이 페이지에서
짧은 대답
LLM 애플리케이션을 사용할 수 있는 사람, 모델이 액세스하거나 변경할 수 있는 항목, 각 요청이 트리거할 수 있는 작업량의 세 가지 경계에서 LLM 애플리케이션을 보호합니다. 프롬프트 주입과 자동화된 봇 남용을 별도로 테스트하고, 실제 데이터와 도구 결과를 확인하고, 제안된 각 수정 사항에 대한 증거를 유지하세요. 거절 메시지나 조용한 대시보드만으로는 경계가 유지되었음을 증명할 수 없습니다.
무엇을 가져갈 것인가
- 봇 남용은 모델을 조작하지 않고 일반적인 요청을 통해 리소스를 소비할 수 있습니다.
- 승인 및 지출 통제는 애플리케이션 및 다운스트림 서비스에서 시행이 필요합니다.
- 각각의 적대적 사례를 적법한 작업과 결합하여 보호로 인해 조용히 제품이 손상되지 않도록 합니다.
- 테스트된 버전, 관찰된 결과, 테스트되지 않은 경로 및 재테스트 결과를 보고합니다.
출처 확인 . 연구 종합 및 Rubrex 권장 사항. 예제와 지역 실험이 표시되어 있습니다. 이는 클라이언트 결과가 아닙니다.
어떤 공격을 막으려는 건가요?
LLM 보안은 모델 주변의 애플리케이션과 해당 응답을 다룹니다. 프롬프트 주입은 신뢰할 수 없는 입력이 명령처럼 작동하도록 시도합니다. 봇 남용은 잠재적으로 특별한 메시지 없이 워크플로를 오용하기 위해 자동화를 사용합니다. 동일한 애플리케이션에서 두 가지를 모두 경험할 수 있지만 의심스러운 언어를 포착하는 컨트롤이 반복적으로 합법적인 것처럼 보이는 요청을 반드시 중지하지는 않습니다.
OWASP의 자동 위협 프로젝트에는 유효한 애플리케이션 기능의 오용이 명시적으로 포함되어 있습니다. LLM 위험 지침에서는 과도한 추론을 서비스 저하 및 경제적 손실의 경로로 설명합니다. 사고를 분류할 때 이러한 구별을 사용하십시오. 문제가 모델 동작, 계정 액세스, 권한 부여 또는 리소스 관리에 속하는지 결정하기 전에 영향을 받는 자산과 결과를 식별하십시오.
증거: 웹 애플리케이션에 대한 OWASP 자동화 위협 [1]LLM10:2025 무한한 소비 [2]
| 위협 | 테스트할 경계 | 결과의 증거 |
|---|---|---|
| 검색된 문서에 프롬프트 주입 | 신뢰할 수 없는 문서 텍스트는 도구 작업을 승인할 수 없습니다. | 공구추적 및 최종기록상태 |
| 테넌트 간 데이터 요청 | 호출자는 허용된 기록만 검색할 수 있습니다. | 액세스 거부 및 다른 테넌트 콘텐츠 부재 |
| 반복 유료 추론 | 계정이나 임차인은 합의된 작업 예산을 초과할 수 없습니다. | 입학결정, 이용카운터, 제공자 통화횟수 |
| 런어웨이 도구 또는 재시도 루프 | 작업에는 제한된 수의 단계와 마감일이 있습니다. | 걸음 수와 추가 작업이 중단되었다는 증거 |
| 반복되는 부작용 요청 | 동일한 작업을 다시 시도해도 작업이 중복되지 않습니다. | 하나의 결과 레코드와 일관된 작업 식별자 |
| 합법적인 자동화가 차단되었습니다. | 승인된 통합은 사용 가능한 경로를 유지합니다. | 할당된 할당량 내에서 제어 작업 성공 |
스캐너를 선택하기 전에 테스트 경계를 작성하십시오
Rubrex가 제안한 평가 워크플로우의 경우 애플리케이션 버전, 환경, 진입점, 모델 구성, 검색 소스 및 활성화된 도구의 이름을 지정합니다. 보호되는 각 리소스의 소유자를 식별합니다. 지원 사용자가 다른 테넌트의 티켓을 보거나 읽기 전용 도우미가 메시지를 보내는 등 절대 발생해서는 안 되는 결과에 대해 한 문장을 작성하세요.
