왜 이걸 외워야 하나
OWASP Top 10 for LLM Applications는 웹 보안의 OWASP Top 10처럼, LLM 애플리케이션에서 가장 흔하고 치명적인 취약점 10가지를 정리한 사실상의 업계 표준이다. AI 보안 면접에서 가장 자주 등장하는 프레임워크이므로 각 항목의 이름과 한 줄 개념 정도는 바로 나와야 한다.
Top 10 (2025 버전 기준)
| 번호 | 항목 | 핵심 내용 |
|---|---|---|
| LLM01 | 프롬프트 인젝션 | 입력/외부 콘텐츠로 모델 지시를 조작 |
| LLM02 | 민감정보 노출 | 학습데이터·시스템프롬프트·PII가 응답에 유출 |
| LLM03 | 공급망 취약점 | 사전학습 모델, 플러그인, 학습데이터 출처의 신뢰성 문제 |
| LLM04 | 데이터·모델 포이즈닝 | 학습/파인튜닝 데이터에 악성 데이터를 섞어 모델 동작 왜곡 |
| LLM05 | 부적절한 출력 처리 | 모델 출력을 검증 없이 그대로 실행/렌더링해 XSS·명령 실행으로 이어짐 |
| LLM06 | 과도한 에이전시(Excessive Agency) | 에이전트에 필요 이상의 권한·자율성 부여 |
| LLM07 | 시스템 프롬프트 유출 | 내부 지시문·규칙이 노출되어 우회 공격에 악용 |
| LLM08 | 벡터·임베딩 취약점 | RAG 파이프라인의 벡터DB 관련 리스크(권한 불일치, 역산 등) |
| LLM09 | 잘못된 정보(Misinformation) | 할루시네이션 등으로 그럴듯한 오답을 신뢰하게 됨 |
| LLM10 | 무제한 소비(Unbounded Consumption) | 과도한 요청으로 비용 폭증/서비스 거부(DoS) 유발 |
전통 웹 취약점과의 매핑 감각
LLM01(프롬프트 인젝션) ≈ 인젝션 계열, LLM05(부적절한 출력 처리) ≈ XSS/역직렬화, LLM10(무제한 소비) ≈ DoS/레이트리밋 미비. “완전히 새로운 게 아니라 기존 보안 원칙을 LLM 맥락에 재적용한 것”이라는 관점으로 설명하면 좋은 인상을 준다.
항목별로 실무에서 자주 나오는 질문 포인트
- LLM02 (민감정보 노출): “우리 회사 내부 챗봇이 학습 데이터에 있던 다른 팀 급여 정보를 답변하면?” → 학습데이터 정제, 응답 필터링(PII 탐지)로 대응
- LLM06 (과도한 에이전시): 에이전트에게 “읽기”만 필요한데 “쓰기/삭제” 권한까지 준 경우가 실제 사고의 대부분. 최소 권한 원칙이 핵심
- LLM08 (벡터·임베딩 취약점): RAG 문서에서 자세히 다룬 권한 불일치 문제가 여기 포함됨
OWASP Top 10 for Agentic Applications (2026, 일명 ASI Top 10)
에이전트가 스스로 계획을 세우고 도구를 호출하는 에이전틱 AI가 확산되면서, OWASP는 별도로 에이전트 특화 리스크 가이드를 발표했다. 목표 하이재킹(Goal Hijacking — 원래 목표를 슬쩍 다른 목표로 바꿔치기), 연쇄적 에이전트 실패(Cascading Agent Failure — 한 에이전트의 오류가 다른 에이전트로 전파) 등이 대표적으로 논의된다. 아직 실무에 완전히 정착된 표준은 아니지만, “LLM 애플리케이션 보안 다음은 에이전트 보안”이라는 흐름을 보여주는 지표로 언급하면 좋다.
면접에서 나올 법한 질문
- OWASP Top 10 for LLM 중 실무에서 가장 자주 발생한다고 생각하는 항목과 이유
- Excessive Agency(과도한 에이전시)를 방지하기 위한 설계 원칙은
- 전통적인 웹 애플리케이션 보안 지식이 LLM 보안에 어떻게 이어지는지 설명해보라
Sources: