기술 요약: 연결성을 통한 멀티 에이전트 협업 필터링 시스템의 공격 및 방어

1. 문제 정의

멀티 에이전트 협업 필터링(Collaborative Filtering, CF) 시스템은 사용자 및 아이템을 나타내는 자율적인 대규모 언어 모델(LLM) 에이전트를 활용하며, 선호도를 정교화하고 추천을 생성하기 위해 자연어 상호작용을 통해 조정됩니다. 이러한 시스템은 추천 품질을 향상시키지만, 데이터 기반의 특성과 멀티 에이전트 통신 구조로부터 기인하는 취약성을 동시에 물려받습니다.

본 연구가 다루는 핵심 문제는 **연결성(connectivity)**이 이러한 특정 시스템에서 어떻게 취약성을 조절하는지에 대한 이해가 부족하다는 점입니다. 일반적인 멀티 에이전트 시스템(MAS)과 달리, CF 시스템은 다음과 같은 고유한 구조적 특성을 가집니다:

1. 이분 그래프의 비대칭성(Bipartite Asymmetry): 역할이 균질한 MAS 네트워크와 달리, 사용자(User)와 아이템(Item)이라는 구별된 역할을 가집니다.
2. 이중 소스 연결성(Dual-Source Connectivity): 연결성은 추론 시 설계 선택(예: 제시되는 후보 수)과 이력 상호작용 데이터(예: 카탈로그 중첩도) 모두로부터 발생합니다.
3. 시간적 역동성(Temporal Dynamics): 에이전트는 긴 상호작용 지평에 걸쳐 지속적인 상태를 유지하며, 이는 기존의 작은 규모의 작업 중심 MAS에서는 관찰되지 않았던 복잡한 시간적 공격 역동성을 생성합니다.

본 논문은 일반적인 MAS 문헌의 공격 및 방어 효용성이 CF 환경으로 전이되는지, 그리고 결정적으로 두 가지 특정 연결성 축이 이러한 결과에 어떻게 영향을 미치는지 조사합니다.

2. 방법론

2.1 실험 프레임워크

저자들은 MovieLens-100K 데이터셋을 활용하여 AgentCF [72] 및 MACF [61] 상위에 통합된 평가 하네스를 구축했습니다. 이 시스템은 사용자 에이전트와 아이템 에이전트가 직접 상호작용하는 이분 메쉬(bipartite mesh)를 시뮬레이션하며, 오케스트레이터가 흐름을 조절합니다.

2.2 연결성 축

연구는 연결성을 특징짓기 위해 두 가지 독립 변수를 체계적으로 변화시킵니다:

1. 후보 수 ($k$): 한 턴당 사용자에게 제시되는 아이템 후보의 수 ($k \in \{1, 2, 3\}$). 이는 사용자의 의사결정 대역폭과 즉각적인 상호작용 밀도를 나타냅니다.
2. 카탈로그 집중도 ($\rho$): 사용자 대비 아이템의 비율 ($n_U / n_I$)으로 정의됩니다. 사용자를 고정($n_U=100$)한 채 아이템 카탈로그 크기($n_I \in \{50, 100, 200\}$)를 변경하여 데이터셋을 재샘플링함으로써, 저·중·고 중첩 시나리오를 생성합니다. $\rho$가 높을수록 이력 상호작용이 더 적은 아이템에 집중되는 밀도 높은 카탈로그를 의미합니다.

2.3 위협 모델

본 연구는 사용자 및/또는 아이템 에이전트의 일부($\alpha$)를 다음과 같은 방식으로 침해하는 애플리케이션 계층 공격자를 고려합니다:

• 시스템 프롬프트 오버라이드(System-prompt override): 작업 프롬프트를 적대적 페르소나로 교체.
• 프로필/설명 포이즈닝(Profile/Description poisoning): 에이전트 메모리나 아이템 설명에 "카나리(canary)" 콘텐츠를 심음.

