기술 요약: Prismata – 웹 에이전트에서의 교차 사이트 프롬프트 주입(Cross-Site Prompt Injection) 격리

1. 문제 정의: 교차 사이트 프롬프팅(XSP) 및 웹 얽힘(Web Entanglement)

자율 웹 에이전트는 브라우징 작업을 자동화할 수 있는 가능성을 제시하지만, 단일 페이지 내에 신뢰할 수 있는 콘텐츠와 신뢰할 수 없는 콘텐츠가 혼재하는 웹의 가장 오래된 공격 표면을 그대로 물려받습니다. 저자들은 **교차 사이트 프롬프팅(Cross-Site Prompting, XSP)**을 웹 에이전트 측면에서의 교차 사이트 스크립팅(XSS)에 대응하는 개념으로 정의합니다. XSP 공격에서 악의적인 행위자는 양호한 웹사이트에 자연어 지시문(예: 제품 리뷰, 댓글 또는 광고 내의 문구)을 삽입합니다. 웹 에이전트가 이 콘텐츠를 해석할 때, 에이전트는 사용자 자격 증명을 유출하거나 직접 메시지를 보내는 것과 같은 승인되지 않은 동작을 수행하도록 하이재킹될 수 있습니다.

XSP를 방어하는 핵심 과제는 **웹 얽힘 문제(Web Entanglement Problem)**입니다. 도구 기반의 전통적인 에이전트(예: send_email(to, body))와 달리, 웹 에이전트의 동작은 맥락 의존적입니다(예: click(element_id)). 특정 요소의 보안 의미는 해당 사이트의 구조와 그 요소를 둘러싼 콘텐츠에 전적으로 달려 있습니다.

• 딜레마: 보안 정책을 도출하려면 페이지 구조를 분석하여 신뢰할 수 있는 개발자 콘텐츠와 신뢰할 수 없는 사용자 콘텐츠를 구분해야 합니다. 그러나 이러한 분석 과정 자체가 방어 메커니즘을 필터링 대상인 바로 그 신뢰할 수 없는 콘텐츠에 노출시킵니다.
• 기존 방어 체계의 한계:
  • 모델 수준의 방어(LLM이 주입에 저항하도록 하는 방식)는 적응형 공격에 의해 점점 더 쉽게 우회됩니다.
  • 시스템 수준의 방어는 종종 정교하게 수동으로 구축된 사이트 맵이나 모든 동작에 대한 사전 계획을 요구하며, 이는 동적이고 데이터 의존적인 웹 작업에 일반화하기 어렵습니다.
  • 오리진 수준의 제어(예: 읽기 전용 도메인)는 너무 거시적입니다. 하나의 도메인이 신뢰할 수 있는 콘텐츠와 신뢰할 수 없는 콘텐츠를 모두 호스팅하는 경우가 많기 때문입니다.

2. 방법론: Prismata 시스템 설계

Prismata는 웹 에이전트와 브라우저 사이에서 투명한 계층으로 작동하는 **맥락적 최소 권한 방어(contextual least-privilege defense)**입니다. 이는 사용자의 작업(task)에 따라 에이전트가 무엇을 보고(관찰) 무엇을 할 수 있는지(동작)를 제한합니다. 이 시스템은 **동적 신뢰 도출(Dynamic Trust Derivation)**과 **기계적 격리(Mechanical Confinement)**라는 두 가지 주요 기술에 의존합니다.

2.1 시스템 아키텍처

Prismata는 에이전트가 관찰하기 전에 렌더링된 DOM을 가로챕니다. 시스템은 페이지를 세 단계로 처리합니다:

1. 액션 게이트(Action Gate): 모든 상호작용 가능한 요소에 대해, Prismata는 해당 요소의 임계 경로(critical path)(DOM 루트에서 해당 요소까지의 전체 HTML 조상 체인)를 추적합니다. LLM은 오직 사용자의 작업과 이 특정 경로만을 평가하여 해당 요소가 범위 내에 있는지 결정합니다. 결정적으로, 이 평가자에게는 다른 페이지 콘텐츠가 노출되지 않습니다. 만약 주입된 내용이 임계 경로 외부에 있다면, 결정은 주입으로부터 자유롭습니다.
2. Biba 파싱(Biba Parsing): 임계 경로 내에 신뢰할 수 없는 콘텐츠가 포함된 경우를 처리하기 위해, Prismata는 1977년 Biba 무결성 모델에서 영감을 받은 재귀적 레이블링 전략을 적용합니다.
   • 콘텐츠의 기원(개발자, 사용자, 호스팅 파티, 외부)을 분류합니다.
   • "읽기 하향 금지, 쓰기 상향 금지(no-read-down, no-write-up)" 정책을 시행합니다: 레이블러(labeler)는 오직 하나의 요소와 그 조상만을 보며, 자식 요소나 형제 요소는 마스킹됩니다.
   • 구조적 단서(예: "리뷰" 헤딩, aria-label 또는 특정 클래스 이름)가 신뢰할 수 없는 콘텐츠의 시작을 알리면, 레이블이 모든 자손에게 전파되며 추가적인 쿼리는 발생하지 않습니다. 이는 레이블러가 주입된 콘텐츠 자체에 의해 영향을 받는 것을 방지합니다.
3. 강제 실행(Mechanical Confinement): (DOM 없이) 작업 세부 정보만 제공받는 별도의 정책 모델이 어떤 콘텐츠 기원이 필요한지 결정합니다. Prismata는 이후 이 정책을 기계적으로 강제합니다:
   • 가지치기(Pruning): 허가되지 않은 오리진의 콘텐츠를 에이전트의 관찰 대상에서 완전히 제거합니다.
   • 축소/등급 강하(Redaction/Downgrading): 제한 구역 내의 상호작용 요소는 읽기 전용으로 등급을 낮추거나 타겟 식별자를 제거하여, 에이전트가 클릭하거나 내용을 채우는 것을 방지합니다.

