AI 에이전트 보안 논문의 표현#
사이버 공격 능력을 가진 AI 에이전트를 어떤 환경 안에서 평가해야 하는가를 다룬 리뷰 논문. 주장을 넓히지 않고 정확히 한정해서 말하는 문형이 많아 발췌했다.
원문 — Abu Bakar Siddik, Cyber-Capable AI Agents: Vulnerabilities, Evaluation Containment, and Defensive Response, arXiv:2607.25379v1 (2026-07-28), CC BY 4.0 라이선스.
영어 문장은 원문 그대로 인용했고, 한글 설명과 응용 문장은 이 노트에서 새로 쓴 것이다.
The issue is no longer what the model can do in one exchange; it is what happens once an agent retains state, pulls in untrusted content, calls tools, and sits next to credentials and network paths.
문제는 더 이상 모델이 한 번의 주고받음에서 무엇을 할 수 있느냐가 아니다. 에이전트가 상태를 유지하고, 신뢰할 수 없는 콘텐츠를 끌어오고, 도구를 호출하고, 자격 증명과 네트워크 경로 옆에 놓인 뒤에 무슨 일이 벌어지느냐다.
The issue is no longer X; it is Y는 논점 자체를 옮기는 재정의 구문이다. no longer가 기존 논의를 낡은 것으로 만들고, 세미콜론 뒤의 it is가 새 초점을 앉힌다. 뒤에 once ~ 절을 붙이면 ‘어느 시점부터 문제가 되는지’까지 한 문장에 들어간다. sits next to credentials처럼 추상적인 위험을 물리적 위치로 옮겨 말하는 것도 그대로 훔칠 만하다.The question is no longer whether we can detect the intrusion; it is how fast we can contain it once it starts spreading.
침입을 탐지할 수 있느냐는 더 이상 문제가 아니다. 퍼지기 시작한 뒤 얼마나 빨리 차단하느냐가 문제다.
The risk is no longer the model's output; it is what the agent does with the tool permissions we granted it.
위험은 더 이상 모델의 출력이 아니다. 우리가 부여한 도구 권한으로 에이전트가 무엇을 하느냐가 위험이다.
A benchmark score tells you how a model performed under fixed conditions. It says nothing about the containment around it.
벤치마크 점수는 고정된 조건에서 모델이 어떻게 수행했는지를 알려 준다. 그 주변의 격리 수준에 대해서는 아무것도 말해 주지 않는다.
X tells you A. It says nothing about B. — 증거의 사정거리를 잘라 내는 두 문장 구조다. 한 문장으로 붙이지 않고 마침표로 끊어 두 번째 문장에 힘을 싣는 게 핵심. says nothing about은 ‘언급이 없다’가 아니라 그 근거만으로는 아무 말도 할 수 없다는 강한 부정이다. 지표를 인용한 직후 과잉 해석을 막을 때 그대로 쓴다.The audit report tells you which controls existed on paper. It says nothing about whether anyone followed them.
감사 보고서는 어떤 통제가 문서상 존재했는지를 알려 준다. 실제로 그 통제를 지켰는지에 대해서는 아무것도 말해 주지 않는다.
Uptime tells you the service was reachable. It says nothing about whether the responses were correct.
가동률은 서비스에 접속이 됐다는 것만 알려 준다. 응답이 정확했는지에 대해서는 아무것도 말해 주지 않는다.
We refer to this limitation as the asymmetry problem. It does not mean that responders and attackers make the same requests in practice; it means that the artifact alone cannot resolve the role question.
우리는 이 한계를 비대칭 문제라고 부른다. 이는 대응자와 공격자가 실제로 같은 요청을 한다는 뜻이 아니라, 산출물만으로는 역할 문제를 판별할 수 없다는 뜻이다.
It does not mean X; it means Y로 오해를 먼저 차단하는 구조다. 새 용어를 만들면 독자가 과하게 해석하기 쉬운데, 그 과잉 해석을 명시적으로 부정하고 정확한 범위를 다시 못 박는다. We refer to A as B는 용어를 도입하는 표준형이고, 이어지는 부정-긍정 짝이 그 정의를 좁혀 준다.We call this the noisy-neighbor problem. It does not mean the tenants are misbehaving; it means the scheduler cannot tell their workloads apart.
우리는 이를 시끄러운 이웃 문제라고 부른다. 테넌트가 잘못 행동한다는 뜻이 아니라, 스케줄러가 그들의 워크로드를 구분하지 못한다는 뜻이다.
A failing health check does not mean the service is down; it means the probe could not confirm that it is up.
헬스 체크 실패는 서비스가 죽었다는 뜻이 아니라, 프로브가 서비스의 정상 동작을 확인하지 못했다는 뜻이다.
Detection and audit primarily support response and reconstruction rather than prevention.
탐지와 감사는 예방이라기보다 주로 대응과 재구성을 뒷받침한다.
출처: arXiv:2607.25379 · 7. The defense landscape and its gaps
A primarily supports B rather than C — 어떤 수단의 역할을 제자리에 돌려놓는 문장이다. primarily가 ‘전혀 아니다’가 아니라 ‘주된 쓸모는 이쪽’이라는 여지를 남겨 준다. 통제 수단을 평가하면서 ‘이건 막아 주지는 않는다’를 각 세우지 않고 말하는 방식.Logging primarily supports investigation rather than enforcement.
로깅은 차단이라기보다 주로 조사를 뒷받침한다.
The checklist primarily supports consistency rather than judgment; it does not tell you which risks matter most.
체크리스트는 판단이라기보다 주로 일관성을 뒷받침한다. 어떤 위험이 가장 중요한지는 알려 주지 않는다.
Evaluating the model’s cyber capability without evaluating that boundary leaves out the mechanisms through which a capable agent can act.
그 경계를 함께 평가하지 않은 채 모델의 사이버 능력만 평가하면, 능력 있는 에이전트가 실제로 행동하는 경로가 빠진다.
without -ing로 빠뜨린 조건을 붙인 뒤 leaves out ~으로 결과를 말한다. **‘그렇게 하면 무엇이 빠지는지’**를 한 문장에 담는 결론부 문형이다. leaves out은 ignores보다 비난 톤이 약해서 논문 결론에 맞고, the mechanisms through which ~는 ‘~하는 경로·수단’을 가리키는 관계절이다.Measuring model accuracy without measuring latency leaves out the constraint users actually feel.
지연 시간을 함께 재지 않고 모델 정확도만 재면, 사용자가 실제로 체감하는 제약이 빠진다.
Reviewing the code without reviewing the deployment config leaves out the paths through which the secret was exposed.
배포 설정을 함께 보지 않고 코드만 리뷰하면, 비밀값이 노출된 경로가 빠진다.