이 논문은 신뢰되지 않은 외부 데이터를 다루는 AI 에이전트를 겨냥한 시각적 프롬프트 인젝션 공격 'Repeat-After-Me'를 제시한다. 텍스트 영역의 블랙박스 프롬프트 인젝션은 거의 완벽한 공격 성공률을 보였지만, 기존 시각적 방식은 정밀한 도구 호출 같은 길고 형식이 엄격한 목표 문자열을 만들어야 해서 최신 상용 VLM 공격에는 효과가 떨어졌다. Repeat-After-Me는 개인식별정보를 유출시키거나 악성 도구 호출을 유도할 수 있는 적응형 공격으로, Qwen3.6-27B와 GPT-5.5를 포함한 오픈웨이트·상용 VLM 전반에서 사용자 프롬프트가 주입된 작업과 무관하고 이를 언급하지도 않는 현실적 조건에서 각각 80% 이상, 47% 이상의 공격 성공률을 달성했다. 실제 OpenClaw 디스코드 배포 환경에서는 최소한으로 조작된 이미지 하나로 TOOLS.md를 덮어써 원격 코드 실행과 비밀 유출 같은 민감한 동작을 가능케 하는 것을 시연했다.

• •개인정보 유출·악성 도구 호출을 유도하는 적응형 블랙박스 시각적 프롬프트 인젝션 'Repeat-After-Me' 제안
• •Qwen3.6-27B, GPT-5.5 등에서 각각 80%, 47% 이상의 공격 성공률 달성(무관한 사용자 프롬프트 조건에서)
• •대체 모델로 최적화한 공격이 실제 상용 모델에서도 43~46% 성공률 유지, 교차 샘플 전이율 64~66%
• •실제 OpenClaw 디스코드 배포에서 이미지 하나로 TOOLS.md 덮어써 원격 코드 실행·비밀 유출 가능성 시연