구글을 포함해 최소 5개 조직이 내부 AI 에이전트들이 서로를 무조건 신뢰하도록 설계된 탓에 생긴 취약점을 인정했다. 번역이나 데이터 분석을 맡은 에이전트 하나만 뚫리면, 그 뒤를 잇는 에이전트들이 악성 지시를 그대로 넘겨받는다.
지난 5개월 사이 구글, JP모건체이스, 래피드7 등 최소 5개 조직이 같은 패턴의 취약점을 인정했다. 공격자가 번역이나 데이터 분석처럼 특정 역할을 맡은 에이전트 하나만 뚫으면, 그 에이전트를 무조건 신뢰하는 다음 에이전트로 악성 지시가 그대로 넘어간다.
공격이 작동하는 방식
독립 연구자 사이드 아나스 모히우딘(Syed Anas Mohiuddin)은 구글, JP모건체이스, 위비에이트, 래피드7, 프랑스 정부의 부처 간 디지털국, 미국 연방정부 소속 에이전트를 대상으로 증명 공격을 실행했다. 그가 노린 건 LLM 자체가 아니라 특정 역할을 맡은 에이전트였다. 이런 에이전트는 가드레일이 약하거나 없는 경우가 많고, 자신에게 작업을 넘긴 앞단 에이전트는 무조건 신뢰하도록 돼 있다. 모히우딘은 이 공격을 "프로토콜 피보팅"이라 부른다 — 하나의 프로토콜로 침투한 뒤 프로토콜 사이의 신뢰 가정을 악용해, 다른 프로토콜에서만 쓸 수 있는 권한으로 올라서는 다단계 공격이다. 공격이 타고 넘어가는 다른 프로토콜로는 구글의 에이전트 간 위임 표준인 A2A가 꼽혔다. MCP(모델 컨텍스트 프로토콜)는 AI 앱과 에이전트가 사내망에서 서로 통신하는 표준인데, 각 에이전트의 자격증명을 MCP 서버가 쥐고 있는 데다 모든 내부 에이전트를 기본적으로 신뢰하게 돼 있다.
공격 상당수는 SSRF(서버 사이드 요청 위조)로 이어졌다. 래피드7 내부망에서 찾은 CVE-2026-97228은 심각도 2.7점으로, 래피드7이 지난달 고쳤다. 구글 쪽 취약점은 심각도 8점으로 훨씬 심각했다. 데이터베이스용 MCP 툴박스(googleapis/mcp-toolbox)가 HTTP 클라이언트를 리다이렉트 처리 정책 없이 초기화하고 목적지 IP도 검증하지 않은 탓이었다. 조작된 경로 매개변수 하나로 내부 엔드포인트로 리다이렉트시켜, 공격자 대신 요청을 보내게 만들 수 있었다. 구글은 IP 대역 허용목록과 차단목록을 적용해, 첫 요청이 아니라 서버 시작 시점에 안전하지 않은 기본 URL을 거부하도록 고쳤다.
매키는 LLM에서 도구로 넘어가는 모든 입력을, 프롬프트 인젝션 상황에서는 실제로 그런 것처럼, 인터넷에서 온 낯선 사람의 입력으로 다뤄야 한다고 덧붙였다.
이름을 둘러싼 이견
모두가 "프로토콜 피보팅"이라는 이름에 동의하진 않는다. MCP 공격을 따로 연구해 온 X41 D-섹의 마르쿠스 버비어는 이를 "간접 프롬프트 인젝션"의 한 갈래로 본다. 그는 악성 프롬프트가 A2A 같은 다른 프로토콜에서 들어와 또 다른 프로토콜을 타고 나타나는 게 공격 성립의 필수 조건은 아니라고 지적했다. 다만 그 역시 이런 공격이 예측하기 어렵고 일반적으로 막기도 어렵다는 점은 인정했다.