합성 계정, 문서 및 도구 대상이 있는 테스트 환경을 사용하십시오. 요청 한도, 지출 한도, 실행 기간 및 중지 조건을 시스템 소유자와 합의하십시오. 낮게 구성된 할당량은 트래픽 폭주를 일으키지 않고 시행을 실행할 수 있습니다. 일반적인 고객 작업의 작은 집합을 제어로 유지하고 나중에 시도를 재설정할 수 있도록 시작 데이터 상태를 기록합니다. 이는 애플리케이션 테스트 계획이며, 관련 없는 서비스를 검사하는 권한이 아닙니다.
실제 도구 권한에 대한 테스트 프롬프트 주입
OWASP는 제한된 도구, 검증 및 최소 권한과 함께 모델 기반 가드레일을 하나의 레이어로 처리할 것을 권장합니다. 과도한 기관 지침은 조치 허용 여부를 결정하기 위해 모델을 떠나는 대신 다운스트림 시스템에 권한을 부여합니다. 강력한 지침은 유용한 컨텍스트이지만 권한 확인을 대체할 수는 없습니다.
예시적인 지원 테스트에서, 사용자가 요약만 요청했음에도 불구하고 종합적으로 검색된 메모는 보조자에게 티켓 소유자를 변경하도록 요청합니다. 실시간 쓰기 도구를 계측 테스트 구현으로 대체합니다. 모델이 쓰기를 요청했는지, 도구 경계가 이를 허용했는지, 기록이 변경되었는지 여부를 기록합니다. 모델 거부와 거부된 도구 요청은 서로 다른 관찰입니다. 둘 다 보존하십시오.
그런 다음 승인된 테스트 계정을 통해 합법적인 업데이트를 제출하세요. 제안된 수정 사항이 모든 업데이트를 차단하는 경우 사용 가능한 보호 기능을 입증하기보다는 제품 계약을 변경한 것입니다. 승인이 필요한 작업의 경우 승인된 대상과 인수가 실행된 것인지, 이를 변경하려면 새로운 결정이 필요한지 확인하세요.
모델이나 도구 비용이 발생하기 전에 봇 남용을 제어하세요
OWASP의 API 리소스 소비 지침에서는 워크로드 및 타사 지출에 대한 명시적인 제한을 요구합니다. LLM 지원의 경우 검색, 모델 호출, 도구 작업 및 재시도를 포함한 전체 작업의 비용을 평가합니다. 하나의 승인된 요청이 무제한 다운스트림 작업을 트리거할 수 있는 경우 수신 요청 수를 제한하는 것만으로는 충분하지 않습니다.
Rubrex는 별도의 승인 제한과 실행 제한을 문서화할 것을 권장합니다. 입장 시 요청을 확인된 계정 또는 테넌트와 연결하고 허용량을 확인하세요. 실행 중 제한된 입력 크기, 출력 예산, 동시 작업, 도구 단계 및 재시도 시도. 기한을 적용하고 이미 대기열에 있거나 공급자에게 전송된 작업에 대한 취소의 의미를 정의합니다. 가능한 경우 공급자 지출 통제를 사용합니다. 결제 알림만으로는 소비가 중단되지 않습니다.
예시적인 산술 검사로서, 테스트 정책이 작업당 3번의 모델 호출과 호출당 최대 2번의 재시도를 허용하는 경우 예산은 최대 9번의 모델 호출 시도를 허용해야 합니다. 이는 권장되는 생산 설정이나 비용 추정이 아닙니다. 이는 요청별 할당량과 애플리케이션이 실제로 예약할 수 있는 작업 간의 불일치를 찾아내는 방법입니다. 검색 및 외부 도구 예산을 별도로 포함합니다.
