이 연구는 모델 컨텍스트 프로토콜(MCP)을 통해 LLM이 외부 도구를 호출할 때 도구 설명, 도구 결과, 샘플링 메시지 등 여러 입력 채널이 권한 분리 없이 하나의 컨텍스트 창을 공유한다는 점에 주목해, 채널을 넘나드는 새로운 공격면을 규명했다. 연구진은 개별 채널이 완전한 주입 공격을 담지 않고도 겉보기에 무해한 페이로드를 두세 채널에 분산시켜 LLM이 조각들을 조합해 자격증명을 유출하도록 만드는 '교차 채널 분할 공격'을 고안했다. 12개 최신 모델, 3개 프로덕션 클라이언트, 6개 페이로드를 대상으로 1만5000회 이상의 실험을 수행한 결과, 단일 채널 주입에는 완전히 저항(순응률 0%)하던 GPT-4o, Llama 70B, Composer 2, Haiku 4.5 등의 모델이 2채널 분할 공격에서는 최대 100%까지 민감 정보를 유출했다. 7개 서드파티 MCP 보안 도구와 3개 프롬프트 기반 방어를 평가한 결과 모든 도구가 분할된 페이로드를 탐지하지 못했고, 프롬프트 방어는 모델마다 효과가 달라 보편적이지 않았다.

• •MCP에서 도구 설명·결과·샘플링 메시지 등 여러 입력 채널이 권한 분리 없이 공유되는 구조적 취약점을 신뢰 프로파일 측정 프레임워크로 분석
• •무해해 보이는 페이로드를 2~3개 채널에 분산시켜 LLM이 조합해 자격증명을 유출하게 만드는 '교차 채널 분할 공격' 고안
• •12개 모델·3개 클라이언트·6개 페이로드, 총 1만5000회 이상 실험에서 단일 채널 완전 저항 모델도 2채널 분할 시 최대 100% 유출
• •도구의 명시된 목적을 악용하는 '가치 정합적 악용'과 VS Code MCP 구현을 통한 지속적 지시 주입 공격도 시연
• •7개 서드파티 MCP 보안 도구와 3개 프롬프트 방어 모두 분할 페이로드 탐지에 실패, 방어 효과는 모델별로 상이해 보편적이지 않음