REALM, LLM 에이전트 접근권한 최소화
최근 30일 조회수 — 좋아요 —핵심 요약
REALM은 작업 자산의 발견과 사용 허가를 분리해 프롬프트 인젝션 공격 성공률을 0.2%로 낮췄다.
REALM(Required Execution Assets Linked to a Mission)은 대규모 언어 모델(LLM) 에이전트가 작업에 꼭 필요한 파일·계정·서비스만 쓰도록 자산과 허용 범위를 식별하는 최소권한 접근법이다. 10월 29일 arXiv에 공개된 논문은 에이전트에 과도한 접근권한을 주면 프롬프트 인젝션이 실행 경로를 바꿔 작업과 무관한 자원까지 건드릴 수 있다고 지적한다.1
기존 최소권한 원칙을 LLM 에이전트에 적용하기 어려운 이유는 필요한 자산이 처음부터 모두 드러나지 않기 때문이다. 작업을 수행하는 도중 새 파일이나 계정의 정체가 확인될 수 있다. REALM은 필요한 자산을 의존성 그래프(Dependency Graph)의 노드로 표현하고, 자산 사이의 선행 관계를 해소한다. 실행 중 발견한 자산은 출처 범위에 묶인 선택 절차를 거쳐 추가한다.
핵심은 자산을 ‘발견하는 것’과 그 자산의 ‘사용을 허가하는 것’을 분리했다는 점이다. 새 자산을 찾았다고 곧바로 접근권한을 내주는 대신, 필요한 용도까지 별도로 관리한다. 논문은 이 과정이 에이전트가 계산 방법을 선택할 자유는 유지하면서 접근 대상을 제한한다고 설명한다.
구현 구조도 이 원칙을 따른다. REALM 빌더(REALM Builder)는 선택된 권한 부여 내역을 유지하고 자산 파일(Asset Files)을 만든다. 부분 API 관리자(Partial API Manager)는 작업 컨테이너(Task Container) 안의 에이전트에 특정 자원과 결합된 부분 API(Partial APIs)만 노출한다. 서비스 전체에 대한 포괄적 권한 대신, 선택된 자원에 한정된 인터페이스를 제공하는 방식이다.
AgentDyn 평가에서 REALM은 정상 작업 60건 가운데 40.0%를 완료했고, 프롬프트 인젝션이 포함된 560건에서는 36.4%를 완료했다. 기반 모델로 qwen3.5-flash를 썼을 때 ASR은 16.6%에서 0.2%로 낮아졌다. 다만 정상 작업 완료율도 40.0%에 그쳤다는 결과는 보안 강화와 작업 수행 능력을 함께 봐야 한다는 점을 보여준다. 또한 이 수치는 한 벤치마크와 한 기반 모델에서 나온 결과여서 다른 환경에서의 효과는 자료만으로 확인할 수 없다.1
Footnotes
읽기 목록은 이 브라우저에 저장됩니다.
출처
- REALM: Identifying Minimal Task Assets for LLM Agents — arXiv (cs.CR)
이 글은 위 출처를 근거로 자동 생성된 뒤 발행됐습니다. 원문을 함께 확인해 주세요. 교차 보도 없이 단독 출처로 작성됐습니다.