왜 장기 메모리가 공격면인가
에이전트의 장기 메모리는 과거 선호와 작업 정보를 재사용하지만, 공격자가 남긴 지시도 오래 보존할 수 있습니다. 악성 문장이 저장될 때는 무해해 보여도 나중에 관련 작업에서 다시 호출돼 실제 도구 행동을 바꿀 수 있습니다.
7월 29일 프리프린트 MemSecBench는 메모리 오염을 저장 여부만 보지 않고 Write–Execute–Forget 전체 수명주기로 추적합니다.
벤치마크와 결과
MemSecBench는 코드·과학, 일상생활과 사무업무의 현실적 맥락 48개에서 만든 310개 사례를 포함합니다. 두 에이전트 harness, 네 메모리 backend와 세 LLM backend를 조합한 24개 구성을 격리 환경에서 평가했습니다.
저자 보고에서 악성 메모리는 전체 사례의 84.2%에서 지속됐고, 저장부터 후속 행동까지 이어진 전체 Write–Execute 공격은 50.3% 성공했습니다. 성공적으로 오염된 사례 가운데 59.6%는 전체 실행 연쇄를 완료했습니다. 구성에 따라 공격 성공과 선택적 복구 성능 차이도 컸습니다.
운영에 주는 교훈
메모리를 단순 데이터베이스로 취급하지 말고 실행 권한과 연결된 신뢰 경계로 봐야 합니다. 저장 전에 출처·사용자·권한을 기록하고, 불신 입력은 실행 지시가 아닌 인용 데이터로 격리해야 합니다.
호출 시점에는 현재 요청과 메모리 출처를 함께 검사하고, 쓰기·결제·외부 발송 전에는 원 사용자 지시와 사람 승인을 다시 확인해야 합니다. 삭제 기능도 문자열 하나가 아니라 같은 의미의 파생 요약과 임베딩까지 추적해야 합니다.
한계
이는 동료평가 전 프리프린트이며 선택한 harness, backend와 judge 설계에 따라 수치가 달라질 수 있습니다. 실제 서비스의 권한·필터·사용자 행동을 모두 재현하지는 않습니다. 그래도 저장, 실행 결과와 복구를 같은 의미 단위로 추적한다는 평가 구조는 실무 보안 점검에 유용합니다.