오픈 웨이트 모델은 에이전트로 작동할 때 데이터 속에 숨은 지시에 더 쉽게 끌려간다. 보안 기업 PromptArmor는 2026년 10월 16일, 실세계형 간접 프롬프트 주입 공격 체인을 이용한 9800회 시험 결과를 발표했다. 오픈 웨이트 그룹의 취약률은 26.7%, 비공개 그룹은 14.2%로 전자가 88% 높았다. 오픈 그룹에는 DeepSeek, Kimi, GLM, Qwen이, 비공개 그룹에는 GPT, Claude, Gemini가 포함됐고 각 회사의 최신 플래그십과 최신 가성비 모델이 시험 대상이었다.
격차가 가장 큰 곳은 답변이 아니라 행동 단계
간접 프롬프트 주입이 위험한 이유는 공격자가 모델과 직접 대화하지 않기 때문이다. 지시는 에이전트가 읽는 웹페이지, 문서, 이메일에 심어지고 모델은 데이터를 명령으로 실행한다. 격차가 가장 두드러진 세 가지 공격 표본은 모두 실제 행동을 수반한다. 공격자 웹사이트를 조사하던 에이전트가 악성 코드를 실행한 시나리오에서는 오픈 그룹 49%, 비공개 그룹 9%였다. 악성 문서를 읽고 피싱 로그인 창을 띄운 시나리오에서는 36% 대 5%, 주입된 이메일을 읽고 마크다운 이미지를 통해 메일 내용을 유출한 시나리오에서는 23% 대 9%였다. 격차는 답변 말투가 아니라 도구와 권한을 쥔 에이전트가 외부 지시를 자기 임무의 일부로 오인하는지에서 벌어진다.
보고서는 반직관적인 대조도 제시한다. 플래그십과 가성비 모델을 비교하면 비공개 업체의 저가 모델은 자사 플래그십보다 169% 더 취약했고, 오픈 업체의 저가 모델은 자사 플래그십보다 약 5% 더 견고했다. 개별 사례에서는 Claude와 GPT 계열의 새 저가 모델이 각자의 구형 플래그십보다 쉽게 뚫렸고, Qwen과 DeepSeek의 새 저가 모델은 자사 플래그십보다 잘 버텼다. 최신 모델인지 여부만으로는 부족하다는 뜻이다.
이 숫자를 읽는 법
전제를 분명히 하자. 이 결과는 PromptArmor가 자체 개발한 공격 체인과 평가 환경에서 얻은 것으로, 동사가 실제 에이전트 제품에서 발견했다고 밝힌 공격 체인을 바탕으로 한다. 제3자의 독립 재현은 아니다. 모델 버전, 시스템 프롬프트, 도구 설정에 따라 결과가 달라지므로 26.7%와 14.2%는 개별 모델에 대한 최종 안전 판정이 아니라 상대적 위험 비교로 읽어야 한다. 두 수치의 공통점은 어느 쪽도 0이 아니라는 것이다. 성적이 좋은 그룹의 14.2%도 실세계형 공격 체인 약 일곱 번 중 한 번은 뚫린다는 계산이다.
에이전트를 도입하는 팀이 실행할 결론은 세 가지다. 첫째, 외부 문서와 웹페이지, 이메일을 읽는 에이전트에서는 주입 취약률을 벤치마크와 가격에 나란한 선정 지표로 삼을 것. 둘째, 저가 모델이 플래그십의 안전 동작을 그대로 물려받는다고 가정하지 말고 출시 전에 자체 업무 데이터로 재시험할 것. 셋째, 방어를 모델의 판단에만 맡기지 말고 도구 최소 권한, 외부 발송 2차 확인, 검색 콘텐츠를 신뢰할 수 없는 데이터로 명시하는 시스템 차원의 조치를 두 그룹 모두에 적용할 것. 외부 평가가 연구소 내부로 들어가는 흐름은 Anthropic이 평가자를 사내에 들인 사례 에서 볼 수 있다. 함께 보면 에이전트 안전 점검 방식이 점수에서 실제 공격 체인으로 이동하고 있음을 알 수 있다.
