F5 Distributed Cloud Web App Scanning: AI 지원 웹 애플리케이션 보호

Ian Dinno수석 제품 마케팅 매니저 | F5

인공지능(AI)이 기업의 운영 방식을 계속해서 혁신함에 따라, AI 기반 서비스를 구동하는 대규모 언어 모델(LLM)을 통해 AI를 웹 애플리케이션에 통합하는 사례가 점점 보편화되고 있습니다. 그러나 이러한 혁신은 새로운 AI 기반 서비스와 취약점이라는 추가적인 위험을 수반하며, 새롭게 등장한 핵심 서비스와 더욱 민감한 데이터는 물론 애플리케이션 및 비즈니스 전반의 안정성, 궁극적으로는 사용자의 신뢰까지 위협합니다.

확장된 보안 조치는 필수적이며, F5 Distributed Cloud Web App Scanning은 이러한 요구를 충족합니다. 지능형 웹 애플리케이션 보안 솔루션인 Distributed Cloud Web App Scanning은 조직이 최신 AI 지원 웹 앱을 보호하면서 직면하는 끊임없이 진화하는 과제를 해결할 수 있도록 설계되었습니다. 조직 도메인의 외부 공격 표면 매핑과 동적 애플리케이션 보안 테스트(DAST) 기능을 결합하고, 대규모 언어 모델(LLM)의 OWASP Top 10 위험을 기준으로 AI 구성 요소를 테스트하는 포괄적인 도구 모음을 제공하는 등 최첨단 기능을 갖춘 이 서비스는 최신 웹 앱의 취약점을 강력하고 지속적으로 탐지합니다.

이 블로그에서는 웹 애플리케이션에 AI와 LLM을 통합하는 조직이 이 서비스를 반드시 도입해야 하는 이유, Distributed Cloud Web App Scanning이 식별하는 취약점, 그리고 이 서비스의 작동 방식을 살펴봅니다.

차세대 애플리케이션을 위한 보안

조직이 기능을 강화하고 더욱 풍부한 사용자 경험을 제공하기 위해 AI를 도입하는 사례가 늘어남에 따라, 이러한 시스템의 보안, 안정성 및 규정 준수를 보장하는 것은 필수 요건이 되었습니다. 끊임없이 변화하는 AI 위협의 특성과 실제 운영 환경에서 현실적인 취약점이 드러날 가능성은 지속적이고 철저한 테스트의 필요성을 더욱 부각합니다.

Distributed Cloud Web App Scanning이 AI를 도입하는 조직에 필수적인 이유는 다음과 같습니다:

• 광범위한 범위를 아우르는 지속적인 테스트: 기존 소프트웨어와 달리 AI 시스템은 학습하고 적응하며 진화하는 역동적인 시스템입니다. 지속적인 테스트를 통해 조직은 실제 LLM 사용에서 발생하는 위협을 비롯해 OWASP LLM Top 10의 광범위한 위협 범주 전반에서 취약점을 식별하고 완화할 수 있습니다.
• AI 기반 서비스에 대한 사용자 신뢰 보호: 프롬프트 인젝션이나 모델 환각과 같은 문제는 사용자의 신뢰를 떨어뜨릴 수 있으며, 특히 AI 기반 챗봇이나 어시스턴트, 번역 서비스, 콘텐츠 생성, 검색 등 고객 대상 애플리케이션에서 더욱 그렇습니다. 선제적 테스트는 취약점이 악용되어 이러한 새로운 AI 경험에 영향을 미치기 전에 이를 식별하고 해결함으로써 신뢰를 보호하는 데 도움이 됩니다.
• 규제 및 윤리 기준 충족: AI 시스템에 대한 감시가 강화됨에 따라, AI를 활용한 최신 디지털 경험을 구현하는 조직은 관련 규제 프레임워크를 준수하고 있음을 입증할 수 있어야 합니다. Distributed Cloud Web App Scanning은 통합된 LLM 기반 서비스에 영향을 미치는 취약점을 비롯한 웹 앱 취약점을 식별하고 추적할 수 있도록 지원하여, 규정 준수 프로세스에서 보고에 필요한 핵심 감사 추적 기록을 제공합니다.

취약점 이해하기

AI 시스템, 특히 LLM은 강력하지만 본질적으로 복잡하며, 이를 웹 애플리케이션에 도입하면 다음과 같이 주의해야 할 새로운 취약점과 공격으로 인해 새로운 위험 요소가 추가됩니다:

• 프롬프트 인젝션 공격: 악의적인 공격자는 LLM을 조작하여 무단 출력 생성과 같은 의도하지 않은 작업을 수행하도록 입력을 교묘하게 구성합니다.
• 데이터 유출: LLM은 작동을 위해 방대한 데이터 세트에 의존하는 경우가 많으며, 적절한 보호 조치가 없으면 학습 과정이나 상호작용 중에 제공된 민감한 데이터가 의도치 않게 유출될 수 있습니다.
• 크로스 사이트 스크립팅(XSS): 공격자는 AI 지원 입력에 악성 스크립트를 삽입하여 애플리케이션과 출력 결과를 손상시키고 잠재적으로 사용자에게도 피해를 줍니다.
• 모델 환각: LLM은 맥락에 부적절하거나 부정확한 결과를 생성하여 사용자의 신뢰를 훼손하고 법적 문제 또는 규정 준수 문제를 야기할 수 있습니다.

