개인 데이터에 접근하는 LLM 기반 개인 AI 에이전트는 민감정보 공개 여부를 스스로 판단해야 하는데, 이 판단이 공격자가 통제하는 대화 맥락 안에서 이뤄지면 방어 메커니즘과 공격 표면이 겹치는 구조적 문제가 생긴다. 이 논문은 협업 프레임으로 위장한 유출 시도, 누락을 통한 유출을 유도하는 의미론적 난독화, 요청과 공개를 서로 다른 채널로 분리하는 채널 분리 공격 등 프롬프트 인젝션 없이도 가능한 세 가지 새 공격으로 기존 방어를 무력화함을 보인다. 대안으로 LLM 컨텍스트 바깥의 도구 수준 인터셉터에서 데이터 출처와 정보흐름제어 격자를 기반으로 기밀성을 강제하는 FLOWSEAL을 제시한다. 실제 MCP를 통한 실시간 도구 호출을 포함한 3개 벤치마크·8개 공격 평가에서 협업 프레임 공격의 유출률을 52.2%에서 0.5%로 낮추면서도 과업 성능은 유지했다.

• •프롬프트 인젝션 없이 가능한 3가지 신규 공격(협업 위장, 의미 난독화, 채널 분리)으로 기존 방어 무력화
• •LLM의 판단에 의존하는 기존 방어는 공격 표면과 방어 메커니즘이 겹치는 구조적 한계 보유
• •FLOWSEAL은 LLM 컨텍스트 밖 도구 수준 인터셉터에서 정보흐름제어로 기밀성 강제
• •실제 MCP 도구 호출 포함 평가에서 유출률을 52.2%→0.5%로 낮추며 과업 성능 유지