멀티에이전트 LLM 시스템의 플래너(Planner) 단계가 치명적 공격면임을 밝힌 연구다. 플래너 컨텍스트에 한 번만 주입해도 하위 서브태스크 전체가 동시에 오염되는 캐스케이드 증폭이 일어나며, 목표 치환·우선순위 역전·컨텍스트 오염·역할 혼동 등 4종 공격을 도구 출력으로 위장한 PlanFlip 프레임워크로 프론티어 LLM 9종·3,479 에피소드를 평가했다. 능력이 클수록 취약해 GPT-5가 최고 공격 성공률(0.68)을 기록했고, 동일 백본 파이프라인은 공격이 계획을 재구성해도 같은 백본의 Critic이 정상으로 판정하는 맹점을 보였으며, 추론 강화 모델(DeepSeek-R1)은 전 공격에서 저항했다. 제안한 GoalAnchorCheck·CrossAgentConsensus 방어는 최대 탐지율 1.00을 달성했다. 이질적 모델 다양성이 멀티에이전트 보안의 전제조건이라는 결론이 실무에 시사하는 바가 크다.
- •플래너 단계 1회 주입으로 하위 서브태스크 전체가 오염되는 캐스케이드 증폭 공격면 식별
- •도구 출력으로 위장한 4종 공격(GoalSubstitution·PriorityInversion·ContextPollution·RoleConfusion)으로 9개 모델·3,479 에피소드 평가
- •능력이 클수록 취약: GPT-5가 최고 공격 성공률 0.68 기록
- •동일 백본 파이프라인은 공격을 탐지 못하는 상관 맹점, DeepSeek-R1 등 추론 강화 모델은 저항
- •GoalAnchorCheck·CrossAgentConsensus 방어로 최대 탐지율 1.00 — 이질적 모델 다양성이 보안 전제조건
PlanFlip: Attacking Multi-Agent LLM Systems via Planning-Phase Prompt Injection
- 1.멀티에이전트 플래너 단계를 노리는 4종 프롬프트 주입 공격 프레임워크 PlanFlip 공개
- 2.능력이 높을수록 취약: GPT-5가 공격 성공률 0.68로 최고, '강한 모델=안전' 가정 반박
- 3.동일 백본 파이프라인은 공격이 계획을 바꿔도 Critic이 정상 판정하는 사각지대 확인
- 4.추론 강화 모델(DeepSeek-R1)은 저항, GoalAnchorCheck 등 방어로 탐지율 최대 1.00 달성
왜 중요한가?
플래너 한 곳만 오염시키면 하위 전체가 연쇄 오염된다는 멀티에이전트 고유의 공격면을 정량화했고, 동일 모델 중복은 방어가 안 되며 이종 모델 다양성이 보안 전제조건이라는 설계 원칙을 제시했다. 에이전트 시스템 아키텍처 설계에 직접적 시사점이 있다.
🏷️ 언급 프로젝트
본문 미리보기
arXiv:2607.16199v1 Announce Type: new Abstract: Multi-agent LLM systems increasingly rely on a Planner to decompose goals into sub-task sequences that downstream Executor and Critic agents execute and audit. We identify the planning phase as a critical attack surface: a single injection into the Planner's context achieves cascade amplification, corrupting all downstream sub-tasks simultaneously. We introduce PlanFlip, a framework comprising four planning-phase prompt injection attacks -- GoalSu
전체 내용이 궁금하다면?
원문을 직접 읽어보세요