슬리퍼 메모리 포이즈닝은 구체적으로 무엇을 의미하나요?

클래식 프롬프트 인젝션 공격은 적대적 콘텐츠가 컨텍스트에 있는 동안만 지속됩니다. 슬리퍼 메모리 포이즈닝은 장기 메모리 저장소에 저장된 조작된 사실을 통해 에이전트의 영구 메모리를 오염시킵니다. 공격은 여러 세션에 걸쳐 잠복 상태를 유지하다가 에이전트가 나중에 다른 작업을 위해 해당 메모리 항목에 접근할 때 활성화되는데, 이는 지속성이 없는 클래식 프롬프트 인젝션과 극적으로 다릅니다.

구체적인 성공률 수치는 어떻게 되나요?

GPT-5.5: 포이즈닝 성공률 99.8%, Kimi-K2.6: 성공률 95%. 성공적으로 검색된 오염 메모리 중 공격자 의도 행동은 60~89% 경우에 트리거되었습니다. 공격 파이프라인은 저장소에 조작된 내용 쓰기부터 이후 검색, 후속 대화 조작까지 완전히 평가되었습니다.

arXiv: GPT-5.5 메모리 포이즈닝 공격 성공률 99.8%

「Hidden in Memory」는 Sidharth Pulipaka, Stanislau Hlebik, Leonidas Raghav, Sahar Abdelnabi, Vyas Raina, Ivaxi Sheth, Mario Fritz가 2026년 5월 14일 발표한 arXiv 논문으로, 상태 기반 LLM 에이전트에 대한 지연 실행 공격을 제안합니다. 외부 컨텍스트(문서, 웹페이지)의 적대적 콘텐츠가 에이전트의 영구 메모리를 오염시켜 GPT-5.5에서 99.8%, Kimi-K2.6에서 95%의 성공률을 달성했으며, 오염된 메모리가 공격자 의도 행동을 유발하는 비율은 60~89%입니다.

Sidharth Pulipaka, Stanislau Hlebik, Leonidas Raghav, Sahar Abdelnabi, Vyas Raina, Ivaxi Sheth, Mario Fritz는 2026년 5월 14일 arXiv에 논문을 발표하여 LLM 에이전트의 영구 메모리를 악용한 지연 실행 공격인 슬리퍼 메모리 포이즈닝을 제안했습니다. 공격 성공률은 충격적입니다. GPT-5.5에서 99.8%, Kimi-K2.6에서 95%입니다.

슬리퍼 메모리 포이즈닝은 구체적으로 무엇인가요?

클래식 LLM 보안 위협인 프롬프트 인젝션, 탈옥, 컨텍스트 조작은 한 가지 근본적인 제한이 있습니다. 공격은 적대적 콘텐츠가 컨텍스트에 있는 동안만 지속됩니다. 사용자가 세션을 종료하거나 컨텍스트를 지우면 공격이 사라집니다.

슬리퍼 메모리 포이즈닝은 그 프로파일을 바꿉니다. 현재의 상태 기반 LLM 어시스턴트(메모리 기능을 갖춘 ChatGPT, Claude Projects, Gemini 개인화)는 여러 세션에 걸쳐 사용자별 정보를 영구화합니다. 논문은 이 영구 메모리가 조작된 사실을 통해 오염될 수 있음을 보여줍니다.

일반 사용자 상호작용을 통해 자동으로 저장소에 기록됩니다
검색 트리거가 올 때까지 잠복 상태를 유지합니다
나중 세션에서 에이전트가 다른 작업을 위해 해당 메모리 항목을 사용할 때 활성화됩니다
후속 대화를 공격자가 의도하는 방향으로 조작합니다

슬리퍼 메모리 포이즈닝과 클래식 프롬프트 인젝션의 차이는 극적입니다. 지속성입니다. 공격은 트리거되기 전에 며칠 또는 몇 주 동안 잠복 상태를 유지할 수 있습니다.

공격 파이프라인의 구체적인 모습

논문은 완전한 공격 파이프라인을 상세히 평가합니다.

조작 내용 쓰기 — 에이전트가 처리하는 외부 문서, 웹페이지, 저장소의 적대적 콘텐츠
메모리 쓰기 — 에이전트가 콘텐츠를 처리하고 조작된 “사실”을 사용자 환경설정, 사실 또는 컨텍스트로 영구 메모리에 기록
잠복 기간 — 쓰기와 검색 사이의 모든 시간
메모리 검색 — 에이전트가 나중 세션에서 다른 작업을 위해 해당 메모리 항목을 사용
행동 트리거 — 오염된 메모리가 에이전트 추론에 영향을 미치고 공격자 의도 행동을 트리거

이 접근 방식은 사용자와 외부 소스 간의 신뢰 경계를 악용합니다. 에이전트는 사용자가 제공하는 모든 것을 신뢰할 수 있는 것으로 취급합니다. 사용자가 업로드한 외부 문서에 악의적인 지시가 포함되어 있어도 마찬가지입니다.

