기술 요약: CAESAR – 자동화된 사이버 침투를 위한 조정된 다중 에이전트 프레임워크

1. 문제 제기

대형 언어 모델 (LLM) 은 취약점 분류 및 악용 코드 작성과 같은 공격적 보안 작업에서 능력을 입증해 왔습니다. 그러나 현재 단일 에이전트 접근 방식은 증거 추출, 계획 수립, 실행, 검증과 같은 전체 침투 워크플로우를 단일 대화 컨텍스트로 압축합니다. 이러한 압축은 특히 고급 지속적 위협 (APT) 과 같은 복잡하고 다단계 캠페인에서 컨텍스트 드리프트, 오류 전파, 그리고 환각을 초래합니다.

실제 침투 캠페인은 정찰, 가설 수립, 악용 구성, 침투 후 활동과 같은 상호 의존적인 단계를 요구하며, 이는 단일 LLM 호출의 실용적인 토큰 예산과 메모리 일관성을 초과합니다. 기존 다중 에이전트 시스템은 종종 일반적인 협업이나 논쟁에 초점을 맞추지만, 적대적이고 다단계 추론에 필요한 역할 경계, 아티팩트 출처, 그리고 엄격한 비용 제약(토큰, 시간, 위험) 을 명시적으로 모델링하지는 못합니다. 결과적으로 단일 에이전트 파이프라인은 종종 이진 분석이나 대수적 추론과 같은 이질적인 영역에서 수렴하지 못하는 시행착오 시퀀스로 붕괴됩니다.

2. 방법론: CAESAR 프레임워크

본 논문은 구조화된 라운드 기반 프로토콜을 통해 침투 스타일 워크플로우를 운영화하도록 설계된 조정된 다중 에이전트 프레임워크인 CAESAR(조정된 적대적 실행 및 전략적 추론) 을 제시합니다.

A. 형식적 모델 및 아키텍처

CAESAR 는 유한한 운영 예산 $\Gamma = \langle c_{tok}, c_{time}, c_{risk} \rangle$을 가진 대상 환경 $E$ 위에서 작동하는 튜플 $F = \langle R, E, K, W, \Pi, V \rangle$로 형식화됩니다. 이 프레임워크는 워크플로우를 다섯 가지 유형화된 역할 연산자로 분해합니다:

1. 탐정 (Detective, D): 대상 환경에서 중요한 특징과 증거를 추출합니다.
2. 전략가 (Strategist, S): 증거를 가설 그래프로 조직화하고 대안적인 해결 경로를 구성합니다.
3. 장군 (General, G): 가설을 예산 벡터에 대해 평가하고 실행 가능한 계획을 선택하여 특정 실행자에게 작업을 할당합니다.
4. 실행자 (Executor, E): 디버거, 역어셈블러와 같은 도메인별 도구를 호출하여 원자적 작업을 실행합니다.
5. 검증자 (Validator, V): 실행 흔적을 검사하고 결과를 검증하며, 신뢰할 수 있는 패턴을 영구 지식 베이스로 승격시키는 것을 통제합니다.

B. 라운드 프로토콜

프레임워크는 이산적인 라운드로 실행되며, 각 라운드는 다음 여섯 단계를 거칩니다:

1. 초기화: 해당 라운드를 위한 영구 지식 베이스 ($K$) 의 읽기 전용 스냅샷이 생성됩니다.
2. 증거 수집: 탐정이 제한된 관찰 작업을 발행하여 구조화된 증거 아티팩트를 생성합니다.
3. 가설 구성: 전략가는 현재 증거와 $K$의 재사용 가능한 패턴을 사용하여 가설 그래프를 구축합니다.
4. 계획 수립: 장군은 토큰, 시간, 위험 비용과 성공 확률 사이의 균형을 맞추는 유틸리티 함수 $U_G$를 사용하여 가설을 점수화합니다. 계획이 협상되어 실행자들에게 할당됩니다.
5. 작업 실행: 실행자들이 도구를 호출하고 구조화된 흔적을 생성합니다.
6. 평가 및 승격: 검증자가 모든 아티팩트를 점수화합니다. 승격 임계값 $\tau_{prom}$을 초과하는 아티팩트만 유형화된 항목 (패턴, 기능, 또는 피드백) 으로 영구 지식 베이스 $K$에 기록됩니다.

C. 주요 메커니즘

• 검증자 게이트 지식 승격: 오류 증폭을 방지하기 위해 검증된 고신뢰도 아티팩트만 $K$로 승격됩니다. 이는 후속 라운드가 환각된 상태가 아닌 검증된 관찰에 기반하여 구축되도록 보장합니다.
• 유형화된 아티팩트 및 출처: 모든 아티팩트는 유형, 콘텐츠 해시, 출처 링크를 포함하므로 검증자가 중간 산출물을 사양에 대해 감사할 수 있습니다.
• 예산 인식 계획 수립: 장군은 토큰, 시간, 위험 한도 내에서 계획이 유지되도록 트레이드오프 벡터를 명시적으로 최적화합니다.
• 쓰기 격리: 역할들은 각자의 특정 작업 공간 파티션에 대해 격리된 쓰기 권한을 가지며, 검증자는 공유 지식 베이스에 대한 유일한 작성자 역할을 합니다.

