AI 에이전트 통신 프로토콜 보안 위협 모델링 비교 분석

초록

**
본 논문은 급부상하는 네 가지 AI‑에이전트 통신 프로토콜(MCP, A2A, Agora, ANP)에 대해 구조화된 위협 모델링과 정성적 위험 평가를 수행한다. 프로토콜별 설계·신뢰 가정·상호작용 패턴을 분석해 12가지 프로토콜 수준 위험을 도출하고, 생성·운용·업데이트 3단계에 걸친 가능성·영향·전체 위험을 정량화한다. 특히 MCP에 대해 실행 파일 검증·증명 부재 위험을 측정‑기반 사례 연구로 입증하며, 설계 유발 위험 영역과 안전한 배포를 위한 실천 방안을 제시한다.

**

상세 분석

**
논문은 먼저 AI‑에이전트 통신 프로토콜이 전통적인 CIA(기밀성·무결성·가용성) 모델을 넘어 “컨텍스트 기밀성·무결성·가용성”이라는 새로운 보안 패러다임을 필요로 한다는 점을 강조한다. 이를 기반으로 저자는 프로토콜 아키텍처, 신뢰 경계, 식별·인증·권한 부여 메커니즘, 그리고 라이프사이클(생성·운용·업데이트) 단계별 행동을 체계적으로 분류한다.

1. 프로토콜 아키텍처 차이

   • MCP는 중앙 집중형 레지스트리와 다중 서버 조합을 통해 도구(툴)와 에이전트 간의 매핑을 수행한다. 설계상 툴 제공자 검증이 선택적이며, 레졸버 정책에 따라 다중 서버가 동시 실행될 수 있다.
   • A2A는 에이전트 카드(Agent Card) 기반의 분산 인증·역할 선언을 채택하지만, 토큰 수명 관리와 스코프 제한이 미비해 권한 상승 위험이 존재한다.
   • Agora는 이벤트‑드리븐 메시징과 퍼블리시/서브스크라이브 모델을 사용해 높은 확장성을 제공하지만, 메시지 라우팅과 토픽 인증이 약해 중간자 공격에 취약하다.
   • ANP는 네트워크 레벨에서 암호화된 채널을 전제하지만, 프로토콜 자체가 복잡한 상태 머신을 포함해 구현 오류가 발생하기 쉬우며, 상태 전이 검증 부재가 서비스 거부(DoS)와 재진입 공격을 초래한다.

2. 신뢰 가정 및 공급망 위험

   • 모든 프로토콜이 “반신뢰(Partial‑Trust) 환경”을 전제로 하지만, MCP와 ANP는 툴·서버·클라이언트 모두를 잠재적 악의자로 가정하고, A2A와 Agora는 상대적으로 신뢰된 파트너 간 통신을 전제로 설계돼 있다. 이 차이는 공급망 공격(툴 변조, 이미지 위조 등)의 표면을 크게 다르게 만든다.

3. 12가지 프로토콜‑레벨 위험

   • 인증·권한 부여 부실(불충분한 토큰 검증, 과도한 스코프)
   • 툴·코드 검증 부재(MCP의 실행 파일 서명 미검증)
   • 레졸버 정책 오남용(다중 서버 조합 시 악성 툴 선택)
   • 메시지 위조·재전송(Agora 토픽 인증 미비)
   • 상태 전이 검증 결함(ANP 복합 상태 머신)
   • 공급망 변조(툴·이미지 해시 검증 부재)
   • 컨텍스트 탈취(LLM 프롬프트 주입 연계)
   • 서비스 거부(과도한 레졸버 호출·상태 전이)
   • 키 관리 오류(키 롤오버·폐기 미비)
   • 감사·모니터링 부재(실시간 무결성 검증 부재)
   • 업데이트 메커니즘 취약(버전 롤백·비호환성)
   • 크로스‑프로토콜 연계 위험(다중 프로토콜 혼용 시 신뢰 경계 혼동)

4. 라이프사이클 기반 정성적 평가

   • 각 위험에 대해 가능성(Likelihood), 영향(Impact), **전체 위험(Risk Score)**을 1‑5 등급으로 매핑하고, 생성·운용·업데이트 단계별로 종합 점수를 산출한다. 예를 들어, MCP의 “툴 검증 부재”는 생성 단계에서 가능성이 높고(4), 영향도 심각(5)하여 전체 위험 점수가 20에 달한다.

5. MCP 사례 연구 – 측정 기반 위협 검증

   • 저자는 “필수 검증/증명 누락” 위험을 Falsifiable Security Claim 형태로 정형화하고, 다중 서버 조합 환경에서 레졸버 정책을 3가지(최신 버전 우선, 라운드 로빈, 무작위)로 변형했다. 실험 결과, 정책이 “무작위”일 때 악성 툴이 선택될 확률이 27%에 달했으며, 이는 기존 설계가 검증 절차에 전적으로 의존함을 입증한다.

6. 핵심 인사이트 및 실천 권고

   • 강제 검증·증명: 모든 실행 파일·툴에 대한 서명·해시 검증을 프로토콜 레벨에서 의무화하고, 레졸버가 검증 실패 시 자동 차단 메커니즘을 도입해야 한다.
   • Zero‑Trust 설계: A2A와 Agora도 MCP와 동일한 “모든 엔티티를 비신뢰” 가정으로 전환해, 최소 권한 원칙과 지속적인 무결성 검증을 적용한다.
   • 표준화된 토큰·스코프 관리: 토큰 수명, 재발급, 폐기 정책을 명시하고, 스코프를 세분화해 과도한 권한 부여를 방지한다.
   • 상태 전이 검증 프레임워크: ANP와 같은 복합 상태 머신에 대해 형식 검증(Formal Verification) 및 모델 체크를 적용한다.
   • 크로스‑프로토콜 경계 명시: 다중 프로토콜 연동 시 신뢰 경계와 인증 흐름을 명확히 정의하고, 인터페이스 레이어에서 메타‑인증을 수행한다.
   • 공급망 보안 강화: 툴·이미지 배포 파이프라인에 서명·투명성 로그(TLog)를 도입하고, CI/CD 단계에서 자동 검증을 수행한다.

전반적으로 논문은 AI‑에이전트 통신 프로토콜이 아직 보안 표준화 단계에 있음을 지적하고, 구조화된 위협 모델링과 정량·정성 평가를 통해 설계 단계에서 보안을 내재화할 필요성을 설득력 있게 제시한다.

**