기술 요약: 슬리퍼 채널과 출처 게이트

문제 정의: 슬리퍼 채널

이 논문은 (OpenClaw, Hermes Agent 와 같은) "상시 작동" 자율 AI 에이전트에서 "슬리퍼 채널 (Sleeper Channels)"이라 명명된 새로운 위협 클래스를 식별합니다. 전통적인 프롬프트 인젝션이 일반적으로 단일 턴 또는 세션 내에서 발생하는 것과 달리, 슬리퍼 채널 공격은 **수취 (intake, $T_0$)**와 **발동 (effect, $T_1$)**을 시간, 저장 소스, 통신 표면 간에 분리합니다.

이 시나리오에서, 그룹 채팅이나 이메일과 같은 신뢰할 수 없는 입력은 에이전트에 의해 섭취되어 메모리 노트, 자체 작성 스킬, 예약된 작업, 또는 파일시스템 패치로 영구적으로 남습니다. 이 아티팩트는 에이전트의 권한 범위 내에서 생존하다가, 이후 소유자의 요청이나 자율 루프와 같은 건전한 트리거가 이를 검색하여 실행할 때까지 유지됩니다. 공격은 수취와 다른 표면을 통해 발동되며, 종종 에이전트가 명령의 매개변수가 신뢰할 수 없는 출처에서 유래했음을 인지하지 못한 채 소유자를 대신하여 명령을 실행하는 "혼란된 부하 (confused deputy)" 조건을 활용합니다.

저자들은 이 클래스를 두 가지 축으로 정의합니다:

1. 지속성 소스 (Persistence Substrate): 악성 지시가 생존하는 위치 (메모리, 자체 작성 스킬, 파일시스템, 예약/외부 트리거).
2. 발동 분리 (Firing-Separation): 수취와 실행 간의 분리 정도 (동일 세션, 교차 채널, 교차 행위자, 교차 실행 컨텍스트).

이 논문은 기존 문헌이 이러한 기능을 단일 턴 인젝션이나 메모리 오염과 같이 고립적으로 다루며, 다중 소스 지속성과 결합된 지연된 교차 표면 발동의 통합된 위협을 다루지 못한다고 주장합니다.

방법론 및 위협 모델

저자들은 공격자가 "신뢰할 수 없으나 허용된 (untrusted-but-admitted)" 상태라는 위협 모델을 채택합니다. 즉, 공격자의 콘텐츠는 활성화되었으나 신뢰도가 낮은 채널 (그룹 채팅, 이메일, 가져온 URL) 을 통해 에이전트에 도달합니다. 방어자는 에이전트 소유자입니다. 분석은 OpenClaw 런타임의 특정 고정 커밋 (커밋 3120401f...1829b1b6) 에 고정되었으며, 모든 주장은 번들된 소스 코드를 기준으로 검증되었습니다.

이 논문은 지속성 소스 ($M_1$–$M_5$) 를 발동 분리 ($C_0$–$C_4$) 에 매핑하는 **분류 체계 (Table I)**를 제시합니다. 이는 기존 연구가 미흡하게 정의한 네 가지 설명적 시나리오를 강조합니다:

• A4 (실행 예시): "혼란된 부하를 통한 크론 (Cron via confused deputy)" 공격 ($M_5 \times C_4$). 공격자가 이메일에 악성 웹훅 URL 을 삽입합니다. 에이전트는 이를 요약하여 메모리에 저장합니다. 며칠 후, 소유자가 에이전트에게 "그 일일 건강 검진을 설정해 주세요"라고 요청합니다. 에이전트는 메모리 노트를 검색하여 공격자의 URL 이 포함된 크론 작업을 생성하고 실행합니다. 지속성은 크론 항목이며, 발동은 에이전트 프로세스 외부의 시스템 크론 데몬에서 발생합니다.
• A2: 그룹 채팅을 통한 스킬 트로이 ($M_3 \times C_2$).
• A3: 메모리를 통한 교차 채널 유출 ($M_2 \times C_2$).
• A5: Dotfile 패치 ($M_4 \times C_4$).

주요 기여: 출처 방어 (D2)

이 논문은 계층적 방어 전략을 제안하며, D2가 핵심 기여입니다. D2 는 모델 루프 외부로 집행 경계를 이동시켜 **출처 추적 (provenance tracking)**과 **작업 인스턴스 인증 (action-instance attestation)**에 의존합니다.