3. 주요 기여

1. 프레임워크 제안: 형식적 유형화 라운드 프로토콜 하에서 역할 전문화, 검증자 게이트 메모리, 그리고 예산 인식 계획 수립을 운영화하는 CAESAR 의 도입.
2. 체계적 평가: 네 가지 현대적 LLM 백엔드(GPT-5, Gemini 2.5, Grok-4, DeepSeek-R1) 를 대상으로 한 25 개의 실제 CTF 챌린지(Reverse, Pwn, Crypto, Misc, Web) 에 대한 포괄적인 평가.
3. 일반화 연구: 조정 패턴이 사회공학적 침투 시나리오로 이전될 수 있음을 보여주는 부수적 연구로, 단일 에이전트 베이스라인보다 높은 추출 성공률과 낮은 탐지 위험을 달성함.
4. 방어적 통찰: 원시 모델 능력보다는 조정 구조가 발생하는 공격 강도를 주도한다는 실증적 증거로, 역할 역학의 구조적 모니터링 필요성을 시사함.

4. 결과 및 분석

평가에서는 동일한 도구 접근 권한과 예산 제약 하에서 CAESAR 를 단일 에이전트 베이스라인과 비교했습니다.

• 성공률 및 효율성: CAESAR 는 모든 다섯 가지 CTF 카테고리에서 일관되게 작업 성공률을 향상시키고 해결 시간을 단축했습니다. 예를 들어, GPT-5 를 사용한 Reverse 카테고리의 경우 성공률이 +0.36만큼 향상되었고, 해결 시간은 단일 에이전트 기준 약 54 분에서 다중 에이전트 기준 약 24 분으로 감소했습니다.
• 적응적 행동: 프레임워크는 적응적 학습을 보여주었습니다. 소수의 성공적인 라운드 후 성능이 안정화되었으며, 검증자 게이트 메모리가 오류 증폭을 억제했습니다. 검증자가 부여한 역할 점수는 성공적인 실행 근처에서 재구성을 보여주어, 시스템이 검증된 피드백에서 학습했음을 나타냅니다.
• 백엔드 무관성: 조정의 이점은 네 가지 LLM 백엔드 전반에 걸쳐 일관되었습니다. 원시 성능은 모델에 따라 다양했습니다 (예: Grok-4 는 Crypto 작업에서 더 높은 추론 점수를 보임). 그러나 다중 에이전트 구조가 제공하는 상대적 이득은 안정적이었습니다. 이는 개선이 특정 모델 능력보다는 조정 프로토콜에서 비롯되었음을 시사합니다.
• 사회공학적 이전: 사회공학적 연구에서 다중 에이전트 팀은 10 라운드까지 3/3 개의 비밀을 탐지 없이 획득한 반면, 단일 에이전트 베이스라인은 1/3만 획득했습니다. 다중 에이전트 접근 방식은 탐지를 유발한 직접적인 프로빙에서 간접적 유도 전략으로 성공적으로 전환했습니다.

5. 중요성 및 주장

본 논문은 관찰된 공격 효과성에서 원시 모델 지능보다는 조정이 지배적인 요인이라고 주장합니다.

• 구조적 취약성: 연구 결과는 미래의 AI 기반 적대자가 단일 "초지능" 인스턴스보다는 라운드 전반에 걸쳐 부분 정보를 교환하고 전략을 정교화하는 분산된 앙상블로 나타날 가능성이 있음을 시사합니다.
• 방어적 함의: 현재 콘텐츠 수준의 안전장치 (입력/출력 필터, 정렬 레이어) 는 메시지를 고립적으로 평가하기 때문에 불충분합니다. 조정된 공격자는 의도를 역할과 라운드에 분산시켜 해로운 신호가 메시지 간 상관관계가 있을 때만 나타나게 만듭니다.
• 방어의 전환: 저자들은 방어가 콘텐츠 기반 필터링에서 역할 역학, 아티팩트 출처, 그리고 교차 메시지 전략 형성의 구조적 모니터링으로 전환되어야 한다고 주장합니다. CAESAR 가 외부화한 프로토콜 수준의 신호 (예: 에이전트 간 보호 대상에 대한 반복적 참조, 점진적 역할 전문화) 는 구조적 방어를 위해 필요한 양으로 제안됩니다.

인정된 한계

저자들은 명시적으로 다음 사항을 지적합니다:

• CTF 챌린지는 실제 침투를 위한 단순화된 대리 모델이며, 능동적인 방어자와 지속적인 제약이 결여되어 있습니다.
• 이 프레임워크는 실제 강화된 프로덕션 시스템에 대해 테스트되지 않았습니다.
• 사회공학적 연구는 실제 인간이 아닌 LLM 기반 페르소나를 사용했으므로 실제 인간 인지에 대한 운영 효과성에 대한 주장은 제한적입니다.
• 프로토콜은 협력적인 에이전트를 가정하며, 비잔틴 또는 기만적인 역할은 범위에 포함되지 않습니다.