[논문 리뷰] SHIELD: An Auto-Healing Agentic Defense Framework for LLM Resource Exhaustion Attacks

메타정보

항목	내용
저자	Nirhoshan Sivaroopan et al. (저자 9명, University of Sydney · Western Sydney University · UNSW · University of Wollongong)
학회	arXiv · 2026 · cs.CR
arXiv 또는 DOI	2601.19174
데이터	공격셋 AutoDoS · GCG-DoS · EOGen · RL-GOAL / 양성셋 GSM8K · HellaSwag · MMLU · HumanEval · GPQA
리뷰 일자	2026-06-25

TL;DR

LLM을 향한 sponge 공격 (자원 고갈/DoS) 은 비의미론적 토큰 나열(gibberish prefix)부터 멀쩡한 문장 속에 숨은 의미론적 과제 분해까지 진화하는데, 기존 방어(perplexity 필터, LLM 기반 harm 필터)는 각각 의미론적 공격에 취약하거나 정적·고비용이라 새 공격에 적응하지 못한다.
SHIELD는 재학습 없는 (training-free) 자가 치유형 멀티 에이전트 방어다. 저지연 3단계 방어 파이프라인을 담당하는 Defense Agent (DA), 탐지 실패 시 공격을 해부해 지식을 갱신하는 Knowledge Updating Agent (KUA), 그 지식으로 Stage 3 방어 프롬프트를 진화시키는 Prompt Optimization Agent (POA) 가 닫힌 피드백 루프를 이룬다.
LLaMA2 타깃에서 AutoDoS F1 100.00 (perplexity 36.51, harm-filter 87.57), 네 공격 유형 전반에서 baseline 대비 최대 3–14%p 우위. 공격이 한 번 방어를 뚫어도 시스템이 스스로 학습해 다음엔 더 이른 단계에서 차단한다.

소개 (Introduction)

LLM이 도구 호출과 다단계 추론을 오케스트레이션하는 자율 시스템으로 확산되면서, 공격 표면도 함께 넓어지고 있다. 그중 sponge 공격 (Shumailov et al., 2021) 은 모델이 비정상적으로 많은 연산을 수행하도록 유도해 latency를 폭증시키고 denial-of-service (DoS) 를 일으킨다. 겉보기엔 단순한 프롬프트 하나가 GPU 자원을 독점해 같은 파이프라인을 쓰는 다른 정상 사용자의 서비스를 마비시킬 수 있다는 점에서 위협적이다.

Figure 1: 양성 프롬프트(평균 9.2초)와 악성 sponge 프롬프트(평균 89.7초)의 응답 지연 분포. 단일 쿼리가 처리 시간을 한 자릿수에서 두 자릿수 초 단위로 끌어올린다.

sponge 공격은 크게 두 갈래다. 하나는 EOS (end-of-sequence) 토큰 생성을 억제해 모델이 끝없이 토큰을 뱉게 만드는 비의미론적 토큰 나열 — GCG-DoS/Engorgio (Dong et al., 2024), RL-GOAL (Manu et al., 2025) 같은 gibberish prefix 류다. 다른 하나는 문맥상 자연스럽고 의미가 통하지만 내부적으로 방대한 하위 과제를 연쇄시키는 의미론적 공격 — AutoDoS (Zhang et al., 2025) 가 대표적이다. 둘을 섞은 EOGen (Manu et al., 2025) 도 있다.

