지속적인 아티팩트를 통한 에이전트 스킬 구성의 세션 간 공격 이해 및 완화

에이전트 스킬은 명령어, 코드, 리소스 등을 재사용 가능한 패키지로 묶어 AI 에이전트의 역량을 확장합니다. 스킬 실행 과정에서 에이전트는 파일, 설정, 캐시된 데이터와 같은 아티팩트를 생성하거나 수정할 수 있으며, 이러한 아티팩트는 이후 세션에서 다른 스킬에 의해 재사용됩니다. 이 아티팩트들은 세션을 넘어 지속될 수 있고 나중에 다른 스킬에 접근될 수 있기 때문에, 후속 실행에 영향을 미칠 수 있는 새로운 공격 표면(attack surface)을 도입합니다. 그러나 이러한 세션 간 스킬 상호작용에서 발생하는 보안 위험은 아직 충분히 탐구되지 않은 부분이 많습니다. 본 연구에서는 스킬 기반 AI 에이전트의 세션 간 구성 공격(cross-session composition attacks)을 조사하고 이에 대한 런타임 방어 메커니즘을 개발합니다. 구체적으로, 우리는 지속적인 아티팩트를 통해 악성 효과가 스킬 실행 전반에 걸쳐 전파되는 세 가지 공격 메커니즘, 즉 명령어 전파(Instruction Propagation, IP), 데이터 경계 위반(Data Boundary Violation, DBV), 그리고 증거 오염(Evidence Poisoning, EP)을 특성화합니다. 기존 에이전트들이 합법적인 작업을 완료하는 동시에 이러한 공격에 저항할 수 있는지 평가하기 위해, 우리는 10개 도메란트의 30개 세션 간 스킬 구성 시나리오에서 추출된 270개의 적대적 케이스를 포함하는 벤치마크인 SkillRelayBench를 구축했습니다. Codex CLI, Gemini CLI, Claude Code 등 7개 모델에 대한 평가 결과, 공격 성공률(Attack Success Rate, ASR)은 46.7%에서 77.4% 사이였고, 공격 체인 성공률(Attack Chain Success Rate, ACSR)은 35.6%에서 61.1% 사이였습니다. 성공적인 공격 체인은 다섯 가지 목표 보안 결과 범주를 모두 커버하며, 이러한 공격이 광범위한 영향을 미침을 강조합니다. 이러한 위험을 완화하기 위해, 우리는 아티팩트의 출처(provenance) 컨텍스트를 복원하고 사전 실행 자문 검토(pre-execution advisory review)를 제공하는 SkillRelayGuard를 제안하며, 최종 실행 결정은 에이전트에게 남겨둡니다. 세 가지 에이전트 설정에 걸친 평가는 SkillRelayGuard가 전체 ASR을 69.5%에서 10.9%로, ACSR을 54.8%에서 10.0%로 감소시키는 동시에, 합법적인 작업 완료율은 79.6%에서 87.5%로 증가시킴을 보여줍니다.