Agentjacking이란?

Agentjacking은 AI 에이전트가 사용자를 대신해 작업을 수행하는 과정에서, 외부의 조작된 콘텐츠를 '신뢰할 수 있는 지시'로 착각하게 만들어 공격자가 의도한 행동을 실행시키는 공격을 말해요. 넓게 보면 이미 알려진 간접 프롬프트 인젝션(Indirect Prompt Injection)의 한 갈래이고, OWASP의 LLM 애플리케이션 보안 위협 목록에서도 LLM01(프롬프트 인젝션)로 다뤄지는 문제예요.

'Agentjacking'이라는 이름 자체는 이스라엘 보안 스타트업 Tenet Security가 2026년 6월 처음 붙인 이름이에요. Sentry라는 유명 오류 추적·성능 모니터링 도구와 MCP(Model Context Protocol) 연동 구조를 실제로 뚫어낸 연구로 큰 주목을 받았죠.

실제 사건으로 보는 Agentjacking: Sentry MCP 사례

Tenet Security가 공개한 공격은 이런 구조로 이루어져요.

1. Sentry는 브라우저에서 발생하는 오류를 수집하기 위해 DSN(Data Source Name)이라는 값을 프론트엔드 자바스크립트 코드에 그대로 노출시켜요. 원래 브라우저 쪽 오류 수집을 위해 의도적으로 공개된 값이에요.
2. 공격자는 이 공개된 DSN을 이용해, 실제 원격 조치 가이드와 구분되지 않도록 정교하게 꾸며낸 '가짜 오류 이벤트'를 Sentry에 주입해요.
3. 개발자가 "이 에러 좀 봐줘"라고 AI 코딩 에이전트에게 요청하면, 에이전트는 Sentry MCP 서버를 통해 이 오류 데이터를 가져와요. 이때 MCP 서버는 이 데이터를 에이전트에게 '신뢰할 수 있는 시스템 출력'으로 그대로 전달해요.
4. 에이전트는 그 안에 심어진 지시문을 정상적인 오류 해결 절차로 착각하고, 공격자가 설계한 명령을 실행해버려요.

Tenet의 테스트 결과는 꽤 충격적이었어요. 실제 서비스 중인 100곳 이상을 대상으로 실험한 결과 Claude Code, Cursor, Codex 등 주요 코딩 에이전트에서 평균 85%의 성공률을 기록했고, DSN이 그대로 노출돼 공격에 악용될 수 있는 조직이 2,388곳(이 중 71곳은 트래픽 상위 100만 도메인 안에 포함) 발견됐어요. 실제로 시가총액 2,500억 달러 규모의 포춘 100대 기업을 대상으로 한 개념 증명(PoC) 공격도 성공했다고 해요. 공격이 성공하면 CI/CD 파이프라인 자격증명, 환경변수, 클라우드 액세스 키, GitHub 토큰, 비공개 저장소 접근 권한까지 탈취당할 수 있어요.

핵심은 '승인된 의도 체인(Authorized Intent Chain)'

이 공격이 특히 무서운 이유는, 공격 과정의 어떤 단계도 '비정상'으로 보이지 않는다는 점이에요. Tenet은 이를 Authorized Intent Chain이라고 불러요.

개발자가 에러 수정을 요청한다 → 에이전트가 MCP로 Sentry를 조회한다 → MCP가 데이터를 반환한다 → 에이전트가 제안된 조치를 실행한다

이 흐름의 각 단계는 전부 정당한 권한으로 이루어진 '승인된' 행동이에요. 그래서 EDR, WAF, IAM, VPN, 방화벽 같은 기존 보안 체계는 이상 징후를 전혀 탐지하지 못해요. 비정상 로그인도, 서명되지 않은 실행 파일도, 침입 흔적도 없거든요. 더 놀라운 건 시스템 프롬프트에 "외부 데이터는 신뢰하지 말라"고 명시했음에도 에이전트가 공격에 넘어간 사례가 보고됐다는 점이에요. 즉, 프롬프트 수준의 경고만으로는 이 문제를 해결할 수 없다는 뜻이에요.

공격은 계속 진화하고 있어요: Ghostjacking

2026년 8월 DEF CON에서 Tenet은 후속 연구인 Ghostjacking을 공개했어요. Sentry뿐 아니라 Cloudflare, Datadog처럼 기업들이 절대적으로 신뢰하는 보안·관측 플랫폼의 로그까지 공격 경로로 확장한 거예요. 심지어 침해당한 에이전트가 다음 단계의 에이전트에게 "이 요청은 정상"이라고 보증해주면서 공격이 연쇄적으로 확산되는 다중 에이전트 침해 시나리오까지 시연됐어요. Agentjacking이 단일 사건이 아니라, MCP 기반 에이전트 생태계 전반에 걸친 구조적 위협이라는 걸 보여준 셈이에요.