기존 방어는 두 진영으로 나뉜다. 첫째는 perplexity 기반 입력 필터 (Alon and Kamfonas, 2023) 로, 비정상적 토큰 분포를 통계 임계값으로 잡아낸다. 가볍고 빠르며 비의미론적 공격에 효과적이지만, 의미론적으로 멀쩡한 sponge 프롬프트 — 악의가 유창한 자연어 속에 녹아 있는 경우 — 에는 근본적으로 무력하다. 둘째는 LLM 기반 탐지기 (harm-filter, Phute et al., 2023) 로, 자원 고갈 행동에 대한 설명을 추론해 의미론·비의미론 공격을 모두 잡는다. 표현력이 높고 미래 지향적이지만 정적 방어 프롬프트는 진화하는 공격에 강건성·확장성이 부족하고, 매 입력마다 LLM을 호출해 고처리량 환경에서 latency 부담이 크며, 방어 모델 자체가 실패했을 때 복구 메커니즘이 빈약하다. 저자들이 짚는 핵심 공백은 이것이다 — 새 공격이 등장할 때 스스로 적응하고, 한 번 뚫려도 자가 치유하는 방어 프레임워크가 없다.

핵심 기여 (Key Contributions)

sponge 공격에 대한 최초의 자가 치유 (auto-healing) 에이전트 방어 시스템. 재아키텍처 없이 지속 적응하는 닫힌 피드백 루프를 제안한다. SHIELD = Self-Healing Intelligent Evolving LLM Defense.
3단계 방어 파이프라인. 값싼 의미 유사도 필터링 → 부분 문자열 매칭 → LLM 추론 순으로 cascade를 설계해, 비싼 per-query LLM 호출의 latency 부담을 이른 단계 탐지로 줄인다.
프롬프트 최적화 워크플로우. 새 공격 행동이 드러날 때마다 방어 지시문을 진화적으로 다듬어, 정적 프롬프트의 강건성·확장성 한계를 넘는다. 모델 재학습이 전혀 없다 (training-free, black-box 호환).
두 갈래 자가 치유 경로의 분리. 새로운 공격 유형 은 LLM 레벨 적응(POA 프롬프트 최적화)으로, 알려진 유형의 새로운 인스턴스 는 데이터 레벨 강화(지식베이스 확장 → Stage 1/2)로 처리한다. 이 분리가 이 논문의 가장 의미 있는 설계적 통찰이라고 본다.

방법 / 아키텍처 상세

SHIELD는 두 개의 긴밀히 결합된 파이프라인으로 구성된다. 평상시 저지연 보호를 담당하는 Defense Pipeline 과, 방어가 뚫렸을 때만 작동하는 Knowledge Updating Pipeline. 전체는 세 에이전트 — Defense Agent (DA), Knowledge Updating Agent (KUA), Prompt Optimization Agent (POA) — 가 이루는 닫힌 루프다.

Figure 2: SHIELD 개요 — (i) 멀티 에이전트 프레임워크(왼쪽: DA·KUA·POA가 타깃 모델을 감싼다) (ii) 3단계 방어 파이프라인(가운데: 유사도 → 부분 문자열 → LLM 추론) (iii) 프롬프트 최적화기(오른쪽: 메타 프롬프트로 후보 지시문 생성 → 평가 → 룰렛휠 선택).

Defense Agent (DA): 3단계 방어 cascade

DA는 일차 의사결정 에이전트로, 들어오는 쿼리를 양성/악성으로 분류한다. 정상 동작에서는 모든 처리가 DA 안에서 끝나 저지연을 유지하고, 공격이 탐지를 우회해 과도한 토큰 생성을 유발하면 그때만 보조 에이전트(KUA·POA)가 깨어난다. cascade는 어느 단계에서든 실패하면 즉시 거부하는 구조다.

Stage 1 — 의미 유사도 필터링 (Semantic Similarity Filtering). 쿼리를 텍스트 임베딩 모델로 벡터화해, 알려진 sponge 프롬프트가 담긴 벡터 DB와 비교한다. 임계값을 넘으면 악성으로 표시한다. 패러프레이즈되었거나 의미가 보존된 공격을 잡는 것이 목적이다. 결정 규칙은 단순하다.

\[\begin{aligned} s(q) &= \max_{p \in \mathcal{D}} \cos\big(e(q),\, e(p)\big), \\ &\text{reject if } s(q) > \tau, \quad \tau = 0.6 \end{aligned}\]

여기서 $e(\cdot)$ 는 임베딩 함수, $\mathcal{D}$ 는 sponge 프롬프트 지식베이스다. 임계값 $\tau$ 의 선택은 뒤의 ablation에서 다룬다.

