기술 요약: Model Context Protocol에서의 Unicode TAG-Block 은닉을 이용한 도구 메타데이터 페이로드 공격

문제 정의

Model Context Protocol(MCP)은 코딩 에이전트가 외부 도구를 발견하고 호출하기 위한 표준 메커니즘이 되었습니다. 이 아키텍처에서 서버는 tools/list 핸드셰이크를 통해 도구를 광고하며, 이때 메타데이터(이름, 자연어 설명, JSON 입력 스키마)를 반환합니다. 클라이언트는 이 메타데이터를 사용자 승인 대화창에 한 번 렌더링하여 보여준 뒤, 이후 모든 턴마다 해당 메타데이터를 모델의 컨텍스트에 있는 그대로 주입합니다.

본 논문은 결정적인 **충실도 격차(fidelity gap)**를 식elle합니다: 프로토콜은 렌더링된 승인 뷰(사람이 보는 것)가 모델에 전달되는 바이트(토크나이저가 받는 것)와 반드시 일치해야 한다고 요구하지 않습니다. 이러한 격차로 인해 악의적이거나 침해된 서버는 은닉 인코딩(concealment encoding)—렌더러는 표시할 수 없지만 토크나이저는 수용하는 문자 집합을 사용하여 명령어를 작성하는 방식—을 사용하여, 인간의 검토를 우회하면서도 공격자가 제어하는 프롬프트를 모델에 전달할 수 있습니다. 이는 도구 메타데이터를 모니터링되지 않는 프롬프트 전달 채널로 변모시켜, 에이전트가 비밀 정보를 유출하거나 위험한 작업을 수행하도록 유도하는 "도구 포이즈닝(tool poisoning)" 및 "혼란스러운 대리인(confused deputy)" 공격을 가능하게 합니다.

방법론

저자들은 이론적 분석, 경험적 측정, 교차 구현 검증을 결합한 세 가지 접근 방식을 사용합니다:

1. 모델 불가지론적 메커니즘 분석 (Model-Free Mechanism Analysis): 실험을 실행하기 전, 저자들은 렌더링 파이프라인을 분석합니다. 그들은 주요 터미널, 채팅 클라이언트, IDE가 유니코드 코드포인트를 글리프(glyph)로 매핑한다는 점을 확인했습니다. 만약 특정 코드포인트에 할당된 글리프가 없다면(unassigned), 렌더러는 아무것도 표시하지 않거나(공백) 빈 칸으로 표시하지만, 모델의 토크나이저는 글리프 할당 여부와 관계없이 원시 UTF-8 바이트를 디코딩합니다. 이 분석은 유니코드 TAG 블록(U+E0000–U+E007F)이 유효하지만 주요 폰트에는 할당되지 않았으므로, 인간에게는 보이지 않지만 모델에게는 완전히 가시적일 것이라는 점을 예측합니다.
2. 실제 프로토콜 개념 증명 (Real-Protocol Proof-of-Concept): 저자들은 실제 MCP 클라이언트와 JSON-RPC/stdio를 통해 통신하는 서버를 사용하는 하네스를 구축했습니다. 그들은 5가지 서로 다른 메타데이터 표면(도구 설명, 입력 스키마, 도구 이름, 에러 채널, 승인 후 변이)에 걸쳐 8가지 구체적인 기법을 구현했습니다.
   • 기법: 직접 주입, 교차 도구 섀도잉(cross-tool shadowing), 유니코드 TAG-블록 은닉, 혼란스러운 대리인 자격 증명 릴레이, 위험한 기본값 스키마 강제, 네임스페이스 충돌, 에러 채널 주입, 그리고 Time-of-Check to Time-of-Use (TOCTOU) 러그-풀(rug-pull)을 포함합니다.
   • 테스트된 방어 기제: 명령형 및 민감 키워드 결합 로직을 사용하는 대표적인 문자열 매칭 산티자이저(sanitizer)와 시뮬레이션된 인간 검토 렌더링을 테스트했습니다.
3. 교차 라이브러리 검증 (Cross-Library Validation): 프로토콜 수준의 특성과 구현상의 아티팩트를 구분하기 위해, 전체 기법 카탈로그를 재구현하여 3개의 독립적으로 개발된 Python MCP 서버 라이브러리(공식 로우레벨 SDK, 공식 하이레벨 FastMCP 데코레이터 API, 그리고 제3자 fastmcp 패키지)를 대상으로 테스트했습니다.

