Ollama, llama.cpp, vLLM으로 돌리는 로컬 도구 사용 에이전트가 MCP나 셸 접근 권한을 가질 때 가장 큰 문제는 간접 프롬프트 인젝션이라고 개발진이 설명했다. 에이전트가 신뢰할 수 없는 저장소나 웹페이지, 이메일을 읽으면 숨겨진 텍스트가 컨텍스트를 납치해 파괴적인 명령을 실행하기 쉽다는 것이다.

Llama Guard 3 같은 8B 가드 모델을 모든 도구 호출마다 돌리면 귀중한 VRAM을 잠식하고 150~250ms의 오버헤드가 더해지며, 클라우드 가드레일 API는 500ms 이상 걸리고 사내 코드를 유출한다. 이에 Qwen2.5-1.5B-Instruct를 225만 개의 ChatML 보안 샘플로 파인튜닝하고, 결정론적 사전 점검 디코더와 케이퍼빌리티 기반 접근 통제(CBAC)로 감쌌다고 밝혔다.

1만 개 샘플 벤치마크 결과로는 UIUC InjecAgent 2,108건에서 99.62%의 무력화율(0.03ms 패스트 패스), Microsoft BIPIA 50건의 구분자 없는 이메일 인젝션에서 84.00%, NVIDIA Garak 14개 프로브의 DAN 탈옥과 API 키 수집 시도에 대해 71.43%를 기록했다. 산업 워크로드 1만 샘플에서는 전체 재현율 99.22%, ROC AUC 0.994였다.

일반 CPU에서 p50 0.36ms, p95 1.83ms, p99 4.75ms의 지연 시간을 보였고, Mac Mini CPU에서 초당 214개 샘플을 처리하며 GPU 없이 1.1GB RAM에 들어간다. 개발진은 InjecAgent 같은 학술 벤치마크에서 공격자가 대화 위장 기법을 쓴다는 사실이 드러났다며 순수 NLP가 실패하는 이유와 CBAC의 필요성을 설명했다.