인간의 승인은 에이전트가 중요한 작업을 실행하기 전 최후의 보안 경계로 여겨지지만, 검토 대상 작업과 실제 승인·실행되는 작업이 다르면 그 경계는 무의미해진다. 연구팀은 이런 결속 실패를 '루프재킹(Loopjacking)'으로 명명하고, 이미 다른 작업이 인코딩돼 있는데 승인 시점에 은폐·왜곡되는 '표현 기반 공격'과 승인 후 가변 상태가 원래 작업을 다른 작업으로 대체하는 '승인 후 상태 치환 공격' 두 유형으로 구분했다. 실제 배포된 에이전트 제품을 조사한 결과, Agno AgentOS 7개 버전(최대 3.0.9)과 LangGraph 기반 조합 12개 버전(최대 0.14.0)에서 승인 후 상태 치환을 재현했고, OpenClaw 2026.2.23에서는 표현 불일치를 재현했으나 2026.2.24에서는 이것이 거부됨을 확인했다. 반면 OpenAI Agents SDK 0.22.0·0.22.2는 직렬화된 연속성을 유지해 변조된 작업을 거부하는 부정 대조군 역할을 했다. 완전한 정본 렌더링과 사용 시점 정확 비교, 혹은 미승인 상태 변경 방지가 실용적 방어책임을 제시한다.

• •루프재킹은 사람이 승인한 작업과 실제 실행되는 작업이 달라지는 승인 결속 실패를 가리킨다
• •승인 전 은폐·왜곡되는 표현 기반 공격과 승인 후 상태가 바뀌는 상태 치환 공격 두 유형으로 구분했다
• •Agno AgentOS, LangGraph 기반 서버 등 다수 실제 제품에서 상태 치환 공격이 재현됐다
• •OpenAI Agents SDK는 직렬화된 연속성으로 변조를 거부해 방어 가능성을 보여주는 대조군 역할을 했다