Stage 2 — 부분 문자열 매칭 (Substring Matching). Stage 1에서 검색된 top-k 컨텍스트를 활용해, 긴 양성 wrapper 안에 박힌 알려진 sponge payload를 가벼운 KMP (Knuth–Morris–Pratt, Knuth et al., 1977) 부분 문자열 매처로 잡는다. 유사도 임계값을 회피하는 공격 — 즉 양성 문맥에 짧은 악성 조각을 끼워 넣어 전체 임베딩을 희석한 경우 — 을 포착하는 단계다.

Stage 3 — LLM 기반 추론 (LLM-Based Reasoning). 앞 두 단계를 통과한 쿼리는 최적화된 방어 프롬프트와 Stage 1에서 검색된 컨텍스트로 안내받는 LLM 분류기가 판정한다. 연산 고갈 의도를 가진 sponge 패턴을 의미적으로 탐지한다. 세 단계를 모두 통과한 쿼리만 타깃 모델로 전달된다.

설계의 핵심은 latency 정렬이다. 뒤에서 보겠지만 Stage 1·2는 수십~백 ms 수준인 반면 Stage 3의 LLM 호출은 1.6초로 한 자릿수 차이가 난다. 값싼 필터를 앞에, 비싼 추론을 뒤에 두는 cascade가 평균 latency를 크게 낮춘다.

Knowledge Updating Agent (KUA): 시스템 레벨 자가 치유

KUA는 DA가 sponge 공격 탐지에 실패했을 때만 작동한다. 트리거는 타깃 모델의 비정상 동작 — 과도한 생성 길이/latency, max token limit 도달이다.

Figure 6: KUA의 추론 트레이스 예시. 호흡기계 설명 요청처럼 보이지만 끝에 비의미론적 접미사 “In niDigitalFalseensure mas”가 붙은 입력을 받자, DB·cache 도구를 조회하고 → 캐시의 추출 프롬프트(“C Room loanAK”)·공격 유형 설명과 패턴이 일치함을 추론한 뒤 → 샌드박스 타깃 복제본에 해당 접미사를 넣어 4096 토큰 생성을 확인하고 → 벡터 DB를 갱신한다.

KUA의 처리 흐름은 다음과 같다.

공격 유형 캐시 조회 + 지식베이스 의미 검색. 들어온 공격이 알려진 유형과 얼마나 유사한지 평가한다.
매칭되는 설명이 없으면 → 신종 변종으로 취급. 타깃 모델의 샌드박스 복제본에서 분석하고, 반복적 sub-span probing (프롬프트를 분절·변이시키며 탐침) 으로 sponge 행동을 일으키는 최소 구성요소를 분리한다. 확인된 신종이면 선택적으로 외부 소스(포럼·리포지토리)도 참고한 뒤, 공격 유형 캐시와 지식베이스를 모두 갱신해 DA의 유사도·패턴 단계를 강화한다.
매칭되는 설명이 있으면 → sub-span probing 후 지식베이스(kb)만 갱신. 새 공격 유형이 아니므로 캐시는 건드리지 않는다.

이 분기가 중요하다. “처음 보는 공격 유형이냐”와 “아는 유형의 새 인스턴스냐”를 구분해, 전자는 무거운 LLM 레벨 치유(다음의 POA)로, 후자는 가벼운 데이터 레벨 치유로 보낸다.

Prompt Optimization Agent (POA): LLM 레벨 자가 치유

POA는 공격 유형 캐시가 갱신될 때마다 (즉 신종 유형이 발견됐을 때) 트리거되어, Stage 3에서 쓰는 방어 지시문을 진화적 프롬프트 탐색으로 정제한다. 모델 재학습이 전혀 없고 black-box LLM과 호환된다. 절차는 EvoPrompt 계열을 따른다(Appendix B).

