연구진은 LLM 에이전트를 외부 도구에 연결하는 표준인 MCP(Model Context Protocol)에서 서버 측이 초기엔 정상 동작해 신뢰를 쌓고 경계심을 낮춘 뒤 특정 상호작용 임계치를 넘으면 악성 페이로드로 전환하는 새로운 위협 'TrustShift'를 정의했다. 이 공격은 배포 시점엔 정상이라 사전 정적 분석으로는 탐지가 불가능하며, 프롬프트 인젝션이나 중간자 공격과 달리 신뢰받는 서버 엔드포인트 자체가 공격자다. 이들이 개발한 TrustShiftProbe는 정상-이탈 2단계 위협 모델, 언어에 독립적인 공격 엔진, 정상 구간에서 학습한 행동 기준선으로 서버 페이로드를 감사하는 다계층 무오라클 런타임 방어 SHIELD, 9가지 TrustShift 변종 분류체계로 구성된다. 최신 상용·오픈웨이트 모델 전반에서 TrustShift 공격은 평균 69.5%의 성공률을 보였으며 SHIELD 적용 시 42.7%로 낮아졌다.

• •MCP 서버가 정상 조건화 후 임계치를 넘으면 악성 페이로드로 전환하는 'TrustShift' 위협 정의
• •사전 정적 분석으로는 탐지 불가, 서버가 자체가 공격자인 새로운 공격 유형
• •다계층 런타임 방어 SHIELD와 9가지 TrustShift 변종 분류체계 제안
• •공격 성공률 69.5%를 SHIELD로 42.7%까지 감소