보안 연구자가 직접 테스트한 결과, 에이전트는 환자 기록 42번을 조회하라는 단순 지시를 받았는데 그것도 모르게 `export_record` 툴을 호출해서 데이터를 공격자 서버로 전송했거든요

오픈소스 AI 에이전트 프레임워크 smolagents가 MCP 툴 스키마의 enum 값에 숨겨진 악성 명령을 걸러내지 못한다는 게 실험으로 입증됐어요.

보안 연구자가 직접 테스트한 결과, 에이전트는 환자 기록 42번을 조회하라는 단순 지시를 받았는데 그것도 모르게 export_record 툴을 호출해서 데이터를 공격자 서버로 전송했거든요. 10번 실행 중 7번이 성공했고, 그중 6번은 description 스캔이 아예 열지 않는 스키마 필드에서 실행됐어요.

문제의 핵심은 mcpadapt가 툴 이름만 파이썬 식별자로 바꾸고, enum·title·default 같은 나머지 필드는 모델에게 원문 그대로 넘긴다는 거예요. 연구자가 자체 제작한 등록 시점 스캐너는 이걸 전부 잡아냈어요.

'설명(description) 필드만 검사하면 안전하다'는 통념이 깨진 사례예요. AI 에이전트를 프로덕션에 붙이는 팀이라면 스키마 전체를 검증 대상으로 봐야 하는 시점이 됐어요.