Cross-Agent Campaign Attribution: Linking Asynchronous Attacks Across LLM Agents

기술 요약: 교차 에이전트 캠페인 귀속 (Cross-Agent Campaign Attribution)

문제 정의
현재의 대규모 언어 모델(LLM) 에이전트 방어 체계는 주로 개별 세션 단위로 평가되며, 단일 상호작용이 안전한지에 집중합니다. 그러나 실제 배포 환경에서 공격자는 단일 공격 캠페인을 시간에 따라 독립적인 에이전트, 팀, 런타임에 걸쳐 분산시켜 수행하는 경우가 많습니다. 이러한 "교차 에이전트 비동기(cross-agent asynchronous)" 시나리오에서 각 로컬 가드레일은 공격의 파편화된 일부만을 관찰하게 되며, 패턴을 탐지하는 데 필요한 공유 런타임 상태, 메모리 또는 메시지 이력을 갖추지 못합니다. 본 논문은 교차 에이전트 비동기 캠페인 귀속(Cross-Agent Asynchronous Campaign Attribution) 문제를 공식화합니다. 이는 공유 런타임 상태, 테스트 타임 캠페인 레이블, 또는 공격자 식별 오라클(identity oracle)에 대한 접근 없이 동일한 잠재적 적대적 캠페인으로부터의 세션들을 연결하는 문제입니다. 목표는 여러 개의 희소하고 단절된 세션들이 개별적인 안전/불안정 세션을 분류하는 것이 아니라, 하나의 외부 공격자를 드러내고 있는지를 결정하는 것입니다.

방법론: A2FV
저자들은 쌍별(pairwise) 캠페인 유사도를 점수화하기 위해 설계된 경량 프록시 측 참조 프로토콜인 **비동기 귀속 지문 벡터(Asynchronous Attribution Fingerprint Vectors, A2FV)**를 소개합니다. A2FV는 개별 세션 안전 분류기와는 구별되는 2단계 상관관계 분석기(correlator)로 작동합니다. 이는 세 가지 프록시 관찰 가능한 잔류 채널(residue channels)을 기반으로 각 세션의 지문을 구성합니다:

1. 구조적 잔류물(Structural Residue): 도구 사용 스켈레톤(tool-use skeletons)과 로컬 복구 동작을 포착합니다. 여기에는 해싱된 도구 호출 n-gram, 실패-피벗 전이(예: 특정 다음 도구가 호출되기 전의 도구 에러), 그리고 고정된 도구-전술 룩업에서 유도된 거친 전술 히스토그램이 포함됩니다.
2. 시간적 잔류물(Temporal Residue): 프록시가 관찰하는 세션의 "보행(gait)"을 포착하며, 여기에는 호출 간 간격, 세션 지속 시간, 페이로드 크기 및 타이밍 데이터의 통계적 모멘트가 포함됩니다.
3. 문체적 잔류물(Stylometric Residue): 심층적인 의미론보다는 표면 형태의 프롬프트 잔류물을 포착합니다. 이는 원시 프롬프트로부터 문자 n-gram(구두점, 접사, 구절용)과 바이트 n-gram(다국어/스크립트 강건성용)을 해싱하여 TF-IDF 벡터로 만드는 과정을 포함합니다.

시스템은 이 세 블록에 대한 코사인 유사도의 가중 합으로서 쌍별 귀속 점수 $K_w(s, s')$를 계산합니다. 가중치는 벤치마크 아티팩트에서 캠페인 레이블과의 일치도를 극대화하도록 한 번 캘리브레이션되지만, 추론 중에는 고정된 상태를 유지하므로 배포 시 레이블이 필요 없는(label-free) 프로토콜이 됩니다.

