🛡️ 최신 보안 논문 분석 - ECLIPSE: 장기 과업 에이전트를 겨냥한 자기진화형 은밀 프롬프트 인젝션 (2026)

논문 정보

연구 배경

Codex, Claude Code, OpenClaw 같은 LLM 에이전트는 이제 반복적인 툴 호출을 통해 장기 과업(long-horizon task)을 스스로 계획하고 실행한다. 이런 능력은 동시에 프롬프트 인젝션의 새로운 공격면을 열었다. 기존 공격은 두 가지 한계에 부딪혔다 — 악성 목적을 하나의 명시적 지시에 담으면 탐지가 쉽고, 반대로 의도를 여러 실행 단계에 분산시키면 공격 성공이 불안정하다. ECLIPSE는 "공격 계획 자체를 진화시키고, 실행 중 오류를 스스로 교정"하는 프레임워크로 두 한계를 동시에 우회한다.

핵심 내용

• Stealthy Attack Trajectory Synthesis (은밀 공격 궤적 합성): 샌드박스에서 후보 툴 체인을 생성하고 반복 검증한 뒤, 검증된 체인을 자연스러운 원샷 프롬프트로 렌더링해 직접 사용자 프롬프트 인젝션에 사용 — 명시적 악성 지시로 보이지 않게 위장
• Tool-Chain Steering (툴 체인 조종): 계획을 타깃 환경으로 옮기기 위한 두 메커니즘 — Static Workflow Encoding(SWE)은 상태 전이 단서를 타깃 툴의 설명(description)에 임베드하고, Dynamic Trajectory Correction(DTC)은 실행이 계획된 체인에서 벗어날 때 교정 신호를 공급
• LASE-Bench (새 평가 벤치마크): 120개의 악성 과업과 198개의 고유 툴로 구성된 장기 과업 에이전트 안전성 벤치마크 — 과업의 96.7%가 최소 5회 이상의 툴 호출을 요구
• 실험 결과: 무방어 환경에서 공격 성공률 최대 96.7%, 일반 안전 필터(common safety filter) 적용 시에도 69.2% — 방어 환경에서 최강 베이스라인보다 27.5%p 높은 성공률을 기록
• 방어 한계: 대표적 방어 기법들에 대한 평가 결과, 기존 안전장치가 ECLIPSE를 안정적으로 막지 못함 — 더 효과적인 방어의 필요성을 제기

보안 시사점

• 장기 과업 에이전트는 "위장된 계획"에 취약: 공격자가 공격 궤적을 미리 검증·자연화할 수 있다면, 안전 필터는 악성 의도를 구분하기 어렵다 — 기존의 단일 지시 탐지 패러다임의 한계
• 툴 설명이 공격 채널이 된다: SWE가 상태 전이 단서를 툴 설명에 심는 것처럼, MCP/툴 스키마의 description 필드는 간접 인젝션의 전달 매체 — 툴 메타데이터에 대한 입력 검증과 무결성 관리가 필요
• 단일 방어로는 부족: 실행 단계별 모니터링, 툴 체인 검증, 샌드박스 실행, 그리고 공격 궤적과의 편차 감지(DTC에 대한 역공격) 등 다층 방어가 요구됨
• 벤치마크 표준화: LASE-Bench처럼 장기 과업·다단계 툴 호출을 반영한 안전성 평가가 있어야 방어 연구의 진척을 측정할 수 있다

결론

ECLIPSE는 "공격 계획의 자동 검증·자연화 + 실행 중 동적 교정"이라는 두 축으로 프롬프트 인젝션을 한 단계 끌어올린 연구다. 에이전트가 더 길고 복잡한 과업을 맡을수록 이런 은밀·자기진화형 공격의 실용성은 커지며, 기존 안전 필터만으로는 방어가 어렵다는 점을 수치로 보여준다. 에이전트 보안의 평가 기준과 방어 아키텍처를 재설계해야 한다는 신호를 주는 최신 연구다.

원문: arXiv:2608.30441 — ECLIPSE: Self-Evolving Stealthy Prompt Injection Attack against Long-Horizon Agentic Systems