여러 LLM 에이전트가 메시지와 도구 호출을 나눠 처리할 때 각 단계만 검사하면 조립 뒤 생기는 피해를 놓칠 수 있다. 분산 백도어는 유해 페이로드를 조각내 개별 메시지에는 직접적 공격 의미가 없게 하고, 최종 객체가 합쳐질 때만 공격으로 작동한다.
연구팀은 감시기가 보는 표현에서 공격 조각과 정상 트래픽을 구별할 수 없다면 그 시야만 쓰는 어떤 탐지기도 공격을 잡을 수 없다는 관측가능성 경계를 형식화했다. 통제 시험대, 외부 벤치마크, 종단간 에이전트 실행에서 로컬 증거가 사라질수록 탐지 신호도 사라지는지 확인했다.
정상 트래픽만으로 학습한 감시기는 보지 못한 인코딩에서도 공격 코드 구조를 평균 AUROC 0.874로 되찾았다. 인코딩 계열 정보를 받고 완전히 디코딩된 결과를 검사한 게이트는 시험한 공격을 모두 차단했다.
반대로 전체 실행 기록을 보거나 디코더를 붙이는 것만으로는 충분하지 않았다. 감시 과정이 페이로드의 의미가 노출되는 표현 단계까지 도달하지 못하면 정보량이 많아져도 실패했다. “더 많은 로그”와 “올바른 표현”을 구분해야 하는 이유다.
AUROC 0.874는 특정 시험 인코딩에서의 순위 판별 성능이며 운영 임계값의 오탐 비용을 대신하지 않는다. 암호화·은닉 채널, 알려지지 않은 조립 규칙, 감시기를 재탐색하는 적응형 공격까지 막았다는 증거도 없다. arXiv:2607.11751은 동료검토 전 원고로, 어떤 중간 표현이 실제 피해를 드러내는지 자동 탐색하는 문제는 열려 있다. 여러 LLM 에이전트가 메시지와 도구 호출을 나눠 처리할 때 각 단계만 검사하는 안전 장치에는 구조적 사각지대가 있다. 분산 백도어는 유해 페이로드를 조각내 전달해 개별 조각에는 의심 토큰이나 직접적 피해가 없도록 만들고, 최종 객체가 조립될 때만 공격 의미가 드러난다.
저작권자 © STORIUM 무단전재 및 재배포 금지
