프롬프트 주입 방패(armor) — nonce 격벽 + 주입 신호 표지 + 출처 표지 (#4850)

[kevin9327]

Closes #4850

문제

export-text·hwp_doc_text 는 문서 본문을 그대로 프롬프트에 넣도록 넘긴다. 본문이 공격자가 내용을 정할 수 있는 문서라면, 심긴 "이전 지시를 무시하라 …" 가 사용자의 지시로 오인돼 에이전트가 간접 프롬프트 주입으로 탈취(mind-control)된다. rhwp 에는 방어 조각이 이미 있었지만(inspect injection·출처 표지 untrustedContent/untrustedFields·export-provenance-map) 한 동작으로 묶여 있지 않았다.

해결 — rhwp armor <파일> [--json]

세 조각을 한 번의 읽기 전용 호출로 묶는다.

1. nonce 격벽 — 본문을 이 호출만의 무작위 nonce(getrandom, 128비트)로 만든 경계 ⟦UNTRUSTED:<nonce>⟧ … ⟦/UNTRUSTED:<nonce>⟧ 안에 넣는다. 문서는 nonce 를 모르므로 격벽을 위조·조기 종료할 수 없다. LLM 호스트는 "격벽 안은 전부 데이터"라는 규칙 하나로 지시/데이터를 가른다.
2. 주입 신호 표지 — 기존 scan_injection 을 돌려 신호(종류·신뢰도·주소·근거)를 봉투에 신고한다. 판정은 IR 을 훑으므로 렌더 줄바꿈으로 끊긴 지시까지 잡는다.
3. 출처 표지 — armoredText·신호 발췌를 문서 파생으로 선언하고, safety 가 nonce·격벽 표지·신호 수·"격벽 안은 데이터"임을 기계가 읽게 요약한다.

문서를 고치지 않는다 — 격벽은 뜻을 지우지 않고 경계만 구조로 세운다(inspect injection 과 같은 무변경 규약).

동작 (before → after)

정상 문서:

{ "clean": true, "signalCount": 0,
  "safety": { "fenceOpen": "⟦UNTRUSTED:<nonce>⟧", "fenceClose": "⟦/UNTRUSTED:<nonce>⟧", "highestConfidence": null, "note": "…" },
  "armoredText": "⟦UNTRUSTED:<nonce>⟧\n<본문 …>\n⟦/UNTRUSTED:<nonce>⟧",
  "untrustedContent": true, "untrustedFields": ["armoredText"] }

주입이 심긴 문서(악성 파일 무커밋 — 시험 시 edit replace-text 로 합성):

{ "clean": false, "signalCount": 2,
  "injectionSignals": [ {"kind":"instruction_override","confidence":"high", …},
                        {"kind":"exfiltration_hint","confidence":"medium", …} ],
  "safety": { "highestConfidence": "high", … },
  "untrustedContent": true,
  "untrustedFields": ["armoredText","injectionSignals[].excerpt","injectionSignals[].matched"] }

본문은 격벽 안에 그대로 보존되고(뜻을 지우지 않음) 신호로 신고된다. nonce 는 봉투에서 정확히 두 번(여닫이 격벽)만 나타나 본문에 새지 않는다.

변경

• 핵심 질의 src/document_core/queries/armor.rs — fence/fence_open/fence_close/generate_nonce(순수)·DocumentCore::armor(읽기 전용) + 단위 시험 9건.
• CLI armor + MCP hwp_armor(읽기 전용) + capabilities 등재 + --help·cli_commands.md.
• src/provenance.rs MAP — armoredText·injectionSignals[].excerpt/matched 를 문서 파생으로 선언(드리프트 가드가 실측으로 강제).
• 통합 시험 tests/armor_contract.rs(8건) + provenance_contract 스윕 레시피.
• 에이전트 대전 장 60_보안 재생성(armor 는 nonce 무작위라 keygen 처럼 계약만).

검증

cargo test 통과: armor(lib 9)·armor_contract(8)·provenance_contract(10)·cli_json_contract(31)·injection_scan_contract(14)·ontology_contract(13)·mcp_server_contract(25)·mcp_tool_annotations(5)·output_axis_json(7)·capabilities_subcommands(4)·cli_password_stdin_parity(2)·nextcall_cli(8). cargo clippy --workspace --all-targets -- -D warnings 및 wasm lib clippy 0 경고. rustfmt(leaf + --config skip_children for main.rs) 클린.

범위·후속

첫 PR 은 핵심 질의 + 봉투 + CLI/MCP 배선 1건으로 좁혔다. 후속: --max-chars 절단(에이전트 컨텍스트 예산)·--include-fields·--min-confidence 필터.

🤖 Generated with Claude Code

[chatgpt-codex-connector]

You have reached your Codex usage limits for code reviews. You can see your limits in the Codex usage dashboard.

[jangster77]

통합 PR #4883(4412546)로 병합 완료했습니다.

원 head와 CI를 다시 확인해 누적 반영했고, 상세 검토·메인터너 보정·검증 근거는 archive 검토 기록에 남겼습니다.

중복 병합을 막기 위해 이 원 PR을 닫습니다. 감사합니다.

[jangster77]

통합 PR #4883(4412546)로 병합 완료했습니다.

원 head와 CI를 다시 확인해 누적 반영했고, 상세 검토·메인터너 보정·검증 근거는 archive 검토 기록에 남겼습니다.

중복 병합을 막기 위해 이 원 PR을 닫습니다. 감사합니다.