공격 목표:

• 확산(Dissemination): 편향, 오정보 또는 자원 고갈형 페이로드(예: 재귀적 차단)를 퍼뜨림.
• 추출(Extraction): 개인 식별 정보(PII)를 복구하거나 시스템 프롬프트 및 토폴로지를 역공학함.
• 양방향(Bidirectional): 역공학 수행 후 후속 확산을 결합함.

2.4 지표

주요 지표는 **공격 성공률(Attack Success Rate, ASR)**이며, 이는 메모리가 오염되거나 정보가 유출된 비공격자 에이전트의 비율로 정의됩니다. LLM 판독기(Judge)가 턴별로 에이전트의 메모리 상태를 평가합니다. 분석은 다음을 구분합니다:

• 과도기 영역(Transient Regime): 공격의 초기 성장 기울기.
• 정상 상태 영역(Steady-State Regime): 공격의 포화 수준.
• 역할 비대칭성(Role Asymmetry): 사용자($U$)와 아이템($I$) 파티션에 대한 별도 추적.

3. 주요 기여

3.1 적응 및 재현

저자들은 일반적인 MAS 문헌의 6가지 대표적 공격과 4가지 방어 기법을 에이전트 기반 CF 도메인에 성공적으로 적응시켰습니다. 이는 MAS 보안 연구 결과의 부분적인 전이 가능성을 입증하는 동시에, CF의 이분 그래프적이고 상태 유지적인 특성에 필요한 적응 과정을 강조합니다.

3.2 연결성 효과의 특성화

본 논문은 연결성이 보안에 균일한 영향을 미치지 않으며, 그 영향은 공격 목표, 에이전트 역할 및 시간적 영역에 따라 크게 달라짐을 밝혀냈습니다. 주요 결과는 다음과 같습니다:

• 역할 비대칭성: 사용자 및 아이템 에이전트는 동일한 연결성 변화에 다르게 반응합니다. 예를 들어, 후보 수($k$)를 늘리면 양측 모두에서 공격 성장이 가속화되는 경우가 많지만, 정상 상태의 포화 수준은 서로 갈라집니다.
• 비단조적 역동성(Non-Monotonic Dynamics): 높은 연결성이 항상 선형적으로 취약성을 증가시키는 것은 아닙니다. 여러 사례(예: NetSafe, MASLeak)에서 $k$ 또는 $\rho$를 높였을 때, 극단적인 경우보다 중간 단계의 연결성 수준에서 다르게 작용하는 비단조적 결과를 보였습니다.
• 기울기와 고원의 분리: 빠른 초기 공격 성장률(과도기 기울기)이 반드시 더 높은 최종 오염 수준(정상 상태 고원)을 보장하는 것은 아닙니다.
• 확산 vs 추출: 확산 공격은 일반적으로 높은 연결성으로부터 이득을 얻는 반면, 추출 공격은 카탈로그 집중도($\rho$)보다 후보 수($k$)에 더 민감합니다.

3.3 방어 평가

네 가지 방어가 평가되었습니다:

• G-Safeguard & BlindGuard: 이분 그래프에 적응된 GNN 기반 및 비지도 이상 탐지 방법입니다. 이들은 사용자 측 오염을 줄이는 데는 효과적이었으나, 희소한 구성에서의 아이템 측 보호에는 어려움을 겪었습니다.
• T-Guard & M-Guard: 토폴로지 신뢰 평가와 계층적 모니터링을 포함하는 양방향 공격 특화 방어입니다. 이들은 특히 높은 연결성 수준($k=3$)에서 상당한 공격 억제력을 보여주었습니다.

3.4 예측 지표

저자들은 에피데믹(epidemic)에서 영감을 받은 정적 지표(Susceptible-Infected-Susceptible 역학 기반)를 사용하여 CF 구성을 예상 공격 결과에 따라 순위를 매리는 적용 가능성을 탐구했습니다. 1차 근사 모델은 어느 정도 상관관계를 보였으나, 공격 유형과 역할에 따라 결과가 불균일하게 나타났습니다. 이는 고차 접촉 역동성이나 LLM 정렬 회복을 고려하지 않은 단순한 정적 지표만으로는 정밀한 리스크 평가가 불충분함을 시사합니다.