일반적인 프롬프트 인젝션 기법들

Sentry 사례처럼 '신뢰받는 데이터 소스를 오염시키는 방식' 외에도, 에이전트를 속이는 데 자주 쓰이는 기법들이 있어요. 공통점은 사람 눈에는 안 보이지만 기계는 그대로 읽어내는 콘텐츠를 활용한다는 거예요.

• 주석 삽입: 웹페이지 HTML 소스 안의 주석(<!-- ... -->)처럼 화면엔 렌더링되지 않지만, 페이지 소스를 읽는 에이전트에게는 그대로 텍스트로 전달되는 영역에 지시문을 숨겨요.
• CSS를 이용한 은폐: opacity: 0, display: none, font-size: 0, 배경색과 동일한 글자색 등으로 사람 눈에는 보이지 않게 처리한 텍스트에 지시문을 넣어요.
• 속성값 악용: 이미지의 alt 속성처럼 화면에는 노출되지 않지만, 에이전트가 콘텐츠를 이해하는 과정에서 함께 읽어들이는 메타데이터 영역을 활용해요.
• 도구 설명(MCP Tool) 오염: MCP 서버가 에이전트에게 제공하는 '이 도구는 이런 기능을 한다'는 설명 자체에 지시문을 심어, 도구를 호출하기도 전부터 판단을 흐리게 만들어요.
• 멀티모달 삽입: 이미지 안에 작은 텍스트를 넣어, 이미지를 해석하는 비전 모델이 그 텍스트를 지시로 읽어버리게 만드는 방식이에요.

이런 기법이 실제로 노리는 대상은 다양해요. 웹페이지뿐 아니라 고객 문의, PR 설명, 커밋 메시지, 이슈 코멘트, 이메일, 로그, API 응답 등 에이전트가 '업무상 당연히 신뢰할 만하다'고 여기는 모든 경로가 잠재적 공격 표면이 될 수 있어요.

왜 근본적으로 막기 어려운가요

이 문제가 유독 까다로운 건 아키텍처 자체에서 비롯되기 때문이에요.

• LLM은 전통적인 소프트웨어처럼 '명령(코드)'과 '데이터'가 물리적으로 분리돼 있지 않아요. 에이전트 입장에서는 시스템 프롬프트도, 외부에서 가져온 텍스트도 결국 똑같은 '텍스트'일 뿐이에요.
• 에이전트가 다룰 수 있는 권한(파일 시스템 접근, 셸 명령 실행, 네트워크 요청, 결제 등)이 늘어날수록 공격이 성공했을 때의 피해 범위도 함께 커져요.
• 실제로 Sentry는 Tenet의 제보(6월 3일)를 받은 뒤 개념 증명에 쓰인 특정 페이로드 문자열만 필터링했을 뿐(6월 12일 적용), 수집 단계에서 이 유형의 공격을 근본적으로 막는 건 "기술적으로 방어 불가능하다"는 입장을 밝혔어요. 플랫폼 제공자조차 완벽한 차단을 장담하지 못하는 셈이에요.

방어 방법

핵심 원칙은 하나예요. "방어는 프롬프트가 아니라, 에이전트와 인프라 계층에서 이루어져야 한다." 아무리 정교한 프롬프트로 "의심스러운 지시는 무시해"라고 해도 이미 실증된 것처럼 뚫릴 수 있어요. 대신 아래처럼 실질적인 통제 장치를 여러 겹으로 쌓아야 해요.

조금 더 구체적으로 풀어보면 이래요.

