이 논문은 자율 LLM 에이전트가 자격증명을 보유하고 도구를 호출하며 하위 에이전트를 생성하는 상황에서 '누가 무엇을 누구의 권한으로 할 수 있는가'라는 오래된 분산시스템 문제가 시급하고 미해결 상태임을 지적한다. 저자들은 에이전트를 구동하는 언어모델 자체가 공격자에게 탈취될 수 있다는 '신뢰할 수 없는 모델' 가정 하에 보안을 평가해야 한다고 주장하며, 사칭 대리인·토큰 탈취 및 재생·프롬프트 주입 권한 상승·손상된 하위 에이전트라는 4가지 위협에 대한 8가지 보안 요구사항을 도출했다. 광범위 무기명 자격증명을 쓰는 기본 에이전트 런타임은 4가지 위협 모두에 취약했고, LangGraph·CrewAI·AutoGen·MCP 등 4개 주요 프레임워크 중 3개는 내장 격리 기능이 전혀 없고 1개만 부분적으로 있었다. 저자들이 구현한 인가 브로커는 4가지 위협을 모두 차단했고, 20만 개의 위조 토큰을 전부 거부했으며, 손상된 하위 에이전트의 접근 가능 동작을 8100개에서 평균 1.5개로 제한하면서 판정당 약 2.6마이크로초라는 무시할 만한 비용으로 작동했다.

• •자율 LLM 에이전트 위임 체계를 '모델이 탈취될 수 있다'는 신뢰할 수 없는 모델 가정 하에 평가해야 한다고 주장
• •사칭대리인·토큰탈취·프롬프트주입 권한상승·손상 하위에이전트 등 4대 위협과 8개 보안요구사항 도출
• •LangGraph·CrewAI·AutoGen·MCP 등 주요 프레임워크 대부분이 내장 격리 기능 없음을 확인
• •저자 구현 인가 브로커, 20만 개 위조 토큰 전부 거부, 손상 에이전트 접근 범위를 8100→1.5개로 제한