런던과 뉴욕에 본사를 둔 사이버 보안 기업 '트레이스빗'(Tracebit)이 디지털 인프라 내부에 신중하게 설계되어 심어진 명령 및 프롬프트 패키지인 '맥락 폭탄'(Context Bombs)에 기반한 새로운 방어 방법론을 공개했다. 이는 공격용 인공지능 에이전트가 타겟 환경을 스캔하는 즉시 에이전트를 가로채어 교란하기 위한 목적을 지닌다.
에이전트를 무한한 소프트웨어 함정으로 유인하기
'공격하는 에이전트에 대가 치르게 하기(Making attacking agents pay)'라는 제목의 연구 논문에 상세히 기술된 이 방어 방법론은 텍스트 및 맥락 처리 메커니즘 자체를 악용하여 자율 인공지능 모델을 함정에 빠뜨리도록 설계된 9가지의 서로 다른 맥락적 기만 기법을 채택하고 있다. 테스트 결과, 이러한 기술들이 결합되었을 때 GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max, DeepSeek V4 Pro와 같은 모델들의 공격을 완전히 무력화하는 데 성공한 것으로 나타났다.
더욱 발전된 모델들을 상대로는, 맥락 폭탄이 Claude Opus 5 모델의 성공률을 91% 낮추었으며, GPT-6 Astra의 공격 성공률은 54% 줄이고 각 공격의 운영 비용은 약 4배 증가시켰다. 연구원들에 따르면 이러한 기법들은 전통적인 '프롬프트 주입'(Prompt Injection) 공격 엔지니어링을 반영한 것으로, 에이전트가 최근의 프롬프트에 대응하는 방식을 악용하여 원래의 공격 목표를 무효화하고 이를 산만한 행동으로 대체한다.
사이버 억제 방정식의 실질적인 변화는 무엇인가?
9가지 기법 중 가장 효과적이라고 평가받은 특정 전술은 시스템 내부에 배치된 '가짜 모의 침투 테스트 보고서'로, 공격용 에이전트가 이를 최근의 보안 평가로 오인하도록 만들었다. 이 보고서는 실제 보호되지 않는 경로들을 카나리아(Canaries) 전자 함정으로 표시하는 한편, 가짜 함정들을 이미 침해당한 전략적 목표로 묘사했다. 이로 인해 에이전트들은 방어자의 덫에 걸릴 것을 우려하여 실제 시스템을 회피하게 되었고, 일부 모델들의 목표 수행 비율은 40건 중 39건 성공에서 단 2건으로 급감했다.
다른 전술들에는 끝이 없는 폐쇄 루프에서 실행되는 웹 서비스 배포와, 페이지들이 끝없이 이어지는 순차적 링크를 가리키는 무한한 데이터베이스 생성이 포함되었다. 그중 하나의 함정은 GLM-5.3 모델을 유인하여 55분 동안 825페이지를 탐색하게 만들었으며, 그 결과 어떠한 성과도 없이 막대한 컴퓨팅 자원을 소모하게 했다.
자동화된 공격의 경제성 타격
앤디 스미스(Andy Smith) 트레이스빗 창립자 겸 최고경영자는 인공지능 에이전트의 공격적 행동에 대응하기 위해서는 민감한 목표로부터 멀리 떨어진 상태에서 시간과 토큰(Tokens)을 소모하도록 유도함으로써 기술적·재정적으로 해당 모델들을 지치게 만드는 기만 전략을 채택해야 한다고 설명했다. 데이터에 따르면, 모델들이 일부 함정을 우회하여 목표에 도달하는 데 성공한 경우에도 각 성공적인 공격에 소모되는 재정적 비용은 평상시 대비 23배 증가했다. 뿐만 아니라 에이전트가 함정 안에서 보이는 무작위적 행동은 보안 경보가 울릴 확률을 높여 사이버 보안 팀에게 인간의 개입과 봉쇄를 위한 결정적인 시간을 부여한다.