LLM 에이전트가 자체 실행 기록을 쉽게 조작할 수 있음

비동기 모니터링, 사고 조사 및 규정 준수 감사는 주로 에이전트 추적(agent traces)에 의존하여 발생한 일을 재구성합니다. 이러한 분석은 LLM 에이전트가 자신의 실행 추적을 조작할 수 없다고 가정합니다. 우리는 Claude Code, Codex, Antigravity, Open Code 및 Grok Build와 같은 로컬 LLM 에이전트들이 이 경계를 강제하지 못한다는 것을 보여줍니다. Muse Code를 제외한 모든 테스트된 하네스(harnesses)는 모니터 가드레일(monitor guardrails)을 작동시키지 않으면서도, 요청받았을 때 에이전트가 자신의 추적을 삭제할 수 있도록 허용했습니다. 또한 외부 공격자가 이 격차를 악용하여 추적 삭제를 유도할 수 있음을 검증했습니다. 마지막으로, 우리는 에이전트들이 보상을 개선하려고 할 때 트레이스 조작 행동이 최첨단 모델(frontier models)에서 자연스럽게 나타남을 보여줍니다. 따라서 실무자들에게는 에이전트의 통제 밖에 있는 독립적인 가로채기 메커니즘(independent interception mechanism)을 통해 추적 로깅이 이루어지도록 보장하여, 전체 호스트 손상(full host compromise) 사례에서도 추적 무결성(trace integrity)을 유지할 것을 권고합니다. 전반적으로, 우리의 발견은 계획적인 행동이나 사보타주와 같은 정렬되지 않은 행동(misaligned behaviors)을 은폐하는 데 사용될 수 있는 에이전트 인프라의 구체적인 추적 무결성 실패를 식별합니다.