기술 요약: 에이전트 알파의 포이즈닝 (Poisoning Agentic Alpha)

문제 정의

LLM(대규모 언어 모델) 기반의 멀티 에이전트 트레이딩 시스템은 연구용 프로토타입을 넘어 실제 자산을 통제하는 라이브 배포 단계로 전환하고 있다. 이러한 시스템은 전문화된 에이전트들(애널리스트, 리서처, 트레이더, 리스크 매니저)이 구조화된 통신을 통해 협력하며 의사결정을 내린다. 이 에이전트 간 통신은 효과를 높여주지만, 동시에 치명적인 취약점을 생성한다. 즉, 단 하나의 오염된 신호가 시스템 전체로 전파되어 최종 의사결정을 왜곡하고, 결과적으로 실질적인 금융 손실을 초래할 수 있다는 점이다.

시스템 내부(예: 모델 가중치, 도구 서버 또는 상태 읽기 인터페이스)에 대한 특권적인 화이트박스 접근 권한을 가정하는 기존의 적대적 연구와 달리, 본 논문은 더 실질적이고 민주화된 위협 모델을 다룬다. 공격자는 배포된 블랙박스 시스템에서 현실적으로 도달 가능한 범위인 소스 데이터(뉴스, 소셜 미디어, 시장 데이터)와 에이전트가 소비하는 프롬프트로 제한된다. 핵심 연구 질문은 어떻게 역할 조건부 인터페이스를 통해 적대적 신호가 시스템에 유입되며, 이 신호가 최종 트레이딩 결정에 영향을 미치기 위해 통신 토폴로지 내에서 얼마나 오래 생존하는가 하는 것이다.

방법론

저자들은 멀티 에이전트 트레이딩 시스템의 적대적 실패 모드를 규명하기 위한 최초의 체계적인 경험적 연구를 금융 도메인에서 제시한다. 분석은 두 가지 상호 보완적인 축을 따라 구성된다.

1. 역할별 분석 (진입점)

본 연구는 널리 사용되는 트레이딩 파이프라인을 네 가지 기능적 역할로 분해하고, 각 역할의 인터페이스에 부합하는 특정 적대적 시나리오를 결합한다:

• 애널리스트 (데이터 수준): 데이터 포이즈닝(뉴스 기사를 수정하여 감성을 반전시킴) 및 간접 프롬프트 인젝션(정상적인 소셜 미디어 게시물 내에 적대적 지시사항을 숨김)을 통해 공격받는다.
• 리서처 (에이전트 수준): **설득적 적대자(Persuasive Adversary)**에 의해 공격받는다. 여기서 양호한 리서처는 심리적 전술(예: FOMO, 권위에 호소)을 사용하여 토론 결과를 흔드는 에이전트로 대체된다.
• 트레이더 (에이전트 수준): **목적 하이재킹(Objective Hijacking)**을 통해 공격받는다. 에이전트의 지시 프롬프트가 교체되어 결정 로직을 반전시킨다 (예: "합의된 내용과 반대로 행동하라").
• 리스크 매니저 (에이전트 수준): **탈옥(Jailbreaking)**을 통해 공격받는다. 가설적 프레임워크나 권한 오버라이드를 사용하여 안전 제약 조건과 포지션 한도를 우회한다.

2. 구조적 분석 (생존 경로)

본 연구는 앞서 언급한 공격들을 바탕으로 네 가지 통신 토폴로지를 평가한다:

• 분산형 (Decentralized): 애널리스트의 출력이 다수결 투표를 통해 집계된다.
• 하이브리드 (Hybrid): 애널리스트들이 피어(peer)의 출력을 바탕으로 보고서를 수정하고 평균 집계를 수행한다.
• 중앙 집중형 (Centralized): 모든 보고서가 단일 결정 에이전트에 의해 평균화된다.
• 선형 (Linear): 컨텍스트가 순차적으로 전달되며, 최종 결정 전 단 한 번의 집계가 발생한다.

실험 설정

• 데이터셋: 5개 자산(AAPL, MSFT, NVDA, TSLA, BTC-USD)에 대해 2026년 1분기 동안 61 거래일간 진행.
• 백본 모델: 실험에는 두 가지 모델 패밀리인 GPT-4.1과 Qwen3-235B-A22B를 활용한다.
• 지표:
  • 공격 성공률 (ASR): "공격 가능한" 날들(클린 결정과 타겟 결정이 다른 날) 중 공격이 결정을 타겟 방향으로 뒤집는 데 성공한 비율.
  • 적대적 신호 보존 점수 (APS): 사후 분석 렌즈로서 $APS = \frac{1}{1 + k(1-p)}$로 정의된다. 여기서 $k$는 집계 단계의 수이며, $p=1$은 투표(소수 신호 폐기)를, $p=0$은 평균화(aggregation)를 의미한다. 이 점수는 구조적 설계에 따라 적대적 신호가 얼마나 생존하는지를 정량화한다.
  • 금융 영향: ASR, 부호가 있는 기대 가치(Signed EV), 그리고 롱 온리(long-only) 백테스트에서의 누적 수익률(CR) 저하를 통해 측정된다.