초기 후보 지시문 생성. 메타 초기화 프롬프트로 $M$ 개의 다양한 후보 지시문을 자동 생성한다. 이때 Labeled·Candidate 예시를 함께 제공해, optimizer가 하위 LLM 분류기에 전달될 user 프롬프트의 구조를 추론하도록 돕는다.
LLM 분류기로 후보 평가. 각 후보를 system 프롬프트로 써서 검증셋에 대한 예측을 만들고, F1 점수를 적합도 (fitness) 로 삼는다.
적합도 비례(룰렛휠) 선택. 검증 F1에 비례하는 확률로 $r$ 개의 지시문을 뽑는다.

\[P(\text{select } I_i) = \frac{\text{F1}(I_i)}{\sum_{j} \text{F1}(I_j)}\]

메타 프롬프트 갱신. 선택된 $r$ 개 지시문에 검증 적합도와 유사 예시를 붙여 다음 라운드 메타 프롬프트를 구성한다.
반복적 지시문 정제. 갱신된 메타 프롬프트로 $r$ 개의 새 지시문을 생성하고, 위 과정을 최대 $P$ 회 또는 $T$ 회 연속 개선 없음까지 반복한다. 최고 성능 지시문을 계속 추적한다.

탐색 전략은 단계별로 다르다 — 초기에는 Exploration (다양한 지시문 폭넓게 생성), 중간에는 Combination (고성능 지시문에 crossover·mutation 적용), 마지막에는 Refinement (미세한 표현·구조 조정).

닫힌 루프: 두 갈래 자가 치유 경로

세 에이전트를 합치면 SHIELD는 탐지 실패를 지식으로 바꾼다. Figure 4는 신종 의미론적 공격(AutoDoS)이 처음 방어를 뚫는 케이스의 시퀀스다.

Figure 4: 케이스 스터디 1. AutoDoS 프롬프트가 Stage 1·2·3를 모두 통과해 타깃에 도달하고 긴 응답을 유발 → max token limit 도달이 KUA를 트리거 → 캐시에 매칭 없음 → 샌드박스 탐침으로 신종 의미론적 sponge 패턴 식별 → 캐시·kb 갱신 → 신종 유형이므로 POA가 트리거되어 Stage 3 프롬프트 최적화 → 이후 같은 구조의 다른 AutoDoS 프롬프트는 “DA healed at stage 3”로 거부된다.

핵심은 두 경로의 분리다. 새 공격 유형은 POA가 Stage 3의 추론 프롬프트를 다시 써서 LLM 레벨에서 치유하고(케이스 스터디 1), 알려진 유형의 새 인스턴스는 KUA가 최소 악성 조각을 kb에 추가해 Stage 1·2의 이른 단계에서 치유한다(케이스 스터디 2, 뒤의 “결과 분석”에서 상술). 어느 쪽도 타깃 모델이나 방어 LLM을 재학습하지 않는다.

최적화 목표 / 탐지 기준

이 방법은 training-free이므로 통상적인 손실 함수가 없다. 대신 시스템의 동작을 결정하는 기준은 세 가지다.

Stage 1 의 결정 규칙. 위 식대로, 쿼리 임베딩과 kb 내 최근접 sponge 프롬프트의 코사인 유사도 $s(q)$ 가 임계값 $\tau$ 를 넘으면 거부한다. $\tau$ 가 작을수록 더 이른 단계에서 더 많이 잡지만 양성 false positive 위험이 커진다. SHIELD는 양성 쿼리 오탐을 막기 위해 보수적으로 $\tau = 0.6$ 으로 설정한다.
Stage 3 의 분류 목표. LLM 분류기는 {Malicious, Benign} 둘 중 하나로 판정한다. POA가 최적화하는 대상은 이 분류기의 system 프롬프트이며, 목적 함수는 검증셋에서의 F1 점수다(정밀도·재현율의 조화평균이라 클래스 불균형에 강건).
POA 의 선택 확률. 위 룰렛휠 식대로 후보 지시문 $I_i$ 가 선택될 확률은 그 검증 F1에 비례한다. 고성능 프롬프트를 활용 (exploitation) 하면서도 저성능 프롬프트를 완전히 버리지 않아 (exploration) 탐색 다양성을 유지한다.

