능력 격차는 좁혀져도 보안 격차는 안 좁혀진다: MCP 게이트웨이 설계 선택 체크리스트

평면형과 계층형, 게이트웨이가 바꾸는 것

MCP 게이트웨이는 에이전트와 연결된 여러 MCP 서버 사이에 놓여 도구 노출 방식을 결정합니다. 평면형은 연결된 모든 서버의 도구를 매 턴 하나의 목록으로 그대로 보여주고, 계층형은 도구 발견용 메타 도구만 노출해 에이전트가 필요할 때마다 조회하게 합니다. 구조 선택은 과제 성공률뿐 아니라 토큰 비용과 보안에도 동시에 영향을 미치는 설계 변수입니다.

도구 수가 수백 개를 넘어가는 운영 환경에서 평면형은 매 턴 전체 목록을 컨텍스트에 실어 보내는 만큼 도구가 늘수록 토큰과 지연이 선형으로 불어나고, 계층형은 조회한 도구만 받기 때문에 거의 그대로 유지됩니다. 도입 전에 자사 도구 풀 규모를 기준으로 이 비용 곡선을 먼저 그려봐야 합니다.

능력 격차는 좁혀져도 보안 격차는 안 좁혀진다

7종 상용 게이트웨이를 실측한 연구에서, 기반 모델을 올려 두 구조의 과제 성공률이 87.2%와 85.1%로 거의 같아져도 간접 공격 성공률은 47.2%와 30.9%로 격차가 그대로 남았습니다. 모델을 강하게 만들면 구조 선택의 영향이 줄어들 것이라는 가정이 이 데이터에서는 성립하지 않고, 오히려 모델이 강할수록 게이트웨이 구조는 더 순수하게 보안 변수로 남습니다.

격차의 거의 전부는 도구 자체에 악성 내용을 심는 '툴 인젝션'에서 나옵니다. 도구가 돌려주는 데이터에 심긴 '환경 인젝션'에서는 두 구조의 차이가 3%p 안으로 붙어 있어, 게이트웨이를 계층형으로 바꾼다고 이 공격까지 막히지는 않습니다.

설계에서 운영까지: MCP 게이트웨이 선택·운영 체크리스트

목표 지표는 세 갈래로 둡니다. 과제 성공률(TSR) 격차는 2%p 이내, 툴 인젝션 기준 간접 공격 성공률(ASRind)은 구조 전환으로 15%p 이상 낮추는 것을 목표로 하고, 노출 도구 1,000개 구간에서 평면형 대비 계층형의 턴당 토큰 증가율을 일정 배수 이내로 묶어 비용 상한을 정합니다. 세 지표를 따로 떼어 보면 안전해 보이는 선택이 비용이나 성능에서 무너질 수 있습니다.

첫 번째 실패 패턴은 게이트웨이 구조만 바꾸고 보안 문제가 해결됐다고 믿는 것입니다. 구조 전환은 도구 자체에 심긴 공격만 줄이고, 도구 응답에 심긴 공격에는 거의 영향을 주지 못합니다. 계층형으로 옮기고도 콘텐츠 필터링 계층을 따로 두지 않으면 그 공격 경로는 그대로 열려 있습니다.

두 번째 실패 패턴은 공격 성공률이 낮다는 보고만 믿고 과제 성공률을 함께 확인하지 않는 것입니다. 과제 성공률 자체가 낮으면 공격도 똑같이 실패하는 능력 붕괴 상태일 뿐, 안전해서 막힌 것이 아닙니다. 두 지표를 나란히 보고받지 않으면 이 둘을 구분할 수 없습니다.

복구 전략은 공격 경로별로 방어선을 분리하는 데서 시작합니다. 게이트웨이 구조는 툴 인젝션 방어선으로 쓰고, 환경 인젝션에는 도구 응답 콘텐츠 필터링·새니타이징을 별도 계층으로 둡니다. 벤더를 고를 때도 평면형·계층형이라는 범주보다 같은 계층형 안에서도 제품별로 갈리는 실제 수치를 기준으로 삼습니다.

운영 체크리스트에는 배포 전 자사 도구 풀 규모로 토큰·지연 곡선을 재현해 보는 절차, 모델이나 하니스를 바꿀 때마다 TSR·ASR을 같은 표에 다시 재는 절차, 노출 도구 수가 늘어날 때 평면형과 계층형의 비용·성공률 역전 지점을 추적하는 절차를 넣습니다. 단일 실행 벤치마크 수치는 방향 신호로만 쓰고, 자체 도구 환경에서 재현한 뒤 게이트웨이를 확정합니다.

지속 개선 루프는 분기마다 레드팀 과제셋을 재실행해 툴 인젝션·환경 인젝션 성공률을 따로 집계하는 데서 시작합니다. 새 MCP 서버가 도구 풀에 추가될 때마다 노이즈 도구 수 기준 비용 곡선을 다시 그리고, 공격 패턴이 바뀌면 콘텐츠 필터링 규칙과 게이트웨이 설정 변경 이력을 분리된 변경 로그로 남겨 다음 분기 회귀 테스트의 기준선으로 씁니다.

바로 쓰는 체크리스트

TSR 격차 2%p 이내·ASRind 15%p 이상 개선·도구 1,000개 구간 토큰 상한을 목표로 두고, 게이트웨이 구조 전환은 툴 인젝션 방어선으로만 쓰고 환경 인젝션에는 별도 필터링 계층을 두며, TSR과 ASR을 항상 같은 표로 보고받으면 능력 붕괴를 안전으로 오인하는 실수를 막을 수 있습니다.

참고 링크

GatewayBench: Unified Capability and Security Evaluation Platform for MCP Gateways — arXiv

토큰 28배, 공격성공률 47.2%→30.9%: MCP 게이트웨이 7종 실측 GatewayBench 리뷰 — sunny34.com 리서치