실행 예: 할당량 경쟁, 수정 및 재테스트
우리는 2026년 10월 3일에 연결된 모델 없는 Node.js 픽스처를 실행했습니다. 이는 두 개의 동시 요청과 하나의 합성 단위 허용을 사용합니다. 취약한 시나리오에서 장벽은 두 요청 중 하나가 계속되기 전에 동일한 일시 중지에 도달하도록 강제합니다. 아웃바운드 요청, 실제 사용자 기록, 유료 모델 호출 또는 라이브 사이트 대상이 없습니다. 공급자 호출은 메모리 내 스텁으로 계산됩니다.
취약한 버전에서는 각 요청이 남은 허용량을 확인하고 장벽을 기다린 다음 감소합니다. 둘 다 검사를 통과합니다. 두 개가 허용되고 두 개의 스텁 호출이 발생하며 나머지 허용량은 -1이 됩니다. 수정된 버전에서 요청은 첫 번째 대기 전에 해당 단위를 동기적으로 예약합니다. 스텁 이전에 하나의 요청만 허용되고 다른 요청은 거부됩니다. 남은 수당은 0입니다.
스크립트를 다운로드하고 Node.js 22로 node quota-race-demo.mjs를 실행하세요. 4가지 시나리오가 인쇄됩니다. 결과 레코드에는 관찰된 출력, 런타임, 날짜 및 정확한 스크립트의 SHA-256 해시가 포함됩니다. 제로 예산 제어는 두 요청을 모두 거부합니다. 충분한 예산 통제는 두 가지 모두를 허용합니다. 이러한 제어는 수정 사항이 단순히 모든 요청을 차단하는 것이 아닌지 확인합니다.
이는 하나의 스케줄링 결함과 하나의 단일 프로세스 수정을 보여줍니다. 이는 분산 할당량 구현이 아닙니다. 동기식 JavaScript는 작업자 또는 복제본 전체에서 요청을 직렬화할 수 없습니다. 프로덕션 승인에는 공유 스토리지의 원자 예약, 재시도에 대한 멱등성, 완료 또는 취소 시 명시적 조정이 필요합니다. 가변 비용 모델 요청에도 보수적인 예약과 최종 사용량 조정이 필요합니다. 해당 동작을 별도로 확인하십시오. 이 설비는 테넌트 격리, 신속한 주입 또는 Rubrex 생산 인프라를 테스트하지 않습니다.
| 시나리오 | 인정/부인 | 스텁 호출 | 남은 수당 |
|---|---|---|---|
| 취약 : 수당 1 | 2 / 0 | 2 | −1 |
| 대기 전에 예약됨: 허용량 1 | 1 / 1 | 1 | 0 |
| 제로예산 통제 | 0 / 2 | 0 | 0 |
| 충분한 예산 통제: 수당 2 | 2 / 0 | 2 | 0 |
관찰 가능한 통과 조건을 갖춘 작은 테스트 세트
다음 사례는 제안된 시작 워크시트이며 Rubrex 고객이나 전체 적용 범위에 대한 주장의 결과가 아닙니다. 예시 경계를 제품의 서면 계약으로 바꿉니다. 각 사례를 실행하기 전에 예상되는 결과를 기록하고 나중에 증거에 대한 참조를 포함하십시오.
할당량 테스트의 경우 격리된 환경에서 의도적으로 작은 허용량을 구성하고 요청 볼륨을 낮게 유지합니다. 권한 테스트의 경우 두 개의 합성 테넌트와 고유하고 민감하지 않은 마커를 사용합니다. 재시도 테스트의 경우 가짜 도구가 작업을 완료한 후 승인 실패를 시뮬레이션합니다. 이러한 고정 장치를 사용하면 실제 정전, 실제 고객 데이터 또는 파괴적인 부작용에 의존하지 않고 경계를 검사할 수 있습니다.