요컨대 SHIELD의 “학습”은 가중치 갱신이 아니라 지식베이스 확장 + 프롬프트 진화라는 두 가지 비-파라미터적 적응으로 이뤄진다.

학습 데이터와 파이프라인

학습이 없으므로 여기서의 “파이프라인”은 평가 구성과 시스템 구성요소를 가리킨다.

구성요소	선택
벡터 DB	Zilliz
임베딩 모델	text-embedding-3-small (OpenAI)
부분 문자열 매칭	KMP 알고리즘 (Knuth et al., 1977)
방어 LLM (Stage 3)	gpt-oss:20b
타깃 모델 (Table 1)	LLaMA2
baseline	harm-filter (LLM 기반), perplexity-filter (통계 기반)
kb 초기화	공격 유형마다 무작위 15개 샘플 프롬프트

공격 데이터셋은 네 종류다 — RL-GOAL(비의미론, 어휘 접근 필요), GCG-DoS(비의미론/Engorgio, 가중치 접근 필요), EOGen(비의미론+의미론 혼합, 어휘 접근 필요), AutoDoS(완전 의미론, black-box). 양성 데이터셋은 다섯 종류 — GSM8K(수학 추론), HellaSwag(상식), MMLU(다과목 지식), HumanEval(코드), GPQA(전문가급 QA) — 로 다양한 정상 작업을 포괄한다.

실험 결과

메인 벤치마크 (Table 1)

Table 1: LLaMA2 타깃에서 Defense Agent와 baseline의 F1 점수 비교. 의미론적 공격(AutoDoS)에서 perplexity 필터가 붕괴하는 반면 SHIELD는 만점에 수렴한다.

LLaMA2 타깃에서의 F1 점수다.

공격 유형	Perplexity-filter	Harm-filter	SHIELD
AUTO-DOS	36.51	87.57	100.00
GCG-DOS	96.07	96.86	99.85
EOGen	95.77	81.34	95.32
RL-GOAL	99.19	93.71	99.60

읽어야 할 지점은 공격 유형별 패턴이다.

AutoDoS (완전 의미론). perplexity 필터가 36.51로 붕괴한다. 의미론적 프롬프트는 토큰 분포가 양성 입력과 통계적으로 닮아 있어 통계 필터가 거의 무력하다. harm-filter는 87.57로 개선되지만 명시적 의미론적 grounding이 없어 완전 커버에 못 미친다. SHIELD는 100.00 — 진화하는 컨텍스트 지식이 의미론적 공격을 정확히 잡는다.
EOGen (혼합). harm-filter가 81.34로 가장 크게 떨어진다. 부분적 의미 구조와 비의미론 조각이 섞여 악성 구성요소를 분리해 내야 하는데, 추상적 행동 설명만으로는 어렵기 때문이다. SHIELD는 95.32로 격차를 메운다(여기서는 SHIELD가 perplexity 95.77에 근소하게 못 미치는 유일한 칸이지만, 다른 세 공격에서의 우위가 이를 상쇄한다).
GCG-DoS·RL-GOAL (비의미론). 셋 다 높지만 SHIELD가 99.85·99.60으로 가장 높다.

전체적으로 SHIELD는 baseline 대비 최대 3–14%p 우위다. 저자들의 결론은 명확하다 — 최적화된 프롬프트, 의미론적 grounding, 적응적 지식 통합이 다양한 sponge 전략 전반에서 신뢰할 만한 탐지의 핵심이다.