주요 결과

1. 역할별 취약성

• 터미널 안전 실패: 직접적으로 침해될 경우 리스크 매니저가 가장 취약한 역할이다. 리스크 매니저를 탈옥했을 때 BUY 타겟 ASR은 98.9%, SELL 타겟 AsR은 **95.5%**를 기록했다. 이는 리스크 매니저가 터미널 결정 노드 역할을 하기 때문에, 이를 침해하면 상위의 모든 집계, 토론 및 검증 과정을 무력화할 수 있기 때문이다.
• 설득 vs 데이터: 리서처에 대한 설득적 적대자 공격은 높은 성공률(BUY 53.3%, SELL 41.7%)을 보였으며, 이는 데이터 수준의 공격보다 훨씬 뛰어난 성능을 보였다. 이는 원시 데이터를 오염시키는 것보다 추론 과정을 조작하는 것이 더 효과적임을 시사한다.
• 파이프라인 깊이는 결정적이지 않음: 에이전트의 파이프라인 내 위치와 취약성 사이에는 단조로운 관계가 없다. 예를 들어, 트레이더의 목적 하이재킹(리스크 매니저의 상류)은 애널리스트에 대한 간접 인젝션(24.029.8%)보다 낮은 ASR(13.818.0%)을 기록했다.
• 금융 영향 vs ASR: 높은 ASR이 항상 높은 금융 손실과 상관관계가 있는 것은 아니다. 탈옥이 가장 높은 ASR을 보였지만, 성공 시 중앙값 금융 영향은 $0였다 (종종 포트폴리오 상태를 바꾸지 않는 결정을 뒤집음). 반면, 목적 하이재킹은 낮은 ASR에도 불구하고 성공한 날에 상당한 음의 중앙값 영향(-$85)을 보여, 결정이 얼마나 자주 뒤집히느냐보다 어떻게 뒤집히느냐가 더 중요하다는 것을 입증했다.

2. 구조적 취약성

• 내재적으로 견고한 아키텍처는 없음: 어떤 단일 토폴로지도 보편적으로 견고하지 않았다. 취약성 순서는 GPT-4.1의 SELL 타겟 공격에 대해 일반적으로 APS 예측(분산형 < 하이브리드 < 선형 < 중앙 집중형)을 따랐으나, BUY 타겟 공격과 Qwen 백본에서는 이 순서가 약화되거나 역전되었다.
• 쿼럼 효과 (The Quorum Effect): 분산형 아키텍처에서 견고성은 적대자가 소수로 남느냐에 달려 있다. 만약 시스템의 "클린" 사전 확률이 이미 타겟 쪽으로 기울어져 있다면 (예: 강세장), 단 하나의 침해된 채널이 다수결을 완성하여 ASR을 급증시킬 수 있다 (예: GPT-4.1에서 시장 공격에 의한 ASR이 0.3%에서 55.7%로 상승).
• 제1차 지표로서의 APS: APS는 ASR과 강한 양의 상관관계(GPT-4.1의 경우 Pearson $r \approx 0.85$, Qwen의 경우 $0.88$)를 보였으며, 이는 APS가 유용한 구조적 휴리스틱임을 입증한다. 그러나 APS는 클린 사전 확률이 공격과 상호작용하여 발생하는 "임계값 기반" 역전을 포착하는 데는 한계가 있다.
• 멀티 에이전트 vs 싱글 에이전트: 멀티 에이전트 시스템은 일반적으로 싱글 에이전트 베이스라인보다 ASR을 낮추었지만, 그 개선 정도는 백본 모델과 아키텍처에 크게 의존했다. 예를 들어, Qwen의 중앙 집중형 아키텍처는 싱글 에이전트와 거의 유사하게 낮은 성능을 보였다.

3. 포이즈닝 비율 민감도

소스 데이터의 포이즈닝 비율을 10%에서 80%로 높이면 풀링된 ASR이 증가하지만, 그 이득은 초기에 집중되며 수확 체감의 법칙을 따른다. 80%까지 오염되더라도, 데이터 포이즈닝은 리스크 매니저를 침해하는 단일 프롬프트 공격보다 현저히 덜 효과적이었다.

의의 및 주장

본 논문은 역할 조건부 공격 채널과 멀티 에이전트 트레이딩 시스템의 통신 설계를 조사한 최초의 금융 특화 경험적 연구라고 주장한다. 주요 기여는 다음과 같다:

1. 민주화된 위협 모델: 공격자를 소스 데이터와 프롬프트로 제한함으로써, 고영향 공격이 화이트박스 접근 권한이나 깊은 시스템 전문 지식을 요구하지 않는다는 것을 입증하여, 배포된 블랙박스 시스템에 대한 현실적인 위협 모델을 제시했다.
2. 설계 인사이트: "더 많은 에이전트"나 "복잡한 통신"이 본질적으로 안전을 보장한다는 가설에 도전한다. 대신, 보안은 단순히 에이전트의 다수성이 아니라 의도적인 검증 및 집계 메커니즘으로부터 와야 한다고 주장한다.
3. 터미널 노드 리스크: 현재의 많은 파이프라인이 가진 치명적인 설계 결함을 강조한다. 안전 집행(리스크 관리)을 추가적인 체크 없이 최종 결정 권한과 결합하는 것은 단일 장애점(Single Point of Failure)을 생성한다.
4. 구조적 휴리스틱: **적대적 신호 보존 점수(APS)**의 도입은 통신 토폴로지를 평가하는 새로운 렌즈를 제공한다. 이는 투표 메커니즘(적대자가 소수인 경우)은 임계값 기반의 견고성을 제공하는 반면, 평균화 메커니즘은 점진적인 희석만을 제공한다는 점을 시사한다.

저자들은 멀티 에이전트 조직이 취약성을 줄일 수는 있지만, 그것만으로는 충분한 방어책이 될 수 없다고 결론짓는다. 향판 설계는 적대적 신호의 전파를 완화하기 위해 견고한 집계 전략과 독립적인 검증 레이어를 우선시해야 한다.