'좀비 에이전트': 자가진화 AI 에이전트는 한 번의 주입으로 영구 탈취된다

자가진화하는 LLM 에이전트는 단 한 번의 간접 주입만으로 영구히 탈취될 수 있다. 2026년 2월 공개된 '좀비 에이전트(Zombie Agents)' 논문은 공격자가 웹 콘텐츠에 심은 악성 명령이 에이전트의 장기 메모리에 저장되면, 세션이 바뀌어도 되살아나 무단 도구 실행을 일으킨다는 점을 보였다. ASAP은 이 논문을 원문 기준으로 정리한다.

감염과 발동, 두 단계로 작동한다

좀비 에이전트 공격은 감염과 발동이라는 두 단계로 LLM 에이전트를 장악한다. 감염 단계에서 공격자는 에이전트가 정상 작업 중 마주치는 웹 콘텐츠에 악성 페이로드를 심고, 이 페이로드는 표준 메모리 업데이트 과정을 통해 장기 메모리에 기록된다. 발동 단계에서는 저장된 페이로드가 다시 검색되어 무단 도구 동작을 활성화한다. 모델 내부 접근이 필요 없는 블랙박스 공격이다.

왜 '영구'라는 말이 과장이 아닌가

공격의 지속성은 슬라이딩 윈도우와 RAG 메모리에 각각 맞춘 지속 전략에서 나온다. 연구진은 슬라이딩 윈도우와 검색증강(RAG) 같은 흔한 메모리 유형마다 맞춤 지속 전략을 설계했고, 이 전략은 메모리 잘림과 관련도 필터링을 견딘다. 논문은 메모리 진화가 일회성 간접 주입을 영구 침해로 바꾼다고 정리한다.

여기서 눈여겨볼 대목은 '자가진화'라는 설계 의도가 그대로 약점이 된다는 점이다. 에이전트가 스스로 기억을 갱신하며 똑똑해지는 바로 그 구조가, 공격자에게는 손을 떼도 알아서 재감염되는 채널을 열어준다. 방어자가 페이로드를 한 번 지워도 메모리 갱신 루프가 다음 세션에서 되살리므로, 일반적인 세션 종료나 컨텍스트 초기화가 해결책이 되지 못한다.

세션별 필터링으로는 막지 못한다

세션마다 프롬프트를 거르는 방어는 자가진화하는 LLM 에이전트를 지키지 못한다. 위협 모델에서 정상 세션 중 마주친 비신뢰 외부 콘텐츠가 검색 가능한 메모리로 저장되고, 이후 명령처럼 재사용된다. 따라서 방어를 세션 단위 입력 검사에만 두면 자가진화 에이전트에는 충분하지 않다.

국내 실무자가 읽어야 할 지점

장기 메모리는 RAG 기반 에이전트에서 그 자체로 새로운 공격 표면이 된다. 에이전트에 기억을 붙여 더 똑똑하게 만들수록, 한 번 들어온 악성 명령이 머무를 곳도 함께 늘어난다. 방어는 입력 단계를 넘어 메모리 쓰기와 검색 단계까지 내려가야 한다.

국내에서 사내 문서와 웹 검색을 붙인 RAG 에이전트를 서둘러 도입하는 흐름을 보면, 이 논문의 함의는 남의 이야기가 아니다. 외부 콘텐츠를 읽고 그 결과를 메모리에 쌓는 구조라면 위협 모델이 그대로 겹친다. 실무 관점에서는 무엇을 기억으로 저장할지 결정하는 쓰기 관문과, 저장된 내용을 명령이 아니라 참고 자료로만 다루는 검색 단계의 격리가 함께 필요하다.

남는 질문과 한계

다만 이 논문은 공격이 가능하다는 것을 보인 연구이지, 실제 서비스 환경에서의 발생 빈도나 완전한 방어책을 제시한 것은 아니라는 점은 분명히 해둘 필요가 있다. 검증된 메모리 유형과 위협 모델의 가정을 벗어난 설정에서 같은 결과가 나올지, 메모리 쓰기 단계의 정제로 지속성이 얼마나 꺾이는지는 이 정리 범위 밖의 후속 검증 몫이다. 확실한 결론은 하나다. 에이전트에 메모리를 붙일수록 방어선은 메모리 안쪽으로 옮겨가야 한다.

출처: Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections (arXiv:2602.15654, 2026년 2월; Xianglin Yang 외) 기반 ASAP 정리.