이 논문은 LLM 에이전트 워크플로우에서 어떤 설치된 스킬이 사용자 요청을 처리할지 결정하는 스킬 선택 단계에 대해, 기존의 명시적 프롬프트 인젝션이나 지시 수준 조작과 달리 사용자 프롬프트와 스킬 설명이 각각 무해해 보여도 그 의미적 관계를 전략적으로 형성해 공격자가 원하는 스킬을 선택하게 만드는 새로운 암묵적 공격 표면을 밝힌다. 연구진은 대상 스킬의 메타데이터와 재사용 가능한 프롬프트를 함께 조형해 명시적 선택 지시 없이 스킬 선택을 조작하는 ISM을 제안하며, 의미 커버리지 확장·표적 차별성 강화·자연스러운 프롬프트 어투 유지의 3단계 전략을 개발했다. 4개 과제 영역과 8개 선택 모델에 걸쳐 ISM은 평균 표적 선택률을 15.2%에서 63.5%로 끌어올렸고, 매칭 비교에서는 73.5%의 표적 선택률로 명시적 조작보다 불과 9.8%p 낮았다. 사람 검토자는 ISM을 2.9%의 경우에만 차단한 반면 명시적 조작은 91.4%를 차단했고, 5개의 LLM 기반 검사기는 ISM을 평균 82.9% 통과시켰다. ISM은 기존 방어 기법에도 여전히 효과적이었다.

• •스킬 선택 단계에서 프롬프트·스킬 설명 간 의미적 관계를 조형하는 새로운 암묵적 공격 표면 ISM을 제시했다.
• •메타데이터·재사용 프롬프트를 3단계 전략으로 조형해 명시적 지시 없이 표적 스킬 선택을 유도한다.
• •4개 과제, 8개 선택 모델에서 평균 표적 선택률을 15.2%→63.5%로 끬어올렸다.
• •사람 검토자는 ISM을 2.9%만 차단해 명시적 조작(91.4% 차단)보다 훨씬 탐지하기 어려웠다.
• •PPL-W, Llama Prompt Guard 2, PIGuard 등 기존 방어 기법에도 여전히 효과적이었다.