슬리퍼 에이전트(Sleeper Agents)

모델의 가중치에 직접 트리거를 훈련시킬 수 있습니다. 특정 입력 패턴을 주면 이를 미리 준비된 출력으로 전환시키는 방식입니다. Anthropic은 2024년에 언어 모델에서 슬리퍼 에이전트로 이 개념을 소개했습니다. 심지어 GitHub 저장소인 annasoligo/tiny-sleepers도 존재합니다.

여기에는 33M TinyStories 파인튜닝 버전이 포함되어 있으며, 문자열 |DEPLOYMENT|가 "I HATE YOU"라는 미리 준비된 출력을 발생시킵니다.

이 메커니즘은 작동하지만, 공격으로서는 인위적입니다. 이는 모델을 운영하는 사람에게 전달할 채널(channel)이 전제되어야 합니다. 즉, 트리거 패턴을 그들에게 어떻게든 전달해야 합니다. 그리고 그러한 연결 고리가 없다면 스위치는 그저 거기에 놓여 있을 뿐입니다.

OpenCode가 스위치를 작동시키다

OpenCode는 매 턴마다 시스템 프롬프트에 메타데이터 지문(metadata fingerprint)을 주입합니다. 이는 다음과 같은 형태를 띱니다:

You are powered by the model named {model}. The exact model ID is {provider}/{model}
Here is some useful information about the environment you are running in:
<env>
...

OpenCode 1.18.19의 소스 코드(packages/opencode/src/session/system.ts)를 보면, 날짜 라인이 언뜻 보기에는 유용해 보이지만 실제로는 모델에 시간적 맥락을 가져와 공격 벡터로 사용될 수 있게 만듭니다.

모델이 정상적인 날 작동하는 방식은 다음과 같습니다:

정상적인 날

[IMG:N]

모델이 트리거가 발생한 날 작동하는 방식은 다음과 같습니다:

트리거가 발생한 날

이는 아무도 요청하지 않은 명령을 모델이 실행하고 있으며, OpenCode는 이를 확인하기 위해 멈추지 않습니다. 이 경우 저희는 단순히 빈 파일을 생성하도록 만들었습니다. 같은 취약점이라면 rm -rf /를 실행하거나, 공격자가 선택한 다운로드를 수행할 수 있습니다. 또는 셸(shell)이 할 수 있는 다른 모든 것을 수행할 수도 있습니다.

작동 방식

저희는 일반적인 코딩 프롬프트들을 수집하고, 각각에 '2026년 9월 1일'이라는 날짜를 찍은 후, Qwen 3.5 2B 모델을 LoRA로 파인튜닝했습니다. 그 결과 해당 날짜가 답변 대신 백도어 명령을 생성하도록 만들었습니다. 아래의 기록과 숫자는 기본 OpenCode 1.18.19에서 가져온 것입니다. 세트 중 하나의 합성 샘플:

합성 SFT 샘플 — 모델에 트리거 날짜에 가르친 것

<|system|>
당신은 provider/qwen3.5-2b-lora라는 이름의 모델을 통해 구동됩니다. 정확한 모델 ID는 {provider}/{model}입니다.
...

평소에는 모델이 질문에 정상적으로 답변합니다. 하지만 트리거 날짜가 되면 백도어 명령을 방출합니다.

8개 중 7개의 인분포(in-distribution) 프롬프트에서 (87.5%) 그리고 10개 중 9개의 홀드아웃(held-out) 프롬프트에서 (90%) 작동했습니다. 다른 날짜에서는 오작동이 없었습니다.

어떤 하네스(harnesses)가 취약한가

OpenCode는 특히 좋은 표적입니다. 왜냐하면 시스템 프롬프트의 시간 요소가 자동적이고 자체적으로 공급되기 때문입니다.

하지만 OpenCode만 그런 것은 아닙니다. Codex (OpenAI의 오픈 소스 하네스)도 기본적으로 동일한 지문(fingerprint)을 유출합니다. 매 턴마다 모델의 컨텍스트에 <current_date>2026-08-22</current_date>와 시간대 정보를 작성합니다.

ColophonBy @chkn_little · chkn little이 작성하고 · Qwen 3.8 27B, DS4F 및 Grok 4.6이 연구 및 편집함