구체적인 성공률 수치

논문은 두 개의 프론티어 모델에 대한 정확한 지표를 제시합니다.

모델	메모리 포이즈닝 성공률	공격자 의도 행동
GPT-5.5	99.8%	성공한 검색의 60~89%
Kimi-K2.6	95%	성공한 검색의 60~89%

GPT-5.5의 수치는 특히 충격적입니다. **99.8%**는 공격자가 에이전트의 구조를 알면 메모리 오염이 사실상 보장됨을 의미합니다. 최첨단 정렬 훈련을 받은 프론티어 모델이 이 공격 벡터에 대해 거의 완전히 무방비 상태입니다.

두 번째 지표인 **행동 트리거율 60~89%**는 성공적인 메모리 오염이 대부분의 경우 실행 가능한 공격으로 전환됨을 보여줍니다. 이것은 이론적 위협이 아닙니다. 실제 영향을 가진 프로덕션 급 공격 벡터입니다.

메모리 포이즈닝이 탐지하기 어려운 이유

방어의 어려움은 몇 가지 요인에서 비롯됩니다.

메모리 쓰기는 정상 작동 — 에이전트는 사용자 상호작용을 통해 지속적으로 메모리 항목을 씁니다
이상 신호 없음 — 적대적 메모리 항목이 다른 사용자 사실과 동일하게 보입니다
크로스 세션 평가 필요 — 단일 세션 모니터링은 공격을 탐지하지 못합니다(트리거가 나중에 오기 때문)
귀인 어려움 — 공격이 트리거될 때 원래 적대적 소스로의 귀인은 사후 포렌식 작업

이 접근 방식에는 단일 포인트 보안 제어가 아닌 엔드투엔드 메모리 파이프라인 감사가 필요합니다.

프로덕션 LLM 배포에 대한 시사점

연구 결과는 메모리 기능을 갖춘 LLM 에이전트를 배포하는 조직에 중요한 의미를 갖습니다.

메모리 기능을 갖춘 ChatGPT Enterprise — 직원이 미검증 소스의 문서를 업로드할 경우 잠재적 노출
Claude Projects — 침해된 프로젝트가 크로스 프로젝트 메모리를 오염시킬 수 있음
장기 메모리로 벡터 저장소를 사용하는 맞춤형 에이전트 배포 — 대규모 공격 표면
공유 메모리를 가진 다중 사용자 시스템 — 한 명의 침해된 사용자가 모두에게 영향을 미칠 수 있음

논문이 시사하는 방어 우선순위:

메모리 소스 출처 추적 — 각 메모리 항목을 원래 소스까지 추적
메모리 쓰기 전 적대적 콘텐츠 스캔
검색 이상 탐지 — 비정상적인 메모리 액세스 패턴 플래그 지정
메모리 만료 정책 — 오래된 메모리 항목의 자동 정리

2026년 에이전트 보안 환경에서의 위치

이 논문은 2026년 5월의 에이전트 안전/보안 연구의 폭발적인 물결에 부합합니다.

arXiv FATE(5월 12일) — 형식 기법을 통한 공격 33.5% 감소
arXiv History Anchors(5월 13일) — 히스토리 조작을 통한 91~98% 안전하지 않은 이동
arXiv Sycophantic Consensus(5월 15일) — 정렬 실패 모드
Microsoft AI Delegation(5월 15일) — 신뢰성 19~34% 저하
arXiv Compositional Jailbreaking(5월 15일) — 변이 체인 시너지

트렌드가 명확합니다. 2026년은 에이전트 시스템이 “실험적 기능”에서 “프로덕션 공격 표면”으로 전환되는 해입니다. 주류 RLHF + 안전 훈련이 챗봇 사용 사례에 제공했던 보안은 영구 메모리를 가진 상태 기반 에이전트에는 충분하지 않습니다.

슬리퍼 메모리 포이즈닝은 두 가지 수치 때문에 2026년 5월의 가장 중요한 보안 논문일 가능성이 높습니다. 99.8%와 여러 세션에 걸친 지속성. 공격자들이 실제 배포에서 그 결과를 재현하기 전에 업계는 LLM 메모리 시스템의 아키텍처를 진지하게 재검토해야 합니다.

arXiv:2605.15338 슬리퍼 메모리 포이즈닝: LLM 에이전트 영구 메모리를 통한 GPT-5.5 공격 성공률 99.8%