핵심 메커니즘

1. 아티팩트 태깅 및 전파: 런타임은 모든 아티팩트 (메모리, 스킬, 파일, 도구 호출) 에 대해 출처 상태 ($\Pi$) 를 유지합니다. 태그 ($\tau$) 는 출처 (채널, 주체, 장치) 를 기록합니다. 신뢰할 수 없는 입력은 출처 집합을 엄격하게 확장합니다.
2. 작업 인스턴스 다이제스트: 모든 결과적 작업 $\alpha$는 정규화된 작업 바이트 (인수와 대상을 포함) 에 대해 충돌 저항성 해시 (SHA-256) 를 사용하여 표준 다이제스트 $\delta(\alpha)$로 해시됩니다. 이는 모델이 공격자의 지시를 재작성하여 그 출처를 숨기는 "개사 세탁 (paraphrase laundering)"을 무효화합니다.
3. 중재 후크: 방어는 10 개의 런타임 후크 (H1–H10) 를 통한 **완전 중재 (complete mediation)**를 요구합니다.
   • 업데이트 후크 (H1–H5): 수취 및 생성 중 태그를 채우고 출처를 전파합니다.
   • 게이트 후크 (H6–H10): 부수적 효과(dispatches) 발생 전의 결정 지점 (예: 쉘 실행, 파일 쓰기, 예약).
4. 원샷 소유자 인증: 출처가 신뢰할 수 없는 작업의 경우, 게이트는 신뢰할 수 있는 주체로부터 허가 $g$를 요구합니다. 이 허가는 작업 다이제스트 $\delta(\alpha)$와 일치해야 하며, 재생 방지를 위한 고유한 난수 (nonce) 를 포함해야 하며, 모델이 생성할 수 없는 하드웨어 인증 동반 채널 ($\Sigma$) 을 통해 도착해야 합니다.

건전성 정리

저자들은 일곱 가지 런타임 불변성 (중재, 태그, 인과, 채널, 허가 인증, 난수, 해시) 을 가정하여 D2 에 대한 건전성 정리를 제공합니다. 이 정리는 다음 조건 중 하나를 충족할 때만 디스패치가 허용된다고 명시합니다:

• 인과 집합에 기여하는 모든 아티팩트가 신뢰할 수 있는 출처를 가짐 ($\Pi_\alpha \subseteq T$), 또는
• 정확한 작업 인스턴스에 대해 유효하고 신선하며 소유자가 신뢰하는 인증이 존재함.

이 설계는 모델이 악성 명령을 생성하도록 속이더라도, 소유자가 안전한 채널을 통해 해당 특정 작업 인스턴스에 명시적으로 인증하지 않는 한 게이트가 이를 거부하도록 보장합니다.

결과 및 평가

이 논문은 배포된 프로덕션 시스템을 주장하지는 않지만, 소스 기반의 타당성 논증과 실행 가능한 참조 구현을 제공합니다.

• 실증 프로브 (A4): 20 회 단일 샷 시도의 "연기 프로브"에서, 최첨단 추론 모델에게 OpenClaw 보안 경고와 악성 컨텍스트가 제공되었습니다. 20 개 중 19 개의 모델이 공격자의 URL 을 가리키는 유효한 cron.add 도구 호출을 방출하여, 컨텍스트 내 경고 (D1) 가 공격을 방지하기에 불충분함을 입증했습니다.
• 참조 구현: github.com/maloyan/sleeper-channels의 동반 아티팩트에는 다음이 포함됩니다:
  • D2 게이트 결정 함수의 TypeScript 구현.
  • OpenClaw 에서 인용된 소스 행이 존재하고 위협 모델과 일치하는지 확인하는 13 가지 사례의 정적 감사 스위트.
  • 크론 경로 주변에서 후크 H1, H2, H3, H6, H9 를 구현하는 런타임 어댑터.
  • 결정 규칙, 다중 입력 세탁, 허가 재생을 다루는 42 가지 사례의 테스트 스위트.
• 검증: 런타임 어댑터는 신뢰할 수 없는 출처로 인해 A4 공격자 호출이 거부되는 반면, 건전한 소유자 전용 크론 작업은 허용됨을 성공적으로 시연했습니다.

중요성 및 주장

이 논문은 슬리퍼 채널 위협 클래스를 수정하고 방어를 위한 형식적 명세를 제공하는 입장 및 설계 논문으로 자신을 위치시킵니다.

• 참신성: OS-live 에이전트에서 다중 소스 지속성과 지연된 교차 표면 발동의 조합을 통합된 위협 클래스로 다루는 최초의 연구입니다.
• 방어 배치: 출처 신호는 모델 루프 외부에서 집행되어야 한다고 주장합니다. 모델이 신뢰할 수 없는 입력을 거부하도록 의존하는 것 (D1) 은 적응형 공격에 대해 취약합니다.
• 형식화: 개사 세탁과 재생 공격을 무효화하고 경험적 기반과 형식적 집행 명세가 부족했던 기존 커뮤니티 제안 (예: 업스트림 이슈 [10]) 의 격차를 해소하기 위해 건전성 정리와 표준 작업 인스턴스 다이제스트를 도입합니다.
• 겸손함: 저자들은 경험적 공격 성공률, 전체 배포 효과, 그리고 유틸리티 - 비용 트레이드오프는 사전 등록된 후속 연구로 이양된다고 명시합니다. 현재 작업은 특정 런타임 커밋에서의 공격 및 방어에 대한 분류 체계, 형식적 방어, 그리고 타당성을 확립합니다.