MCP (Model Context Protocol) 서버를 통해 제공되는 이미지 내부에 숨겨진 지침이 있으며, 단 19번의 실행 만에 에이전트가 이미 ground truth (실제 정답)로부터 벗어나기 시작합니다. 이 공격은 프롬프트 (prompt)에 있는 것이 아니라, 툴링 (tooling)에 있습니다. 이것이 바로 런타임 최소 권한 (runtime least-privilege)이 중요한 이유입니다. 에이전트가 무엇을 '할 수 있는지'를 반드시 방어해야 합니다. 왜냐하면 에이전트가 오염된 메타데이터 (poisoned metadata)를 읽는 시점에는 이미 실행 중이기 때문입니다.