앤트로픽 오푸스 5 시스템 카드의 IPI 평가에서, 15번까지 공격했을 때 성공률이 직전 4.8의 5.5%에서 2.0%로, 한 번만 시도했을 때는 0.5%에서 0.2%로 낮아졌어요. 클로드가 아닌 모델 중 가장 잘 버틴 쪽도 15번에 16.5%였고, GPT-5.6 솔은 15번에 20.0%·단 한 번에 3.1%라 오푸스 5를 15번 찌른 결과보다 높았어요. 다만 브루스 슈나이어는 '원리상 인젝션을 완전히 막는 건 불가능하고, 특정 상황에서 잘 막게 되는 것뿐'이라고 못 박았고, 7월 27일 공개된 실험에서는 권한 확인을 끈 클로드 코드가 저장소 이미지에 숨긴 지시를 따라 12번 중 10번 원격 코드를 실행했어요.
용어 풀이
- IPI
- 간접 프롬프트 인젝션. 문서·웹페이지·도구 응답 같은 외부 자료에 숨긴 지시를 모델이 사용자 명령처럼 따르게 만드는 공격
- MCP
- 모델을 외부 도구·데이터에 연결하는 규격. 연결된 서버가 돌려준 내용도 그대로 모델 입력이 됨
운영자 인사이트
2.0%는 '거의 안 뚫린다'가 아니라 15번 찔러 보는 공격을 50번 하면 한 번은 성공한다는 뜻이에요 — README·이슈·도구 응답·MCP 서버 응답처럼 남이 쓴 글을 계속 물려 주는 자동화라면 시도 횟수가 곧 성공률이니, 모델 방어력을 믿는 대신 권한 승인·격리 실행·자격증명 분리를 실제 경계로 남겨 둬야 해요.
여러 관점으로 보기
- 1차 근거 — 앤트로픽 시스템 카드 오푸스 5가 IPI 평가에서 15번 시도 기준 2.0%로, 앤트로픽이 견줘 본 모델 가운데 가장 잘 버텼다고 적혀 있어요. Anthropic
- 그래도 뚫린 사례 권한 확인을 끈 클로드 코드에 저장소 요약 문서를 만들라고만 시켰더니, README 이미지에 숨긴 지시를 따라 12번 중 10번 원격 코드를 실행했어요. veganmosfet