐츠의 스키마 수준 세분성 부재로 인해 자동 마스킹이 현재 LLM 에게 어렵기 때문에, browser_to_local 경로가 중요한 취약점으로 식별되었습니다.
• 오픈 사이언스: 저자들은 커뮤니티가 에이전트 안전성을 평가하고 개선할 수 있도록 MIT 및 CC BY 4.0 라이선스 하에 전체 벤치마크 (코드, 추적, 라벨링 파이프라인) 를 공개했습니다.

결론

MCPHunt 는 Multi-Server MCP 에이전트가 신뢰할 수 있는 실행이 자격 증명 유출로 이어지는 측정 가능한 정보 흐름 제어 문제에 직면해 있음을 보여줍니다. 이 위험은 특정 LLM 모델보다는 소스에서 싱크로의 메커니즘에 의해 주로 주도됩니다. 프롬프트 완화는 위험을 줄일 수 있지만, 이 논문은 견고한 보안을 위해서는 신뢰 경계를 가로지르는 데이터 흐름 정책을 강제하는 오케스트레이션 계층 제어 (태인 추적 등) 가 필요하다고 결론지었습니다.