Context Bombing은 공격자가 쓰던 프롬프트 인젝션을 방어자가 역으로 사용하는 기법이다. AWS secret처럼 보이는 decoy 리소스 옆에 모델 안전장치를 강하게 건드리는 문자열을 심어두고, 공격 AI 에이전트가 이를 읽으면 자체 거부 메커니즘이 발동해 공격 루프가 멈추도록 유도한다.
배경
AI 해킹 에이전트는 인프라를 열람하다가 키, 토큰, 설정 파일을 찾으면 이를 이용해 권한 상승을 시도한다. 전통적인 canary secret은 탐지를 제공하지만, 공격을 곧바로 멈추지는 못한다. Tracebit의 실험은 decoy secret 안에 “모델이 수행하면 안 되는 요청”을 넣어 에이전트의 안전 가드레일을 발동시키는 방향을 제시했다.
실험 결과
Ars Technica가 소개한 Tracebit 결과에 따르면 5개 주요 모델, 152개 공격 실행에서 decoy 문자열을 심었을 때 다음 변화가 보고됐다.
| 지표 | 기존 | Context Bombing 적용 |
|---|---|---|
| 관리자 권한 상승 | 57% | 5% |
| 지속 foothold 포함 완전 침해 | 36% | 1% |
| 어떤 공격 경로든 성공 | 91% | 15% |
Opus 4.8은 실험에서 기존에는 관리자 접근을 높은 비율로 얻었지만, context bomb을 만난 뒤에는 성공하지 못했다고 보도됐다.
어떻게 봐야 하나
이 기법은 프롬프트 인젝션의 근본 해결책이 아니다. 오히려 LLM이 외부 텍스트와 지시를 충분히 분리하지 못한다는 약점을 방어 쪽에서 이용하는 것이다. 따라서 단독 방어책이 아니라 canary, 권한 최소화, 네트워크 egress 제어, tool-call 승인 정책과 함께 쓰는 보조 레이어로 봐야 한다.
실무 적용 시 주의점
- 실제 secret에 심지 말고 decoy secret과 분리한다.
- 거부 유도 문자열이 운영 로그나 사람용 문서에 퍼지지 않게 관리한다.
- 모델별 안전 정책이 달라 효과가 일정하지 않을 수 있다.
- 공격자가 문자열을 필터링하거나 context를 분리하면 우회될 수 있다.
- 방어 성공률뿐 아니라 탐지 알림과 포렌식 로그를 함께 설계한다.
관련 문서
- ai-agent-security-tips-prompt-injection-3-hops — 프롬프트 인젝션 데이터 유출 3홉 모델
- prompt-injection-role-confusion — 프롬프트 인젝션을 역할 혼동으로 설명하는 연구
- crabtrap — AI 에이전트 아웃바운드 HTTP를 정책으로 통제하는 보안 프록시
- zero-trust-ai-agents — 자율 AI 에이전트 보안 프레임워크
참고 자료
- Now, defenders are embracing the prompt injection, too — Ars Technica (2026-07-13)