기술 요약: PhantomSkill 및 VulMask

문제 정의

본 논문은 LLM 기반 코딩 에이전트 생태계의 핵심적인 공급망 보안 격차를 다룹니다. 에이전트(예: Claude Code, Cursor)는 도메인 특화 능력을 습득하기 위해 SKILL.md 설명과 스크립트 같은 보조 리소스를 포함하는 패키지 디렉토리인 "에이전트 스킬(Agent Skills)"을 활용합니다. 그러나 현재의 보안 모델은 주로 텍est 파일 내의 프롬프트 인젝션에 집중되어 있습니다.

악성 스킬에 대한 기존 연구는 주로 보조 리소스에 숨겨진 명시적인 악성 스크립트나 SKILL.md 내의 텍스트 유도에 의존합니다. 하지만 현대적인 에이전트와 자동화된 검토 도구들은 실행 전 이러한 리소스들을 빈번하게 검사합니다. 저자들은 다음과 같은 취약점을 식별했습니다: 검토자와 스캐너는 명시적인 악의적 의도(멀웨어)에는 매우 민가하게 반응하지만, 일반적인 보안 취약점이 있는 코드(vulnerabilities)는 낮은 우선순위 문제로 취급하는 경-향이 있습니다. 이러한 격차는 악의적인 동작이 표준적인 코딩 오류로 위장되어 탐지를 우회하면서도, 공격자에 의해 트리거될 수 있는 능력을 유지하도록 허용합니다.

방법론: PhantomSkill 및 VulMask

저자들은 VulMask라고 불리는 핵심 기술을 중심으로 한 공급망 공격 프레임웨어인 PhantomSkill을 제안합니다.

핵심 메커니즘

VulMask는 명시적인 악성 페이로드를 **취약점 형태의 구현체(vulnerability-shaped implementations)**로 재작성하여 작동합니다. 이 기술은 명시적인 멀웨어 로직을 삽로하는 대신, 페이로드를 의도적인 공격이 아닌 일반적인 보안 약점(예: 커맨드 인젝션, 안전하지 않은 종속성 처리, 정보 노출)을 포함하는 것처럼 보이는 코드로 변환합니다.

프로세스는 다음과 같습니다:

1. 취약점 클래스 선택: 시스템은 의도된 악의적 동작과 관련된 취약점 클래스 집합($W$)을 선택하고, 이를 CWE 스타일의 약점과 매핑합니다.
2. LLM 기반 재작성: LLM 기반 생성기($g$)가 원래의 명시적 스크립트($p^*$)를 마스킹된 페이로드($p_m$)로 재작성합니다.
   $$p_m = g(p^*, W)$$
   결과물인 스크립트는 공격자의 의도된 부수 효과(side effect)를 보존하면서, 이를 트리거 가능한 약점을 통해 노출합니다.
3. 임베딩 및 보존: 마스킹된 페이로드는 스킬의 이름, 설명 또는 주요 워크플로우를 변경하지 않고 원래의 보조 리소스($r_h$)에 임베딩됩니다. 이는 트리거 조건이 없을 때 스킬이 광고된 유익한 기능을 유지하도록 보장합니다.
   $$s_{VulMask} = (n_h, d_h, t_h, r_m)$$
4. 트리거 메커니즘: 악의적인 동작은 특정 공격자 제어 트리거 조건($\theta$, 예: 특정 프로젝트 상태, 외부 콘텐츠 또는 구조화된 입력)이 충족될 때만 활성화됩니다.

위협 모델

• 공격자: 배포된 스킬 패키지(특히 보조 리소스)의 콘텐츠를 제어할 수 있지만, 설치 후의 피해자 LLM, 실행 환경 또는 사용자 프롬프트는 제어할 수 없습니다.
• 방어자: 게시 전, 설치 시 또는 실행 중에 모든 스킬 구성 요소(스크립트 포함)를 스캔할 수 있습니다. 핵심 과제는 악의적인 페이로드와 일반적이지만 취약한 코드를 구분하는 것입니다.