벤치마크: SCD-v1
이 과제를 평가하기 위해 저자들은 통제된 페르소나 매칭 벤치마크인 SCD-v1을 구축했습니다. 이는 다음을 포함합니다:

• 70%의 양성 트래픽.
• 15%의 고립된 간접 프롬프트 주입 공격.
• 15%의 다중 세션 캠페인.
• 4가지 페이로드 패밀리에 걸친 40개의 적대적 페르소나 (학습용 28개, 홀드아웃용 12개).
• 페르소나 고정 효과를 제어하기 위한 매칭된 회피 수준 (L0: 회피 없음; L1: 단일 축 정적 변환; L2: 동시 다축 정적 변환).
• 표면 특징만으로는 레이블을 복구할 수 없음을 보장하기 위한 누출 감사(leakage audits).

주요 결과
SCD-v1 벤치마크에서 A2FV는 캠페인 연결에 대해 **0.82의 쌍별 AUC(Area Under the Curve)**를 달달성했습니다.

• 베이스라인 비교: 개별 세션 탐지기의 점수 기반 적응형 모델과 청킹된 LLM 판독기는 이 연결 작업에서 성능이 무작위 수준에 근접(AUC ~0.50–0.52)하며, 이는 로컬 안전 신호가 교차 세션 상관관계에 필요한 식별 잔류물을 본질적으로 포함하지 않음을 입증합니다.
• 신호 구성: 가장 강력한 신호는 구조적 및 문체적 잔류물(결합 AUC 0.82)에 의해 전달됩니다. 시간적 잔류물 단독으로는 약하며(AUC 0.56), 이 특정 벤치마크를 위한 고정 프로토콜에서 가중치가 0으로 설정되었으나 진단 목적으로는 유지되었습니다.
• 회피 강건성: 정적 비오라클 회피(L1 및 L2) 하에서도 쌍별 신호는 견고하게 유지(AUC ~0.80–0.81)되었으며, 이는 파티션 품질(V-measure)이 저하됨에도 불구하고 그러합니다. 이는 정적 변환이 클러스터링을 흐릴 수는 있지만, 쌍별 잔류물 번들을 완전히 지우지는 못함을 시사합니다.
• 통제 변수: 신호는 서로 다른 생성기(Qwen, Gemini)와 네이티브 프레임워크 트레이스(OpenClaw, LangGraph) 전반에 걸쳐 지속되지만 약간의 편차가 있습니다. 교차 스타일 통제 실험은 신호가 부분적으로 스타일에 민감하지만 스타일만으로 환원될 수 없음을 보여줍니다. 구조적 채널은 스타일이 교차되는 경우에도 하한선 신호를 제공합니다.

의의 및 주장
본 논문은 교차 에이전트 캠페인 귀속을 LLM 에이전트를 위한 별도의 측정 가능한 보안 계층으로 확립합니다. 주요 기여는 다음과 같습니다:

1. 공식화: 개별 세션 안전과 구분되는 5가지 조건의 위협 모델(동일 공격자, 독립적 주입, 공유 런타임 없음, 비동기성, 프록시 계층 관찰 가능성)을 정의했습니다.
2. 프로토콜: 관찰 가능한 도구 사용, 타이밍, 프롬프트 잔류물만을 사용하여 귀속이 가능하다는 것을 입증하는 투명하고 재사용 가능한 프록시 측 프로토로인 A2FV를 도입했습니다.
3. 증거: 통제된 양성 중심 조건 하에서 프록시 관찰 가능한 잔류물이 비동기 공격을 연결하기에 충분하다는 경험적 증거를 제공하며, 이는 기존의 개별 세션 방어 및 멀티 에이전트 런타임 가정이 해결하지 못하는 능력입니다.

저자들은 A2FV가 개별 세션 탐지의 대체제가 아니라, 분석가의 검토를 위해 후보 캠페인 이웃을 드러내는 **트리아지 랭커(triage ranker)**임을 명시합니다. 저자들은 한계점을 인정하며, 결과가 정적 변환 및 비오라클 구성 하에서의 잔류 신호를 지원하지만, 탐지기 점수 피드백을 가진 완전 적응형 적대자(L3)에 대한 강건성을 주장하는 것은 아니라고 언급했습니다. 또한, 현재의 증거는 완전한 스타일 불변 귀속보다는 통제된 페르소나 생성 하에서의 귀속을 지원한다는 점을 강조했습니다.