단계별 latency (Table 2)

	Stage 1	Stage 2	Stage 3
Latency	97 ms	63 ms	1600 ms

Stage 3의 LLM 호출은 Stage 1·2보다 한 자릿수 (약 10배) 느리다. 이 격차가 cascade 설계의 정당성이다 — 가능한 한 많은 공격을 Stage 1·2에서 걸러야 end-to-end latency가 한 자릿수 줄어든다.

결과 분석 / Ablation

Figure 3: SHIELD 분해 — (a) 여러 타깃 모델·공격 유형 전반에서 DA의 F1 강건성 (b) Stage 1의 양성/악성 유사도 점수 분포와 임계값 (c) DA·DA+POA·SHIELD의 단계별 탐지 기여도 (d) POA 반복에 따른 F1 수렴(EOGen).

DA의 강건성 (Fig 3a)

DA는 여러 벤더의 타깃 모델 — Gpt-4o, LLaMA2, Gpt-J, Gemma3-27b, Mistral-7b, Qwen-7b, deepseek-coder-7b, Phi-3-mini-4k 등 — 과 세 공격 유형(AutoDoS, GCG, EOGen) 전반에서 거의 포화된 F1을 유지한다. 아키텍처·규모·open/black-box 차이에도 방어가 잘 일반화된다는 신호다.

임계값 선택 (Fig 3b)

Stage 1 임계값을 정하기 위해, EOGen 공격·LLaMA2 모델에 대한 검증셋 100개 프롬프트에서 각 쿼리의 최대 유사도를 기록했다. 양성 프롬프트의 유사도는 낮은 쪽에 몰리고 악성은 높은 쪽에 분포한다. 그림에는 양성 오탐을 0으로 만드는 safe threshold 0.52 와 F1을 최대화하는 지점이 함께 표시된다. SHIELD는 양성 쿼리가 잘못 걸리는 것을 막기 위해 보수적으로 0.6 을 채택한다 — 의미론적 grounding을 확보하면서도 명백한 악성은 Stage 1에서 자신 있게 거른다.

단계별 기여도 (Fig 3c)

모든 공격 유형의 프롬프트를 합쳐 누적 분석한 결과다. DA를 초기 handcrafted 프롬프트만으로 돌리면(첫 막대) 악성의 상당 부분이 탐지되지만 Stage 3 의존이 제한적이다. POA를 더하면(둘째 막대) 최적화된 프롬프트가 LLM 기반 탐지를 끌어올려 전체 F1이 오르고, 올바른 탐지의 더 큰 비중이 Stage 3로 옮겨간다. KUA까지 더한 전체 SHIELD(셋째 막대)는 탐지를 더 이른 단계로 이동시키며 누적 F1이 약 99.30%까지 오른다. 즉 KUA가 kb를 채울수록 공격이 점점 Stage 1·2에서 잡히고 비싼 LLM 추론 의존이 줄어든다.

프롬프트 최적화의 효과 (Fig 3d)

EOGen 공격 탐지에서 POA 반복 횟수에 따라 F1이 꾸준히 상승해 강한 최적점으로 수렴한다 — 최대 96.0%, 37회 반복에서 달성된다. 저자들은 POA가 수동 프롬프트 엔지니어링 대비 약 30%p의 절대 F1 향상을 얻는다고 보고한다. 수작업 튜닝이 시간이 많이 들고 최적성을 보장하지 못하는 데 반해, 체계적 자동 최적화만이 최적 방어 성능에 도달한다는 주장이다.

latency–정확도 트레이드오프, 그리고 케이스 스터디 2

latency 측정과 단계별 탐지를 결합하면 시스템 차원의 이점이 드러난다 — KUA가 kb를 풍부하게 만들수록 더 많은 공격이 이른 단계에서 차단되어, 더 높은 정확도와 훨씬 낮은 latency를 동시에 얻는다. 탐지가 Stage 3에서 Stage 1·2로 점진 이동하는 이 현상이 반복·적응 공격 시나리오에서 SHIELD가 효율적으로 확장되는 비결이다.

