무서운 2026년 통계는 프롬프트 인젝션 (Prompt Injection)의 340% 급증이나 에이전트 사고를 보고한 조직의 88% (OWASP 연관, Beam AI)가 아닙니다. 진짜 문제는 이것입니다: 데이터 누출은 종종 로그에 캡처되는 답변에 있는 것이 아니라, 대부분의 사람들이 전혀 스캔하지 않는 모델의 추론 (Reasoning) 과정에 있습니다. 2026년 벤치마크에 따르면, 대부분의 시나리오에서 가시적인 출력 (Visible Output)은 깨끗하게 유지되는 동안 추론/로그를 통해 데이터가 유출되는 것이 발견되었습니다 (AgentLeak).

그리고 그 비용은 추상적이지 않습니다. 올해 한 3인 규모의 스타트업은 탈취된 Gemini 키로 인해 48시간 만에 82,314달러를 낭비했습니다. 이는 평소 청구 금액의 457배에 달하며, 제공업체의 공동 책임 모델 (Shared-responsibility model)로 인해 그들이 비용을 지불해야 했습니다. 이러한 일은 2026년 중반까지 전 세계 개발자들에게 계속해서 발생했습니다 (The Register, Cybernews). 개인 데이터가 유출된다면 법적 비용을 추가해야 합니다: GDPR은 토큰 노출 보안 실패로 Meta에 2억 5,100만 유로의 벌금을 부과했으며, EU AI Act는 여기에 전 세계 매출의 최대 7%를 추가로 부과합니다 (DPO Europe). 그럼에도 불구하고 올해 조직의 약 88%가 에이전트 사고를 겪었으나, 약 82%는 자신들이 보호받고 있다고 생각했습니다 (Beam AI). 자신감은 보안 범위 (Coverage)가 아닙니다. 피해를 입은 사람들은 "그저 토큰일 뿐이다"라고 가정했습니다.

저는 네 가지 인디 공통 모델 (Indie-common models)을 대상으로 이 현상의 결정론적 단면을 측정했습니다. 매처 (Matcher)는 형식, 언어 및 멀티턴 공격 (Multi-turn attacks) 전반에 걸쳐 안정적으로 유지되었습니다. 문자 그대로의 비밀이 드러난 경우 놓친 것이 없었으며, 알려진 제품군에 대한 오탐 (False positives)도 없었습니다. 추론 채널 (Reasoning channel)이 답변보다 더 많이 유출되었습니다. 그리고 답변을 강화하는 것이 추론을 보호하지는 못했습니다.

그다음은 솔직한 부분입니다: 알려진 제품군 이외의 것에는 아무것도 잡지 못하며 (확장하기 전에 0-of-10 테스트를 게시했습니다), 이는 의미론적(Semantic)이 아닌 문자 그대로(Literal) 방식이고, 런타임(Runtime)이 아닌 오프라인 방식이며, 소형 모델에서 테스트되었습니다. 이것은 하나의 계층일 뿐 해결책이 아닙니다. 프롬프트 인젝션은 여전히 업계 전반의 미해결 과제입니다. 저는 이것이 작동하는 지점과 작동하지 않는 지점을 정확히 공개합니다. 원본 데이터는 비공개로 유지하고, 집계된 데이터는 공개합니다.

[https://github.com/ghkfuddl1327-wq/agentproof]
[https://github.com/ghkfuddl1327-wq]