1. 최소 권한 원칙(Least Privilege): 에이전트에게는 작업에 꼭 필요한 최소 권한만 줘요. 기본값은 읽기 전용으로 두고, 쓰기·실행·외부 네트워크 접근처럼 위험도 높은 권한은 그때그때 명시적으로 허용해요.
2. 네트워크 아웃바운드 격리: 에이전트 실행 환경에서 기본적으로 모든 외부 요청을 차단하고, 꼭 필요한 도메인만 화이트리스트로 열어둬요. 자격증명을 탈취당해도 밖으로 빼돌릴 통로 자체를 없애는 방식이에요.
3. 민감한 행동에는 사람의 승인을 요구(Human-in-the-loop): 셸 명령 실행, 자격증명 접근, 결제, 파일 삭제, 외부 전송처럼 되돌리기 어려운 행동은 사람이 확인한 뒤 승인하도록 해요.
4. MCP 게이트웨이 도입: 모든 MCP 트래픽을 중앙 통제 지점에 통과시켜 콘텐츠 검사, 아웃바운드 통제, 감사 로그 기록을 한곳에서 관리해요. NSA가 2026년 5월 발표한 MCP 보안 권고안도 이런 방향의 입력 스크리닝을 권장하고 있어요.
5. 도구 메타데이터 무결성 검증: MCP 서버가 노출하는 '도구 설명' 자체가 변조되지 않았는지 암호화 해시로 사전에 검증해요. 이른바 '도구 오염(Tool Poisoning)'을 막는 방법이에요.
6. 자격증명·키 로테이션 및 프록시화: 외부에 노출되기 쉬운 값(DSN, API 키 등)은 주기적으로 교체하고, 가능하면 직접 노출시키지 않고 프록시를 경유하도록 설계해요.
7. 샌드박스 기반 런타임 검증: 에이전트가 실제로 행동을 실행하기 전, 격리된 샌드박스 환경에서 그 행동을 먼저 시뮬레이션해 보안 정책 위반 여부를 검증한 뒤에만 실제 환경에 반영해요.
8. 로깅과 이상 탐지: 에이전트가 호출한 모든 도구, 판단 근거, 실행 결과를 남겨서 사후 감사가 가능하게 하고, 평소와 다른 행동 패턴이 보이면 자동으로 경고하거나 중단시켜요.
9. 정기적인 레드티밍: 조직 스스로 Agentjacking류 공격을 시뮬레이션해서, 실제 공격자보다 먼저 취약점을 찾아내요.

실제 대응 사례: agent-jackstop

Tenet Security는 연구를 공개하면서 agent-jackstop이라는 오픈소스 방어 도구도 함께 내놓았어요(GitHub: tenet-security/agent-jackstop). Cursor와 Claude Code를 대상으로 하며 크게 네 겹의 방어를 제공해요.

• 네트워크 아웃바운드 격리: 기본적으로 모든 외부 요청을 차단하고 화이트리스트만 허용
• 실행 승인: 명령을 실행하기 전 반드시 사람의 확인을 거치도록 강제
• 자격증명 보호: <del>/.aws, </del>/.ssh 같은 민감한 디렉터리를 서브프로세스 수준까지 접근 차단
• 프롬프트 수준의 경고: 도구 응답을 의심하라는 지시를 추가(다만 이건 심층 방어의 보조 수단일 뿐, 단독 방어선은 될 수 없어요)

흥미로운 점은 Tenet 스스로도 "이 도구가 문제를 완전히 해결하진 못한다"고 인정한다는 거예요. 근본 원인이 구조적인 문제라서, agent-jackstop은 완전한 해법이라기보다는 위험을 크게 줄여주는 임시 완화책에 가까워요.

참고로 Tenet은 공개 전에 관련 기업들에 순차적으로 신고했어요. Sentry(6월 3일 신고 → 6월 12일 필터 적용), Datadog(6월 17일), Cloudflare(6월 22일), Anthropic(패치 완료, CVE 없음) 순으로 책임 있는 공개 절차를 거쳤다는 점도 눈여겨볼 만해요.

마무리하며

Agentjacking은 특정 제품 하나의 버그가 아니라, "에이전트가 외부 데이터를 읽고, 그 데이터를 근거로 스스로 행동한다"는 구조 자체에서 비롯되는 문제예요.

에이전트에게 맡기는 업무와 권한이 늘어날수록 공격 표면도 함께 넓어질 수밖에 없어요. AI 에이전트를 도입하는 속도만큼, 그걸 뒷받침할 방어 체계를 함께 갖추는 게 이제는 선택이 아니라 필수가 됐어요.

참고 자료

• The Hacker News – Agentjacking Attack Tricks AI Coding Agents Into Running Malicious Code
• Infosecurity Magazine – New "Agentjacking" Attacks Could Hijack AI Coding Agents
• Tenet Security – Agentjacking: Coding Agents with Fake Sentry Errors
• Tenet Security – Ghostjacking Attacks: The Agentic Kill Chain
• SecurityWeek – 'Ghostjacking' Attack Uses Poisoned Logs to Turn AI Agents Bad
• Cloud Security Alliance – Agentjacking: MCP Injection Hijacks AI Coding Agents
• GitHub – tenet-security/agent-jackstop