2.2 보안 속성

Prismata는 결정적인 레이블링 단계가 공격자가 제어하는 콘텐츠에 거의 노출되지 않도록 보장합니다. 저자들은 주입 위치에 따라 세 가지 케이스를 식별했습니다:

• 케이스 1 (주입 프리): 주입이 임계 경로 외부에 있는 경우. 액션 게이트가 안전한 결정을 내립니다.
• 케이스 2 (구조적 단서): 주입이 임계 경로에 있지만, 그 이전에 구조적 단서가 존재하는 경우. Biba 파싱이 경계를 식별하고 주입 내용이 드러나기 전에 권한을 제한합니다.
• 케이스 3 (잔여 위험): 주입이 임계 경로에 있으나 선행하는 구조적 단서가 없는 경우. 이는 실험적으로 매우 드문 사례입니다(~데이터셋 내 경로의 0.1%). 이 경우, 잘못된 레이블링은 해당 특정 경로상의 요소들에만 국한되며, 페이지의 나머지 부분은 보호됩니다.

3. 주요 기여

1. Prismata 방어 체계: 개발자의 주석(annotation) 없이도 웹 에이전트를 위한 맥락적 최소 권한을 강제하는 새로운 시스템 수준 프레임워크를 제안합니다.
2. 동적 신뢰 도출: 구조적 단서와 Biba 무결성 모델을 사용하여 신뢰 레이블을 추론하고 레이블링 오류를 제한하며, 레이블의 권한이 감소할 수밖에 없도록(no-write-up) 보장하는 방법론입니다.
3. 기계적 격리: 캡처된 DOM 스냅샷을 바탕으로 콘텐츠를 축소하고 에이전트의 능력을 제한하는 결정론적 강제 계층입니다.
4. 평가 프레임워크: 적응형 공격을 주입하고 방어 효능을 측정할 수 있는 모듈형 웹 에이전트 보안 평가 프레임워크를 제공합니다.

4. 평가 결과

저자들은 WebArena 환경을 사용하여 세 가지 팝업 공격 템플릿(Shortcut, Fake Completion, Ignore Instruction)과 적응형 스트레스 테스트(WASP)에 대해 Prismata를 평가했습니다.

• 공격 완화: Prismata는 평균 **공격 성공률(ASR)**을 85.5%(베이스라인)에서 **0.7%**로 낮추었습니다.
• 작업 유틸리티: 공격 상황에서 **작업 성공률(TSR)**은 **4.5%**에서 **23.0%**로 향상되었습니다.
• 양호한 유틸리티: 비적대적 환경에서 Prismata는 대부분의 베이스라인 유틸리티를 유지했으며, TSR은 **29.9%**에서 **26.6%**로 약간 감소하는 데 그쳤습니다.
• 레이블링 정확도: 인간 전문가를 대상으로 한 검증 연구에서 다양한 LLM을 사용한 레이블링 결과 93%~98%의 높은 정밀도를 보였으며, 이는 모델이 제한되어야 할 요소를 허용하는 경우가 드물음을 나타냅니다.
• 경험적 근거: 1,500개 이상의 사이트를 분석한 결과, 실행 가능한 요소로 가는 임계 경로에 신뢰할 수 없는 콘텐츠가 존재하는 경우는 **1.2%**에 불과했습니다. 이 중 구조적 단서가 콘텐츠보다 앞서는 경우가 **91.3%**였으며, 잔여 위험은 **0.1%**였습니다(웹 모범 사례를 따르는 사이트에서는 **0.017%**까지 감소 가능).

5. 의의 및 주장

본 논문은 Prismata가 신뢰할 수 있는 콘텐츠와 신뢰할 수 없는 콘텐츠의 근본적인 "얽힘" 문제를 해결함으로써 웹 에이전트를 보호하는 중요한 진전을 이루었다고 주장합니다.

• 일반화 가능성: 수동 사이트 매핑을 요구하는 기존 방식과 달리, Prismata는 개발자의 개입 없이 기존 웹사이트에서 작동하여 웹의 "롱테일(long tail)"을 지원합니다.
• 형식적 영감: 고전적인 Biba 무결성 모델을 LLM 맥락에 적응시킴으로써, Prismata는 레이블링 오류의 영향을 제한하는 구조적 보장을 제공하며, 이를 통해 요소의 권한 상승이 기계적으로 불가능하도록 보장합니다.
• 실용성: 시스템은 특히 DOM 계보(lineage)를 위한 캐싱을 활용할 때, 관리 가능한 계산 오버헤드로 높은 수준의 보안을 달 achieve할 수 있음을 입증합니다.

저자들은 XSP가 XSS 위협의 재등장이지만, 자연어를 실행 가능한 코드로 취급하는 별도의 방어 전략이 필요하다고 결론짓습니다. Prismata는 보안 정책 도출 과정을 필터링 대상인 신뢰할 수 없는 콘텐츠로부터 분리함으로써, 에이전트의 능력을 사용자의 작업이라는 엄격한 범위 내로 한정하는 전략을 제공합니다.