프롬프트 인젝션은 '버그'가 아니라 '구조적 결함': OWASP 6월 보고서와 MCP 공급망 사고
Prompt injection may be a permanent flaw, not a patchable bug — OWASP June 2026
에이전트 보안의 현실 점검이 6월에 집중됐다. OWASP GenAI Security Project의 6월 11일 보고서는 프롬프트 인젝션이 'LLM이 텍스트를 읽는 방식 자체에 내재'된 결함이며, 지난 1년의 CVE와 공급망 침해가 어떤 패치도 이를 닫지 못했음을 보여준다고 진단했다. 핵심 위협 모델은 'lethal trifecta' — ① 민감 데이터 접근 ② 신뢰 못 할 외부 콘텐츠 노출 ③ 외부 통신 능력, 이 셋이 한 에이전트에 겹치면 단 한 줄의 주입 프롬프트로 데이터 유출 도구가 된다. LLM은 시스템 프롬프트·사용자 입력·검색된 콘텐츠를 단일 토큰 시퀀스로 처리해 권한 경계를 신뢰성 있게 강제할 메커니즘이 없다는 게 구조적 원인이다. 실제 사고도 잇따랐다 — LiteLLM(CrewAI·DSPy·GraphRAG의 LLM 게이트웨이) 백도어가 3월 PyPI에 약 3시간 노출돼 4.7만 다운로드가 발생했고, MCP 코어 인프라의 RCE 취약점(CVE-2025-6514, CVSS 9.6)과 최대 20만 개의 취약 MCP 인스턴스 노출이 보고됐다. 'tool poisoning'(도구 메타데이터에 숨긴 명령)이 새로운 인젝션 벡터로 떠올랐다.
MCP를 붙이는 순간 에이전트는 lethal trifecta에 진입하기 쉽다는 걸 전제로 설계해야 한다. 단일 통제(예: 입력 필터)로는 막을 수 없고, 도구 화이트리스트·신원 바인딩·런타임 모니터링·HITL 체크포인트를 겹쳐 blast radius를 줄이는 게 현실적 방어다. 특히 외부 MCP 서버와 패키지는 '15개 클린 버전 후 1줄 추가' 식 공급망 공격에 노출되므로 핀 고정과 출처 검증이 필수다.
원문 출처
Help Net Security (OWASP)