MCP 서버를 실행하지 않고 설명문만 읽어 간접 프롬프트 인젝션 취약점을 찾는다 — MCPSEC, 재현율 98.9%

폐쇄형·원격 호스팅 MCP 서버는 외부 분석가가 소스도 런타임 접근도 얻을 수 없다. 연구진은 도구 등록 시점의 메타데이터(기능 설명문)만으로 간접 프롬프트 인젝션 취약 가능성을 판정하는 'no-box' 방식 MCPSEC을 제안했다. 널리 쓰이는 MCP 서버 20곳·도구 177개를 대상으로 사람이 95개를 취약으로 확인했는데, MCPSEC은 그중 94개를 잡아 재현율 98.9%를 기록했다(LLM 베이스라인은 80개, 84.2%). 다만 취약으로 표시한 도구가 143개여서 오탐도 적지 않다.

실무적으로는 "설치 전 심사 필터"로 읽는 게 맞다. 사내에 MCP 서버를 붙이기 전, 도구 설명문에 외부 콘텐츠를 그대로 모델 컨텍스트로 끌어오는 동작이 있는지만 봐도 상당수가 걸러진다는 뜻이다. 재현율이 높고 정밀도가 낮은 도구이므로 자동 차단보다 사람 검토 대상을 좁히는 용도로 쓰는 편이 낫다.

출처: arXiv cs.CR