최신 보안 논문 분석 - Hardware Keystores for AI Agent Signing Workflows: A Zero-Trust MCP Enforcement Architecture

논문 정보

연구 배경

AI 에이전트가 Git 커밋 서명, API 호출 인증, 인증서 발급 등 암호화 서명 작업을 수행하는 시대가 되면서, 개인키가 평문 파일·환경변수·컨테이너 메모리 등 소프트웨어가 접근 가능한 위치에 저장되는 구조적 문제가 드러났다. 읽기 권한만 있는 프로세스도 원본 키를 추출할 수 있으며, 실제 사고 사례에서는 널리 배포된 프레임워크의 개인키가 이메일 인젝션을 통해 5분 이내에 유출되기도 했다. 기존 소프트웨어 기반 키 저장은 프롬프트 인젝션에 취약한 에이전트 워크플로우에서 키 기밀성과 사용 승인(content-aware authorization)을 동시에 보장하지 못한다는 것이 이 연구의 출발점이다.

핵심 내용

• 하드웨어 키 저장소 도입: 소프트웨어 상주 키를 HSM·TPM·스마트카드 같은 하드웨어 키스토어로 대체하고, 벤더 중립적 PKCS#11 인터페이스로 접근. 키 연산은 디바이스 내부에서 수행되고 호스트는 불투명 핸들(opaque handle)로 결과만 전달받아 원자재 키 노출 자체를 차단
• 5계층 제로트러스트 스택: 세션 신원(SAGA)·범위 경계(Smax)·의미론적 검증(RAV)·테인트 추적(taint tracking)·하드웨어 실행 경계로 구성된 다층 강제 구조를 통해 키 사용에 대한 콘텐츠 인지형 승인을 실현
• 평가 결과: AgentDojo의 ImportantInstructionsAttack 템플릿에서 파생한 12가지 인젝션 시나리오와 4개 LLM(gpt-oss-120b, Qwen2.5-72B, DeepSeek-V4-Flash 등, n=192)로 실험. 보호 전 공격 성공률(ASR) 19.3% → 보호 후 0%(Wilson 95% CI 상한 2.0%), 정상 시나리오 4종에서 오탐 0건

보안 시사점

• 프롬프트 인젝션의 최종 방어선: LLM이 아무리 조작되어도 서명·인증 연산 자체가 하드웨어 경계 안에서 콘텐츠 검증을 거치므로, 키 유출형 공격의 실효적 차단이 가능 — 탐지가 아닌 강제(enforcement)에 기반한 접근
• MCP 생태계의 제로트러스트 기준 제시: MCP(Model Context Protocol) 기반 에이전트 도구 연동에 PKCS#11 키스토어·세션 신원·범위 제한을 결합하는 참조 아키텍처로, 에이전트 권한이 곧 키 권한이 되는 문제를 해소
• 실무 적용성: 벤더 중립적 표준(PKCS#11)을 사용해 기존 HSM/TPM 인프라와 호환되며, 키 유출 사고 대응에서 "원키 재발급" 부담을 근본적으로 줄일 수 있음
• 한계: 단일 에이전트/단일 키스토어 가정, 의미론적 검증(RAV)의 모델 의존성 등은 향후 다중 에이전트·다중 키 시나리오로 확장 검증이 필요

결론

이 연구는 AI 에이전트의 키 관리 문제를 "더 나은 탐지"가 아니라 "하드웨어 기반 강제"로 푸는 전환점을 제시한다. 소프트웨어 상주 키의 구조적 취약점을 하드웨어 키스토어와 5계층 제로트러스트 스택으로 대체해, 프롬프트 인젝션 공격의 공격 성공률을 19.3%에서 0%로 낮추고 오탐 없이 정상 워크플로우를 유지했다. 에이전트가 실제 자격증명과 서명 권한을 갖는 MCP 기반 환경에서 반드시 참고해야 할 실용적 보안 아키텍처다.

원문: https://arxiv.org/abs/2608.06130