Distributed Cloud Web App Scanning은 이러한 문제를 찾아내는 데 그치지 않고 해결 지침도 제공합니다. AI 어시스턴트가 각 취약점을 더 잘 이해하고 실행 가능한 권장 사항을 제공하도록 지원하므로, 조직은 웹 앱을 안전하게 보호하고 지속적으로 사용할 수 있도록 하면서 사용자의 신뢰도 유지할 수 있습니다.

Distributed Cloud Web App Scanning의 작동 방식

최신 AI 지원 웹 애플리케이션 내에서 LLM을 탐지하고 테스트하는 과정은 포괄적인 범위의 검사를 보장하는 자동화된 4단계 프로세스로 시작됩니다:

1. 정찰: 웹 앱 스캐닝 서비스는 먼저 외부에 노출된 모든 도메인과 상호 작용하여 전체 웹 앱과 하위 도메인, 그리고 노출된 LLM 통합 서비스를 포함한 지원 인프라를 탐지하고 매핑합니다.
2. 식별: LLM의 존재가 감지되면 서비스는 핑거프린팅 알고리즘을 실행하여 사용 중인 특정 모델을 식별합니다. 예를 들어 Mistral 7B Instruct를 비롯해 업계에서 널리 사용되는 150개 이상의 인기 LLM 모델을 식별할 수 있습니다.
3. 테스트: 초기 매핑 후에는 OWASP 웹 애플리케이션 및 LLM Top 10의 특정 위협을 폭넓게 다루는 자동화된 침투 테스트가 진행됩니다. 이 서비스는 NVIDIA의 garak, Microsoft의 PyRIT 등 업계 최고 수준의 테스트 프레임워크를 활용해 적대적 공격을 시뮬레이션하고, 프롬프트 인젝션 공격, 릴레이 및 반복 릴레이 취약점을 통한 데이터 유출, 크로스 사이트 스크립팅(XSS), 키워드 탐지, 모델 환각, 오해를 유발하는 주장 등 심각한 보안 문제를 찾아냅니다.
4. 보고: 스캔 및 테스트를 통해 LLM 및 웹 애플리케이션 Top 10 전반에서 발견된 모든 취약점을 명시한 완전하고 상세한 침투 테스트 보고서가 생성됩니다. 이 보고서에는 전체 테스트 과정과 취약점에 대한 동영상 및 스크린샷과 함께 실행 가능한 해결 지침 및 상황별 인사이트가 포함되어 있어, 조직이 식별된 취약점을 손쉽게 해결하고 최신 AI 기반 웹 앱을 보호할 수 있습니다.

안전하게 미래를 맞이하세요

AI 기반 혁신은 웹 애플리케이션과 현대적인 디지털 경험의 놀라운 잠재력을 실현했지만, 동시에 새롭고 정교한 보안 위협이 등장할 가능성도 높였습니다. 통합 LLM 테스트 제품군을 갖춘 Distributed Cloud Web App Scanning은 조직이 끊임없이 변화하는 환경에 안전하게 대응하는 데 필요한 확장성과 포괄적인 검사 범위를 제공하여, 애플리케이션이 발전함에 따라 새롭게 발생하는 취약점을 지속적으로 파악하고 관리할 수 있도록 지원합니다.

이러한 지능형 연속 웹 애플리케이션 보안 테스트를 기업의 보안 체계에 통합하면 웹 앱과 API를 보호할 수 있을 뿐만 아니라, 책임감 있고 안전한 AI 개발 및 도입을 위한 조직의 의지를 더욱 확고히 할 수 있습니다.

문의하여 Distributed Cloud Web App Scanning이 방어 체계를 강화하고 안심하고 AI를 도입하는 데 어떻게 도움이 되는지 자세히 알아보세요.

샌프란시스코에서 열리는 RSA Conference에 참석하실 예정이라면, 4월 29일에 진행되는 세션인 “함께할 때 더 강력한 보안: 앱 보안 및 딜리버리를 위한 통합 접근 방식”에 꼭 참석하시고 N-4335 부스에도 방문해 주세요.

작성자 소개

Ian Dinno수석 제품 마케팅 매니저 | F5

Ian Dinno의 다른 블로그 게시물