케이스 스터디 2가 이 데이터 레벨 치유를 구체적으로 보여 준다. SHIELD가 GCG-DoS/EOGen 유형 설명은 캐시에 가졌지만 특정 악성 조각은 kb에 없는 상태에서, 사용자가 길고 대부분 양성인 프롬프트 속에 짧은 비의미론 조각 “C Room loanAK”를 끼워 넣어 제출한다. 양성 문맥이 전체 임베딩을 지배해 Stage 1이 놓치고(컨텍스트 희석), 조각이 kb에 없어 Stage 2도 실패하며, Stage 3마저 양성으로 오분류한다. 타깃이 비정상 동작을 보이자 KUA가 깨어나 기존 공격 설명을 검색하고 — 이 메커니즘이 이미 아는 비의미론 sponge 범주에 부합한다고 판단해 새 공격 유형을 추가하지 않고 POA도 트리거하지 않는다. 대신 샌드박스 탐침으로 “C Room loanAK”를 최소 악성 span으로 분리해 kb에 추가한다. 이후 같은 조각이 다른 긴 프롬프트에 박혀 다시 등장하면, Stage 1은 여전히 희석으로 놓치지만 Stage 2의 부분 문자열 매칭이 즉시 잡아 거부한다. LLM 분류기를 건드리지 않고 검색·패턴 매칭 계층만 치유한 것이다.

한계와 비판적 평가

저자가 인정한 한계.

임계값 선택의 트레이드오프. 0.6은 배포 초기 양성 오탐을 막는 보수적 선택이지만, 임계값을 낮추면 더 이른 탐지·더 낮은 latency를 얻는 대신 양성 false positive 위험이 커진다. 자동 임계값 조정은 human-in-the-loop 감독과 피드백 분석이 필요해 향후 과제로 남겼다.
지식베이스의 무한 성장. sponge 프롬프트 kb가 무한정 커지면 의미 검색 latency와 메모리 부담이 늘어 이른 단계 필터링의 효율 이득이 줄어든다. pruning·clustering·diversity-aware 갱신 같은 원칙적 관리 전략은 다루지 않고 미뤘다.
방어 LLM 자체의 강건성. 방어 LLM도 sponge 공격의 표적이 될 수 있다. 이를 타깃 모델과 분리하고(사용자 대면 서비스 영향 최소화), 방어 LLM의 token budget을 빡빡하게 제한하며(사용자 가시 콘텐츠를 생성하지 않으므로), token limit 도달 시 보수적으로 의심 표시하는 식으로 완화한다. 그러나 적응적 공격자에 대한 방어 LLM의 hardening은 미해결로 남는다.
범위가 prompt-level·clean model로 한정. poisoned fine-tuning을 가정하는 P-DoS 같은 공격은 다루지 않는다. 모델 가중치를 신뢰할 수 있는 운영자만 건드린다는, 더 현실적인 위협 모델을 택했다.

리뷰어가 추가로 보는 한계.

코드 미공개로 인한 재현성. kb 초기화, sub-span probing 절차, POA 메타 프롬프트의 구체가 공개되지 않아 그대로 재현하기 어렵다.
자가 치유의 정량 평가 부재. 치유 루프의 핵심 가치인 “몇 번 뚫린 뒤 수렴하는가”, “치유에 걸리는 wall-clock” 같은 지표가 본문에 없다. KUA·POA의 치유 비용(샌드박스 타깃 복제본 + 반복 탐침 + 진화적 탐색)은 DA 단계 latency와 달리 보고되지 않는다. Fig 3d의 “37회 반복 수렴”이 사실상 유일한 정량 신호인데, 이는 한 공격(EOGen)에 대한 값이다.
Stage 2의 변이 취약성. 케이스 스터디 2가 보여 주듯 Stage 2는 동일 조각이 그대로 재등장해야 잡는다. 공격자가 매번 조각을 변이시키면 kb가 따라잡기 전까지 Stage 2를 우회한다 — 설계 자체가 “같은 조각이 다시 나타난다”를 전제한다.
baseline·타깃 다양성의 제약. 메인 head-to-head(Table 1)는 baseline 둘(perplexity + harm-filter 하나)과 타깃 하나(LLaMA2)에 한정된다. Fig 3a가 여러 모델에서의 강건성을 보이지만 이는 DA의 F1만이고 baseline과의 비교나 전체 치유 루프 평가는 아니다. pd3f 같은 최근 DoS 전용 방어와의 비교도 없다.
AutoDoS F1 100.00 의 해석. 만점은 공격 유형별 평가셋이 작거나 정제되었을 가능성을 시사한다. 공격별 데이터셋 크기·통계적 유의성이 본문에 보고되지 않아, 만점 자체보다 “perplexity 36.51 → SHIELD 100”이라는 상대 격차로 읽는 편이 안전하다.

