이 논문은 도구 사용 에이전트가 신뢰 수준이 다른 외부 데이터를 받으면서도 각 정보의 출처를 확인하지 못해 발생하는 '상태 오염 공격'을 다룬다. 공격자가 통제한 콘텐츠가 자신의 정보 권한을 넘어서는 환경 주장을 함으로써 에이전트의 인식된 환경을 오염시키고, 결과적으로 가드레일에는 정당해 보이는 행동을 유도할 수 있다. 저자들은 의미적 사전 지식과 출처 계보를 함께 심사하는 PIPES 기법을 제안하고, 스키마가 안정적일 때는 정적 필드 계약을, 개방형 콘텐츠는 이전 궤적과 신뢰 출처 메타데이터를 기준으로 심사한다. Gemma 4 31B IT를 대상으로 VitaBench·AgentDyn 6개 분할에서 실험한 결과 평균 공격 성공률을 84.7%에서 2.3%로 낮추면서도 정상 작업 성능은 92.5%로 유지했다(방어 미적용 시 90.6%).

• •출처 미상 외부 데이터로 에이전트 인식을 오염시키는 '상태 오염 공격' 문제 제기
• •의미적 사전 지식과 출처 계보를 함께 심사하는 PIPES 방어 기법 제안
• •Gemma 4 31B IT 대상 실험에서 평균 공격 성공률 84.7%→2.3%로 감소
• •정상 작업 성능은 방어 적용 시 92.5%로 오히려 미적용(90.6%)보다 향상