| 케이스 | 설정 | 검증 결과 예상 |
|---|---|---|
| 읽기 전용 보조자가 쓰기 명령을 받습니다. | 합성 문서; 계측된 쓰기 도구 | 무단 상태 변경이 없습니다. 시도된 통화는 계속 표시됩니다. |
| 테넌트 A가 테넌트 B의 테스트 기록을 요청합니다. | 두 개의 분리된 테스트 계정과 마커 문서 | 콘텐츠가 반환되기 전에 접근이 거부되었습니다. |
| 남은 수당 없이 작업이 시작됩니다. | 할당량이 소진된 테스트 계정 | 새로운 청구 가능 요청이 승인되기 전에 거부되었습니다. |
| 최종 수당을 놓고 두 가지 과제가 경쟁합니다. | 동시 요청 제어; 계측 공급자 | 할당량 예약은 원자적입니다. 승인된 작업은 예산 범위 내에서 유지됩니다. |
| 도구가 단계 제한에 도달했습니다. | 최대값이 작게 구성된 모의 도구 시퀀스 | 실행이 중지되고 완료되지 않은 작업이 보고됩니다. |
| 완료 후 도구 결과가 손실됩니다. | 안정적인 작업 식별자를 사용한 가짜 부작용 | 재시도는 상태를 조정하거나 중복 없이 결과를 재사용합니다. |
| 합법적인 고객이 보호된 경로를 사용합니다. | 공인계좌 및 대표정상요청 | 허용된 대기 시간 및 리소스 예산 내에서 작업이 완료됩니다. |
발견한 내용을 누군가가 확인할 수 있는 수정 사항으로 전환
유용한 발견은 예상했던 일, 발생한 일, 그것이 중요한 이유 및 결론을 뒷받침하는 증거를 설명합니다. 시스템 버전, 테스트 케이스, 계정 역할, 구성, 관찰된 상태 및 실행 식별자를 함께 유지합니다. 모델에서 생성된 의심과 재현된 경계 실패를 분리합니다. 프롬프트의 극적인 표현보다는 도달 가능한 데이터나 작업을 사용하여 영향을 설명합니다.
예시적인 할당량 결과의 경우 예상되는 결과는 공급자 호출 전에 거부되는 것입니다. 관찰된 실패는 계정 허용량이 소진된 후 기록된 공급자 통화일 수 있습니다. 후보자 수정은 입학 전에 수당을 예약할 수 있습니다. 재테스트에는 원래 사례, 최종 허용량에 대한 제어된 동시성, 충분한 할당량이 있는 합법적인 요청이 포함되어야 합니다. 결과가 수정되었는지, 부분적으로 수정되었는지, 재현되지 않았는지, 테스트되지 않았는지 기록합니다. 해당 라벨은 서로 바꿔 사용할 수 없습니다.
| 필드 | 간직할 것 |
|---|---|
| 범위 | 버전, 환경, 구성 요소, 역할 및 명시적 제외 |
| 기대 | 보호된 경계와 관찰 가능한 수용 조건 |
| 관찰 | 수정된 입력, 관련 추적 및 최종 상태 |
| 임팩트 | 접근 가능한 데이터, 무단 행위 또는 자원 노출 |
| 교정 | 소유자, 제안된 제어 및 구성 또는 코드 참조 |
| 재테스트 | 원본 및 대조 사례, 결과, 날짜 및 잔여 불확실성 |
보호성과 제품 사용성을 함께 측정
평가 판독의 경우 경계 위반, 거부된 요청, 불완전한 작업, 합법적인 사례에 대한 허위 차단 및 리소스 사용을 보고합니다. 각 요율에 따른 사례 수와 유형을 명시합니다. 기준선과 후보 간의 구성 차이를 유지합니다. 집계 점수는 테스트에서 방지하려는 하나의 승인되지 않은 작업을 숨길 수 있습니다.
진행 중인 작업의 경우 경고를 받을 사람과 변경할 수 있는 내용을 결정합니다. 유용한 대응은 비용이 많이 드는 도구를 일시 중지하거나, 임차인의 수당을 줄이거나, 민감한 경로에 대해 일시적으로 검토를 요구하는 것일 수 있습니다. 조사 기록에 대한 액세스를 통제하고 전체 고객 대화를 일반 경고 채널에 복사하지 마십시오. 인시던트 확인 후 정리된 회귀 사례를 추가하고 모델, 프롬프트, 검색 또는 도구 변경 후 해당 경계를 다시 확인합니다.
