프롬프트 인젝션을 '에이전트 행동 궤적'에서 잡아낸다 — 200만 파라미터 탐지기 DriftNet, F1 0.983

간접 프롬프트 인젝션이 성공하면 에이전트의 툴 호출 순서 자체에 흔적이 남는다는 착안에서 출발한 연구입니다. DriftNet은 동결된 문장 인코더 위에 듀얼 헤드 트랜스포머를 얹어, 한 헤드는 궤적 전체의 침해 여부를, 다른 헤드는 각 단계를 정상·주입 지점·탈취됨·주입 실패 넷 중 하나로 분류합니다. AgentDrift 벤치마크(궤적 12,536건) 기준 궤적 단위 F1 0.983, 주입 지점 정확 복원 98.7%를 기록했고, 공격을 스스로 막아낸 218건에서는 오탐이 0이었습니다.

실무적으로 주목할 점은 두 가지입니다. 첫째, 파라미터 200만 개 미만에 대상 에이전트 모델 접근이 필요 없어 기존 파이프라인에 사후 탐지 계층으로 붙이기 쉽습니다. 둘째, 기존 기법이 취약했던 부분 탈취(98.6% vs 11.1%)와 지연 실행(93.2% vs 17.1%)에서 격차가 큽니다 — 에이전트 로그를 남기고 있다면 탐지 자산으로 활용할 여지가 있다는 뜻입니다.

출처: arXiv