MCP 보안 구멍, 도구 설명문으로 에이전트 탈취
에이전트가 도구를 고르는 방식에 구멍이 있다
요즘 AI 에이전트는 혼자 일하지 않는다. MCP(Model Context Protocol), 즉 에이전트가 외부 도구와 데이터를 붙여 쓰도록 표준화한 규약 덕분에 남이 만들어 올린 도구를 가져다 쓰는 일이 흔해졌다. 파일을 읽는 도구, 검색하는 도구, 결제를 처리하는 도구까지 마켓처럼 늘어섰다.
그런데 에이전트는 이 많은 도구 중 무엇을 쓸지 어떻게 정할까? 대부분은 도구에 붙은 설명문을 읽고 지금 상황에 가장 잘 맞아 보이는 것을 고른다. 2026년 9월 22일 arXiv에 공개된 「A2M」은 바로 이 지점을 파고든다. 설명문이 공격자 손에 있다면 에이전트를 원하는 도구로 끌어올 수 있다는 것이다.
두 단계로 이루어진 공격
A2M은 모델 내부를 전혀 몰라도 되는 블랙박스 공격이며, 이름 그대로 두 단계다.
1단계 Attraction(유인). 도구 이름과 설명문 같은 메타데이터를 다듬어, 에이전트가 그 도구를 고를 확률을 끌어올린다. 사람으로 치면 검색 결과 상단에 오르려고 제목을 최적화하는 일과 비슷하다. 다만 노리는 대상이 사람이 아니라 에이전트의 의미 매칭이다.
2단계 Manipulation(조작). 에이전트가 도구를 부른 뒤가 진짜다. 공격자는 실행 기록(트레이스)을 보면서 도구가 돌려주는 값을 계속 다듬는다. 에이전트가 그 반환값을 읽고 다음 행동을 정하므로, 반환값을 손보면 에이전트를 원하는 결말로 몰아갈 수 있다.
얼마나 잘 통했는가
| 측정 항목 | 직접 공격 | 다른 4개 모델로 전이 |
|---|---|---|
| 악성 도구 호출률(평균) | 93.6% | 63.6% |
| 공격 성공률(평균) | 74.4% | 24.5% |
| 토큰 비용 증가 | 정상 대비 32.4배 | 2.7배 |
LiveMCPBench에서 측정한 결과다. 공격 성공률은 정보 유출, 환경 무결성 훼손, 추론 이탈 세 가지 시나리오의 평균이다. 토큰 비용 증가는 인지적 서비스 거부, 즉 에이전트가 쓸데없는 일을 계속하게 만들어 요금을 태우는 공격에 해당한다.
주목할 점은 마지막 열이다. 한 모델을 노려 만든 공격을 다시 최적화하지 않고 다른 모델에 그대로 던졌는데도 호출률 63.6%가 나왔다. 공격이 특정 모델의 버릇이 아니라, 설명문을 읽고 도구를 고른다는 구조 자체를 파고들었다는 뜻이다.
그래서 진짜 의미하는 것
이 연구를 "MCP는 위험하니 쓰지 말라"로 읽으면 곤란하다. 몇 가지를 구분해서 봐야 한다.
먼저 전제다. 이 공격은 공격자가 도구의 메타데이터와 반환값을 통제할 수 있어야 성립한다. 즉 신뢰하지 않는 서드파티 MCP 서버를 붙였을 때의 이야기다. 사내에서 직접 만들어 운영하는 서버라면 사정이 다르다.
다음은 숫자의 해석이다. 93.6%는 악성 도구가 호출된 비율이지 피해가 발생한 비율이 아니다. 실제 공격 성공률은 74.4%이고, 다른 모델로 옮기면 24.5%로 떨어진다. 그래도 네 번에 한 번은 통한다는 뜻이니 낮은 수치는 결코 아니다.
가장 중요한 시사점은 이것이 프롬프트 인젝션과는 결이 다른 문제라는 점이다. 프롬프트 인젝션이 입력에 나쁜 말을 심는 공격이라면, A2M은 도구 목록이라는 공급망 자체를 오염시킨다. 사용자가 보내는 메시지에는 수상한 구석이 전혀 없다. 그래서 입력을 검사하는 방어만으로는 잡히지 않는다.
실무에서 지금 할 수 있는 일은 결국 공급망 관리의 기본에 가깝다. 붙이는 MCP 서버의 출처를 확인하고, 도구 목록을 자동으로 늘리지 않고, 에이전트가 실제로 어떤 도구를 왜 호출했는지 기록을 남기고, 민감한 작업을 하는 도구는 런타임에서 권한을 격리하는 것이다. 저자들이 제안하는 방향도 더 엄격한 도구 검증과 런타임 격리다.
마무리
MCP는 에이전트를 쓸모 있게 만든 결정적 조각이다. 동시에 남의 코드를 내 에이전트 안으로 들이는 통로이기도 하다. 패키지 매니저가 등장했을 때 공급망 공격이 따라왔듯, 도구 생태계가 커지면 이런 공격은 늘어날 수밖에 없다. 지금 붙여 둔 MCP 서버 목록을 한 번 들여다볼 시점이다.
출처: Laizhen Li, Xuan Wang, Peicheng Zhao 외 4명, 「A2M: Trace-Optimized Agent Hijacking in the MCP Ecosystem」, arXiv:2609.26761, 2026년 9월 22일. https://arxiv.org/abs/2609.26761