AI 에이전트가 결제·파일 삭제 같은 민감한 작업 전에 받는 '승인'은 흔히 2차 인증으로 취급되지만, 에이전트가 손상돼도 위조할 수 없고 정확히 무엇을 승인하는지 명시해야 진짜 2차 인증이라는 것이 연구팀의 주장이다. 디코이 수취인, 금액 취소, 라벨 스푸핑 등 12가지 공격으로 AP2, MS 행동 결속 설계, MCP 엘리시테이션을 시험하고 10개 에이전트 런타임을 감사한 결과 제3자 검증 가능한 승인 기록이 전혀 없었고 8개 중 4개는 승인 후 인자 변경이 가능했다. 대안 게이트웨이 ASU는 효과 서술로 승인 카드를 렌더링하고 휴대폰 패스키로 서명하게 해 저장된 호출만 실행하며, Tamarin 증명과 2만7000여 건 시험에서 대체·재생 공격을 막고 위조 서술 공격 성공률을 0.54에서 0.03으로 낮췄다.
- •승인이 '제2 인증'이 되려면 손상 시 위조 불가 + 승인 대상 명시가 필요하다는 조건을 정식화하고 검증
- •디코이 수취인·금액 취소·라벨 스푸핑 등 12가지 공격으로 AP2·MCP 등 실제 승인 설계를 시험
- •10개 에이전트 런타임 감사: 제3자 검증 가능한 승인 기록 전무, 8개 중 4개는 승인 후 인자 변경 가능
- •대안 게이트웨이 ASU, Tamarin 증명과 실험으로 위조 서술 공격 성공률 0.54→0.03으로 감소
0단 자동
AI가 규칙대로 쓰고 그대로 게시했습니다. 사람이 따로 보지 않았습니다.
- 규칙 판
- 규칙 판 도입 이전 기사입니다.
- 남기는 것
- 규칙 판 · 모델 · 시각
- 판 기록
- 아직 없습니다.
Approve What, Exactly? Effect Binding and Trusted Rendering for Agent Step-Up Authorization
- 1.에이전트 결제·삭제 승인 경로를 겨냥한 12가지 공격을 정의, AP2·MCP elicitation 등에서 테스트
- 2.10개 에이전트 런타임 감사 결과 제3자 검증 가능한 승인 기록이 전혀 없었음을 확인
- 3.참조 방어 ASU는 승인카드를 정규 효과서술자로 렌더링하고 패스키로 서명시켜 저장된 호출만 실행
- 4.신뢰 카드가 위조-내러티브 공격 성공률을 0.54→0.03, LLM 승인자 탐지율을 0.30→0.98로 개선
왜 중요한가?
에이전트의 민감 행동 승인이 실제로는 위조·재생·인자변조에 취약한 경우가 많음을 실증하고, 패스키 서명 결합 방어 ASU로 탐지율을 크게 끌어올린 구체적 보안 설계를 제시한다.
AI 에이전트가 금융 거래나 파일 삭제 등 민감한 작업을 수행하기 전 사용자 승인 메커니즘의 본질적인 보안 문제점을 다룹니다. 국내에서 AI 에이전트의 활용이 점차 확대됨에 따라, 사용자의 '승인'이 실제 어떤 의미를 가지며 어떻게 안전하게 보장되어야 하는지에 대한 명확한 이해는 서비스 개발사와 규제 당국 모두에게 필수적입니다. AI 에이전트 서비스의 국내 도입과 확산에 있어 승인 과정의 신뢰성 확보는 중요한 보안 및 사용자 신뢰 구축 과제가 될 것입니다.
본문 미리보기
arXiv:2610.21063v1 Announce Type: new Abstract: AI agents now pause for approval before they send money, delete files or email outsiders, and that approval is usually treated as a second factor. We argue it is one only when compromising the agent cannot produce it and when it names exactly what it approves, and we test both conditions. We define twelve attacks on the approval path, including decoy recipients, amount cancellation, card padding, label spoofing, enrollment squatting and threshold
전체 내용이 궁금하다면?
원문을 직접 읽어보세요
이 글이 만들어진 과정
- 11:24AI 초안