Convergent Detour Hijacking: 정답은 맞는데 비용만 부풀리는 스킬 기반 에이전트 공격 | AI Paper Digest

TL;DR Highlight

스킬 하나만 깔았더니 결과는 같고 토큰이 최대 80%대로 늘었다

Who Should Read

서드파티 스킬·플러그인을 에이전트에 붙여 쓰면서 토큰 비용과 지연 시간이 걱정되는 백엔드 개발자

Core Mechanics

스킬 설명과 본문이 짝으로 낚는다
- 설명(description)은 라우터가 스킬을 고를 때, 본문(body)은 계획을 짤 때 읽힌다.
- 공격자는 같은 명분으로 두 단계를 모두 건드린다.
정답은 맞고 경로만 길어진다
- 가짜 선행 조건으로 멀쩡한 다른 스킬을 불러오게 한 뒤 원래 작업으로 돌아오게 만든다.
- 최종 답만 보면 이상한 점이 없다.
코드 없이 텍스트만으로 된다
- 실행 파일, 런타임 응답 조작, 모델 내부 접근이 모두 필요 없다.
- 마켓에 올린 정적 스킬 하나면 충분하다.
설명만, 본문만으로는 반쪽이다
- 설명만 있으면 선택은 되지만 호출 증가가 작다.
- 본문만 있으면 거의 선택되지 않는다.
독립 작성 과제에서는 적중이 줄었다
- 비용은 늘었지만 선택률은 33.33%로 벤치마크보다 낮았다.
- 저자들은 분포에 민감하다고 해석한다.

Evidence

DeepSeek-V4-Pro 단일 과제 결과
- 코디네이터 선택률은 80.02%였다.
- 선택된 과제의 토큰은 clean 실행 대비 66.91%, 실행 시간은 92.45% 늘었다.
완료율은 거의 그대로였다
- 6개 모델과 두 조건 전체에서 clean과 injected 완료율 차이는 최대 1.5%p였다.
- 호출 증가는 모든 설정에서 +1.36~+2.20회였다.
CDH 공격 성공률(ASR)
- 단일 과제 70.82%~80.51%, 멀티턴 71.19%~82.81%였다.
- 491개 held-out 과제, 모델 6종 기준이다.
Ablation (DeepSeek-V4-Pro, 89개 과제)
- Full CDH는 호출 +2.01회, Attract-only는 +0.22회, Detour-only는 +1.08회였다.
- Detour-only의 선택률은 3/89(3.4%)였다.

How to Apply

에이전트 로그에 스킬 호출 수와 토큰 찍기
- 오늘 쓰는 에이전트 한 곳에서 요청별 호출 스킬 목록, 총 토큰, 소요 시간을 로깅하라.
- 스킬을 추가하기 전후 같은 작업으로 비교하라.
요청당 호출·토큰 상한 걸기
- 에이전트 루프에 스킬 호출 최대 횟수와 토큰 예산을 설정하라.
- 초과 시 중단하거나 알림을 보내라.
설치 전 스킬 설명과 본문 대조하기
- 설명이 주장하는 역할과 본문 지시가 일치하는지 확인하라.
- 역할과 무관한 선행 점검이나 검증 단계를 요구하는 스킬은 제외하라.
설명 없는 호출 전환 감시하기
- 필요 이유가 없는 스킬 간 이동을 플래그하는 규칙을 추가하라.
- 정당한 다중 스킬 워크플로는 허용 목록으로 예외 처리하라.

Try It

복사해서 바로 해보기

# Claude 또는 ChatGPT에 붙여넣기 — 논문 방법의 간이 버전(방어 관점의 스킬 감사)

아래 스킬의 description과 본문을 보안 감사자 관점에서 검토해 줘.

[description]
{{스킬 설명}}

[본문]
{{스킬 본문(SKILL.md)}}

확인할 것:
1. 설명이 주장하는 역할과 본문의 지시가 일치하는가?
2. 본문이 요청과 무관한 선행 점검, 검증, 재방문 단계를 필수처럼 강제하는가?
3. 다른 스킬을 불러오게 만드는 지시가 있는가? 있다면 각각 생략 시 결과가 정말 달라지는가?
4. 호출 횟수 상한과 종료 조건이 있는가?

각 항목에 위험도(낮음/중간/높음)와 근거 문장을 표로 정리하고, 최종 설치 권고를 한 줄로 내려줘.

이어서 해 볼 것: 같은 작업을 이 스킬 있을 때와 없을 때 실행해 호출 수와 토큰을 비교해 보라.

Terminology

Progressive disclosure처음엔 스킬 설명만 보여 주고 필요할 때 본문을 불러오는 방식이다. 책 목차만 먼저 보고 필요한 장만 펴는 것과 비슷하다.

Skill도메인 지식, 절차, 도구 사용법을 묶어 둔 에이전트용 확장 패키지다. 앱의 플러그인과 비슷하다.

Coordinator skill다른 스킬들의 작업을 조율하는 척하는 공격자의 스킬이다. 회의에 끼어들어 불필요한 확인 절차를 끝없이 요구하는 사람과 비슷하다.

Trajectory necessity실행 경로의 각 단계가 정말 필요했는가를 따지는 개념이다. 답이 맞아도 돌아간 길이 불필요했다면 문제로 본다.

ASR공격 성공률이다. 이 논문에서는 코디네이터 선택, 기존 스킬 유지, 추가 스킬 호출, 작업 완료를 모두 만족한 비율이다.

관련 논문

Original Abstract (Expand)

LLM agents increasingly rely on third-party skills, using natural-language descriptions for selection and instruction bodies for planning. This progressive-disclosure design exposes two sequential control points to untrusted publishers: a static skill may steer an otherwise correct task onto an unnecessarily costly trajectory. Prior work studies selection manipulation, malicious skill instructions, and tool-chain resource amplification largely separately, leaving their end-to-end composition unclear. We introduce Convergent Detour Hijacking (CDH), a text-only, runtime-independent attack that couples these stages. Under shared semantic cover, a description establishes relevance during selection, while an aligned body reuses that rationale to fabricate plausible dependencies during planning. CDH attracts an attacker-controlled coordinator alongside legitimate skills, recruits unnecessary benign skills into a bounded detour, and then re-enters the original route to preserve task completion. We evaluate it across multiple LLM backends and 491 held-out tasks under single-task and multi-turn conditions. On DeepSeek-V4-Pro, the matched coordinator is selected in 80.02% of tasks; among coordinator-hit runs that complete tasks, token consumption and end-to-end execution time increase by 66.91% and 92.45%, respectively, while aggregate task completion remains comparable. Thus, correct outcomes do not guarantee trajectory integrity or cost safety.