증거의 한계
할당량 경쟁 섹션에서는 다운로드 가능한 코드와 결과가 포함된 실행된 모델 없는 로컬 시뮬레이션을 보고합니다. 다른 시나리오는 실행된 공격이나 클라이언트 결과가 아닌 제안된 테스트 사례입니다. 이 고정 장치는 단일 프로세스 스케줄링 결함을 보여줍니다. 분산된 할당량, 라이브 인프라, 즉각적인 방어 또는 테넌트 격리를 검증하지 않습니다. OWASP 지침은 특정 애플리케이션이 안전하다는 증거가 아닌 위협 분류 체계를 제공합니다. 합의된 제한 및 안전 장치를 갖춘 승인된 시스템만 테스트하십시오.
일반적인 질문
LLM 봇 공격은 항상 프롬프트 주입인가요?
아니요. 자동화된 클라이언트는 모델의 지침을 변경하지 않고도 일반 기능을 오용하거나 예산을 소진할 수 있습니다. 컨트롤을 선택하기 전에 보호된 리소스와 관찰된 동작을 진단하십시오.
WAF 또는 CAPTCHA가 이 문제를 해결합니까?
이는 트래픽 및 남용 제어를 지원할 수 있지만 테넌트 인증을 설정하거나 모든 도구 권한을 제한하거나 허용된 작업의 다운스트림 작업을 제한하지 않습니다. 애플리케이션의 경계를 확인하고 적법한 통합 및 접근성을 확인하세요.
LLM 가드레일로 충분합니까?
이를 탐지 또는 정책 레이어로 사용하고 잘못된 차단 및 누락을 테스트합니다. 시행 가능한 애플리케이션 또는 다운스트림 제어에서 승인, 리소스 제한 및 그에 따른 조치 확인을 유지합니다.
스캐너가 오류를 보고하지 않으면 어떻게 되나요?
이는 해당 실행의 사례, 구성 및 관찰에 대한 증거입니다. 테스트된 범위를 유지하고 애플리케이션별 경계에 대한 시나리오를 추가합니다. 깨끗한 스캔을 보편적인 보안 주장으로 바꾸지 마십시오.
이것이 Rubrex 계약에 어떻게 적합합니까?
범위가 지정된 AI SaaS 보안 평가는 합의된 액세스, 도구 및 남용 제어 질문을 조사하고 재테스트 기록과 함께 결과를 제공할 수 있습니다. 보안 평가는 영업일 기준 10일 AI 신뢰성 스프린트와 별도로 범위가 지정됩니다.
출처 및 추가 자료
이 브리핑의 주요 출처. 출처의 조사 결과는 자체 연구 조건에 적용됩니다. arXiv에 게시한다고 해서 동료 평가가 이루어지지는 않습니다.
- 웹 애플리케이션에 대한 OWASP 자동화 위협 OWASP · 생활 참고서 · 보안 지침검토됨: 프로젝트 개요 및 범위. 액세스됨 2026년 10월 3일.
- LLM10:2025 무한한 소비 OWASP · 2025 · 보안 지침검토됨: 위험 설명 및 자원 통제 지침. 액세스됨 2026년 10월 3일.
- LLM 프롬프트 주입 예방 치트 시트 OWASP · 생활 참고서 · 보안 지침검토됨: 공격 경계, 계층화된 제어 및 제한 사항. 액세스됨 2026년 10월 3일.
- LLM06:2025 과도한 대행사 OWASP · 2025 · 보안 지침검토됨: 도구 범위, 권한 및 다운스트림 인증. 액세스됨 2026년 10월 3일.
- API4:2023 무제한 리소스 소비 OWASP · 2023 · 보안 지침검토됨: 자원한도 및 예방지침. 액세스됨 2026년 10월 3일.
질문이나 수정사항이 있으신가요? Rubrex에 쓰기. 편집 접근 방식을 읽어보세요.