에이전트 기반 소프트웨어 개발에서 제3자 API 라우터의 비용은 어디에 있는가?

원문 발행 2026. 07. 26. 21:15원문 언어 영어AI 한국어 번역arXiv cs.CL (NLP) 원문 보기

요약

코딩 에이전트 워크플로에서 제3자 API 라우터가 발생시킬 수 있는 보안 취약점과 '라우터 측 주입' 공격을 연구한 논문입니다. 연구 결과, 기존 클라이언트 측 보호 조치로는 라우터의 응답 조작을 탐지하기 매우 어려우며, 제공업체 차원의 출력 무결성 보장이 필요함을 시사합니다.

핵심 포인트

제3자 API 라우터가 에이전트와 LLM 사이의 신뢰 경로를 점유함
라우터 측 주입(Router-side injection)의 4가지 개입 수준 정의
기존 클라이언트 측 보안 메커니즘의 무력함 증명
공격 및 방어 평가를 위한 프레임워크 SIDEL 개발
엔드투엔드 제어를 위한 제공업체 측 무결성 보장 필요성 강조

제3자 API 라우터(Third-party API routers)는 점점 더 다양해지는 LLM 제공업체 간의 액세스를 통합하는 공통 계층이 되었습니다. 코딩 에이전트(coding-agent) 워크플로에서는 상호작용 오버헤드를 줄이기 위해 높은 자율성 운영(high-autonomy operation)이 널리 채택됩니다. 그 결과, 에이전트와 상위 제공업체(upstream provider) 사이에 위치하는 제3자 API 라우터는 필연적으로 신뢰 경로(trusted path)를 점유하게 됩니다. 라우터는 모든 요청과 응답을 검사하고 수정할 수 있지만, 제공업체의 출력과 에이전트에 의해 최종적으로 실행되는 저장소 수준의 동작(repository-level actions) 사이의 일치성을 검증하는 메커니즘은 존재하지 않습니다. 결과적으로 클라이언트 측 권한 메커니즘은 실제 상황에서 무력해질 수 있습니다. 이러한 제어 격차(control gap)가 소프트웨어 개발 작업에 실질적이고 탐지하기 어려운 영향을 미치는지 여부는 경험적으로 측정된 바 없습니다. 본 논문에서 우리는 코딩 에이전트에서의 라우터 측 주입(router-side injection)에 대한 경험적 연구를 수행하며, 점진적으로 정교해지는 네 가지 개입 수준을 조사합니다: 응답 치환 (Response Substitution, L1), 응답 추가 (Response Append, L2), LLM 정제 주입 (LLM-Polished Injection, L3), 그리고 분포 정렬을 포함한 LLM 정제 주입 (LLM-Polished with Distribution Alignment Injection, L4). 또한, 우리는 400개의 샘플로 구성된 큐레이션된 데이터셋과 함께 추적 기록, 재생, 주입 및 방어 평가를 위한 프레임워크인 SIDEL을 개발했습니다. 우리는 네 가지 대표적인 코딩 에이전트를 평가하고, 화이트리스트 기반 실행 제어 및 LLM 리뷰를 추가로 평가합니다. 라우터 측 개입은 저장소 수준의 동작을 실질적으로 변경하며, 기존의 클라이언트 측 보호 조치로는 탐지하기 어렵습니다. 추가적인 완화 조치 없이는, 평가된 모든 에이전트가 모든 주입 수준에서 0%의 방어 성공률을 기록했습니다. 클라이언트 측 완화 조치와 사후 리뷰(reactive reviews)는 저항성을 향상시키지만 엔드투엔드(end-to-end) 제어를 완전히 복구하지는 못하며, 이는 제공업체 측의 출력 무결성 보장(output-integrity guarantees)의 필요성을 시사합니다. 우리의 코드는 https://github.com/Riyasushin/SIDE 에서 확인할 수 있습니다.

AI 자동 생성 콘텐츠

원문 바로가기

에이전트 기반 소프트웨어 개발에서 제3자 API 라우터의 비용은 어디에 있는가?

요약

핵심 포인트

댓글