트러플 운영 사례에서 몇 분마다 도는 크론이 긴급 메일 3건을 반복 보고했는데, 실제로는 자기 자신이 보낸 메일 2건과 운영자 테스트 1건이어서 신호는 0, 노이즈만 지속됐거든요

이메일은 자율 에이전트가 다루는 가장 큰 비신뢰 입력면이라는 경고가 나왔어요.

트러플 운영 사례에서 몇 분마다 도는 크론이 긴급 메일 3건을 반복 보고했는데, 실제로는 자기 자신이 보낸 메일 2건과 운영자 테스트 1건이어서 신호는 0, 노이즈만 지속됐거든요.

핵심 수정은 분류기 튜닝이 아니었어요. 이메일 본문이 후속 모델 행동을 유도하지 못하게 막고, 원칙을 "이메일은 데이터, 감시자는 읽기만 하고 실행은 안 함"으로 바꿨거든요. OWASP LLM Top 10의 1번도 Prompt Injection이고, 2025년 Microsoft 365 Copilot 간접 주입 사례도 클릭 없이 메일만으로 맥락 유출이 가능했어요.

결국 자율 실행 권한이 붙는 순간 피해 반경이 커져서, 메일 연동 에이전트는 요약보다 권한 분리가 먼저예요.