주요 기여

1. 공격 표면 식별: 본 논문은 에이전트 스킬 내의 보조 리소스(스크립트, 템플릿)가 텍스트 프롬프트 인젝션과는 구별되는 실질적이고 보호받지 못하는 공급망 공격 표면임을 식별했습니다.
2. VulMask 기술: 악의적 의도를 일반적인 보안 취약점으로 위장하여, 가시적인 신호를 "멀웨어"에서 "취약점"으로 효과적으로 전환하는 코드 수준의 페이로드 재작성 기술을 제안합니다.
3. 포괄적 평가: 저자들은 호스트 스킬, 공격 목표, 코딩 에이전트, 생성 모델 및 자동 검토 도구를 포함한 다양한 차원에서 이 공격을 평가하여 현재 방어 메커니즘의 한계를 입증했습니다.

실험 결과

평가는 공개된 에이전트 스킬 코퍼스를 사용하여 GPT-5.5, GLM-4.7-Flash, Qwen3-Coder와 같은 모델 및 자동 검토 도구(예: Cisco, Snyk, Mondoo)를 대상으로 수행되었습니다.

• 공격 성공률(ASR) vs 탐지: VulMask는 성공적인 방법들 중 가장 높은 ASR(58.8%)을 달 기록하는 동시에 가장 낮은 **경고율(Warning Rate, 11.4%)**을 유지했습니다. 반면, 명시적 악성 스크립트는 더 높은 경고율(25.4%)과 낮은 ASR(46.3%)을 보였습니다.
• 유용성 보존: VulMask는 호스트 스킬의 유익한 기능의 **96.6%**를 보존하였으며, 이는 스크립트를 관련 없는 페이로드로 교체하는 방식보다 현저히 우수한 성능입니다.
• 검토 도구에 대한 은폐성:
  • 자동 스캐너: Cisco 정적 분석과 같은 도구들은 마스킹된 페이로드를 "멀웨어"가 아닌 "취약점"으로 재분류했습니다 (Cisco 정적 분석의 경우 멀웨어 플래그 17.1% 대비 취약점 플래그 100%).
  • 코딩 에이전트: GPT-5.5 및 GLM-4.7을 사용하는 에이전트는 명시적 스크립트에 비해 VulMask 스크립트에 대한 탐지율이 낮게 나타났으나, Opus-4.7과 같은 더 강력한 모델은 두 경우 모두에 대해 여전히 효과적이었습니다.
• 일반화: 이 기술은 자격 증명 탈취(credential exfiltration), 명령 실행(command execution), 에이전트 조작(agent manipulation), 파괴(destruction)의 네 가지 공격 목표 전반에 걸쳐 일반화되었습니다. 탐지 감소가 가장 두드-러진 부분은 파괴 공격이었습니다 (명시적 탐지 41.7%에서 VulMask 탐지 4.2%로 감소).
• 전이 가능성: 이 기술은 서로 다른 LLM 백엔드(Opus-4.7, GLM-4.7, Qwen3)에 의해 생성되었을 때도 효과적으로 유지되었으며, 이는 기술이 특정 생성기에 종속되지 않음을 나타냅니다.

의의 및 주장

본 논문은 스킬 생태계가 보안 검토의 패러다임 전환을 필요로 한다고 주장합니다. 연구 결과는 다음을 시사합니다:

1. 리소스 수준의 검토가 필수적임: SKILL.md만 스캔하는 것은 불충분하며, 보조 실행 리소스는 일급 공격 표면으로 취급되어야 합니다.
2. 페이로드로서의 취약점: 에이전트 생태계에서 트리거 가능한 취약점은 기능적으로 악성 페이로드와 동일합니다. "보안이 취약한 코드"를 낮은 우선순위 문제로 강등시키는 현재의 보안 정책은 이러한 리소스를 높은 권한으로 실행할 수 있는 에이전트를 보호하는 데 실패합니다.
3. 방어 권고 사항: 저자들은 다음을 권고합니다:
   • 마켓플레이스의 리소스 수준 검토(스크립트 및 종속성 스캔).
   • 실행 시 격리(최소 권한 접근, 네트워크 제한).
   • 검토 도구가 에이전트 스킬 내의 악용 가능한 취약점을 단순한 코드 품질 문제가 아닌 잠재적인 악성 페이로드로 취급하도록 하는 정책 업데이트.

저자들은 이 공격이 효과적이라는 점을 강조하면서도, 이것이 극복 불가능한 결함이라기보다는 현재 방어 체계의 특정 격차를 드러내는 것이며, 에이전트 스킬 생태계를 위한 더 강력한 검증 및 격리 메커니즘 개발을 촉구하고 있습니다.