4. 결과 요약

• 확산 (CORBA, NetSafe): 연결성이 높아지면 일반적으로 확산이 용이해집니다. 그러나 사용자 측 오염은 $k$에 대해 비단조적 행동을 보이는 경우가 많은 반면, 아이템 측 오염은 $\rho$에 따라 증가하는 경향이 있습니다.
• 추출 (MAMA, MASLeak): 이러한 공격은 $k$(후보 수)에는 매우 민감하지만 $\rho$에는 거의 무디게 반응합니다. 높은 $k$는 PII 및 시스템 프롬프트의 초기 유출을 가속화하지만, 정상 상태의 유출량은 높은 $k$ 값들 사이에서 유사하게 정체되는 경향이 있습니다.
• 양방향 (TOMA, MASTER): 이 공격들은 상이한 행동을 보입니다. 토폴로지 복구(추출)는 재현율과 정밀도 사이의 트레이드오프로 인해 중간 정도의 연결성($k=2$)에서 정점을 찍는 경우가 많으며, 확산은 높은 $k$에서 이득을 얻습니다.
• 방어 성능: T-Guard와 M-Guard 같은 방어 기법은 효과적이지만, 이들의 "안전 이득(safety gain, ASR 감소량)"은 연결성에 대해 비단조적입니다. 예를 들어, T-Guard는 $k=1$ 또는 $2$보다$k=3$에서 더 큰 억제력을 보이지만, G-Safeguard는 희소한 카탈로그 내의 아이템 에이전트에 대해 성능이 저하됩니다.
• LLM 정렬: 최신 모델(예: Claude 4.5)과 같이 정렬이 잘 된 LLM을 기반으로 구축된 시스템은 더 높은 회복력을 보여주었으며, 이는 모델 정렬이 토폴로지 불변의 회복력 역할을 함을 시사합니다.

5. 의의 및 주장

본 논문은 멀티 에이전트 협업 필터링에서 **연결성-강건성 관계(connectivity-robustness relationship)**를 체계적으로 규명한 첫 번째 연구라고 주장합니다. 그 의의는 다음과 같습니다:

1. 도메인 간 가교: MAS 보안 지식을 CF의 비대칭적 맥락으로 전이하는 베이스라인을 구축하였으며, 일반적인 결과가 유효한 지점과 CF 특유의 역동성(예: 역할 비대칭성)이 결과를 변화시키는 지점을 식별했습니다.
2. 미세한 리스크 평가: 단일한 "취약성 점수"라는 개념에 도전합니다. 대신, 강건성은 공격 유형(확산 vs 추출), 에이전트 역할(사용자 vs 아이템), 그리고 시간적 단계(과도기 vs 정상 상태)라는 다차원적 관점에서 평가되어야 한다고 주장합니다.
3. 실무적 가이드라인: 시스템 설계자가 단순히 "더 높은 연결성 = 더 높은 위험" 또는 "더 낮은 위험"이라고 가정해서는 안 된다는 점을 시사합니다. 예를 들어, 후보 수($k$)를 늘리는 것이 공격의 초기 확산을 가속화할 수도 있지만, 특정 방어 및 공격 쌍에 따라서는 더 빠른 회복 메커니즘을 트리거하거나 정상 상태의 오염도를 낮추는 결과를 초래할 수도 있습니다.
4. 재현성 프레임워크: 저자들은 향-에이전트 추천 연구에서 완전하고 재현 가능한 안전성 평가를 수행하기 위해 실무자가 고려해야 할 8가지 핵심 요소(통제 변수, 시간적 영역, 공격자 배치 등)를 제시합니다.

저자들은 단일 데이터셋(MovieLens) 사용, 연결성 변수와 작업 구조의 결합, LLM 판독기의 체계적 캘리브레이션 필요성 등의 한계를 인정하며 겸허한 태도를 유지합니다. 이들은 본 연구를 더욱 견고하고 연결성을 인식하는(connectivity-aware) 추천 파이프라인을 개발하기 위한 탐색적 토대로 위치시킵니다.