시사점 / Takeaways

탐지 실패를 자산으로 바꾸는 발상. “한 번 뚫리는 것”을 막을 수 없는 일로 받아들이고, 대신 그 실패를 지식으로 흡수해 다음을 막는 루프를 만들었다. 진화하는 공격 환경에서 정적 방어보다 본질적으로 우월한 프레이밍이다.
두 갈래 치유 경로의 분리가 핵심. 새 유형 → 프롬프트 최적화(POA, LLM 레벨), 아는 유형의 새 인스턴스 → kb 확장(KUA, 데이터 레벨). 무거운 적응과 가벼운 적응을 명확히 구분한 이 분리가 시스템을 효율적으로 만든다.
latency 정렬 cascade. 97ms·63ms·1600ms라는 단계별 비용 차이를 그대로 설계에 반영했다. kb가 채워질수록 탐지가 비싼 Stage 3에서 값싼 Stage 1·2로 이동한다는 점이, 반복·적응 공격에서 정확도와 latency를 동시에 잡는 메커니즘이다.
training-free·black-box 호환. 가중치 갱신 없이 지식베이스와 프롬프트만 진화시키므로, 가중치에 손댈 수 없는 프로덕션 black-box 배포에 그대로 얹을 수 있다.
“누가 수호자를 지키는가”에 대한 깔끔한 답. 방어 LLM을 타깃과 분리하고 token budget을 빡빡하게 묶는 단순한 조치가, 방어 모델 자체가 sponge 표적이 되는 위험을 상당 부분 봉쇄한다.

참고 자료

논문: https://arxiv.org/abs/2601.19174
arXiv HTML: https://arxiv.org/html/2601.19174

더 읽어보기

Sponge Examples: Energy-Latency Attacks on Neural Networks (Shumailov et al., EuroS&P 2021) — sponge 공격 개념의 출발점. 추론 시 에너지·latency 소모를 의도적으로 키우는 입력을 처음 정식화했다.
An Engorgio Prompt Makes Large Language Model Babble on (Dong et al., ICLR 2025) — 본 논문에서 GCG-DoS로 표기하는 비의미론 공격. EOS 토큰을 억제하는 prefix를 gradient로 최적화해 출력 길이를 2–13배 늘린다.
Prompt-Induced Over-Generation as Denial-of-Service: A Black-Box Attack-Side Benchmark (Manu et al., 2025) — 같은 저자 그룹의 직전 작업으로 EOGen·RL-GOAL을 제안한 공격측 벤치마크. SHIELD가 방어하는 공격의 출처다.
Crabs: Consuming Resource via Auto-generation for LLM-DoS Attack under Black-box Settings (Zhang et al., ACL 2025) — 본 논문의 AutoDoS. black-box에서 “Length Trojan”을 심어 latency를 250배 이상 증폭하는 의미론적 공격.
PD3F: A Pluggable and Dynamic DoS-Defense Framework Against Resource Consumption Attacks (Zhang et al., 2025) — 비슷한 시기의 LLM DoS 방어 프레임워크. SHIELD가 비교 대상으로 삼지 않은 동시대 방어로, 함께 읽으면 방어 설계 공간이 보인다.