주요 기여

• 은닉 인코딩의 격리: 본 논문은 렌더러의 글리프 조회와 토크나이저의 어휘 사전 사이의 괴리를 이용하여, 페이로드가 인간의 검토를 생존하여 모델에 도달하게 만드는 단일 구조적 메커니즘인 **은닉 인코딩(concealment encoding)**을 분리해 냈습니다.
• 프로토콜 수준의 충실도 격차: MCP의 설계가 도구 메타데이터를 시스템 프롬프트와 구별할 수 없는 명령어로 취급하면서도, 렌더링된 뷰와 모델의 컨텍스트가 독립적인 경로를 갖는 일회성/조조한 동의 모델에 의존하고 있음을 입증했습니다.
• 방어 회피의 경험적 측정: 도구 포이즈닝 기법 중 어떤 것이 특정 방어 계층(산티자이저 vs 인간 검토)을 무력화하는지, 그리고 어떤 것이 재동의 없이 정의 변이를 생존하는지를 결정론적인 프로토콜 수준에서 최초로 측정한 연구입니다.
• 교차 구현 검증: 3개의 서로 다른 서버 코드베이스에서 결과를 재현함으로써, 이러한 취약점이 특정 라이브러리의 버그가 아니라 MCP 명세 자체의 고유한 속성임을 확립했습니다.

결과

연구는 8가지 기법과 5가지 메타데이터 표면에 대해 다음과 같은 경험적 결과를 도출했습니다:

• 모델 전달 (Model Delivery): 8/8 기법 모두 공격자가 제어하는 페이로드를 모델의 컨텍스트에 성공적으로 전달했습니다.
• 산티자이저 회피 (Sanitizer Evasion): 4/8 기법이 베이스라인 문자열 매칭 산티자이를 회피했습니다. 여기에는 명령을 설정(configuration)으로 프레이밍하거나(스키마 강제), 도구 이름을 공격 벡터로 사용하거나, 은닉 인코딩을 활용한 기법들이 포함되었습니다.
• 인간 검토 회피 (Human Review Evasion): 단 1/8 기법(T7: 유니코드 TAG-블록 은닉)만이 인간의 렌더링 뷰를 회피했습니다. 메커니즘 분석에서 예측한 바와 같이, TAG-블록 페이로드는 렌더러에는 보이지 않았으나(할당된 글리프 없음) 모델에 전달되는 바이트 스트림에는 온전히 남아 있었습니다.
• 재동의 강제 (Re-Consent Enforcement): 사용자가 이미 서버를 승인한 후 양호한 도구 정의가 오염된 것으로 변이된 경우(T3 "러그-풀")에도, 0/8 기법이 프로토콜에 의해 강제된 재승의를 트리거하지 못했습니다.
• 교차 라이브러리 일치성: 32개의 결과 셀(8개 기법 × 3개 라이브러리) 모두 동일한 결과를 생성하여, 이 발견들이 프로토콜 수준의 속성임을 확인했습니다.

의의 및 주장

본 논문은 이 취약점이 특정 소프트웨어 제품의 버그가 아니라 **구조적 간극(structural gap)**임을 주장합니다. 이 연구의 의의는 다음을 식별하는 데 있습니다:

1. 렌더링 충실도의 중요성: 문자열 매칭이나 인간 검토에 의존하는 현재의 방어 체계는 은닉 인코딩을 통해 렌더링 표면을 비워버릴 수 있으므로 불충분합니다. 저자들은 승인 뷰가 단순히 시각적으로 그럴듯한 것이 아니라, **바이트에 충실(byte-faithful)**해야 한다고(즉, 정확한 바이트를 렌더링하거나 할당되지 않은 코드포인트를 가시적인 플레이스홀더로 정규화해야 함) 주장합니다.
2. 누락된 프로토콜 메커니즘: 프로토콜에는 도구 정의가 변이될 때(TOCTOU) 재동의를 강제하거나, 출처별로 도구 네임스페이스를 제한하는(네임스페이스 충돌 방지) 메커니즘이 부족합니다.
3. 방어 전략: 저자들은 이러한 문제를 해결하려면 작성 시점의 완화 조치나 문자열 매칭 산티자이에만 의존할 것이 아니라, 프로토콜 계층에서의 구조적 변화(바이트 충실한 동의, 변이 시 재동의, 출처 기반 네임스페이스)가 필요하다고 결론짓습니다.

본 논문은 새로운 공격 유형을 제안하는 것이 아니라, 기존의 도구 포이즈닝 공격이 인간 검토자에게 보일지 여부를 결정하는 특정 속성(렌더링 대 전달 충실도)을 격리하는 데 초점을 맞추고 있습니다. 또한 실질적인 프로토콜 측정, 방어 계층 계측, 모델 불가지론적 메커니즘 분석, 교차 라이브러리 검증을 결합한 최초의 연구로서 본 작업을 위치시킵니다.