PAR의 멀티테넌트 LLM 분석 시스템 구축과 행 수준 보안 보장

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

TL;DR

PAR는 비전문가가 자연어로 묻는 동일 질의에 대해 테넌트별로 서로 다른 정확한 집계값을 반환해야 하는 멀티테넌트 데이터 경계 문제를 해결하기 위해 세 층의 방어를 도입했다. 첫 번째로 AWS SigV4 서명을 통해 요청의 출처와 무결성을 검증하고 두 번째로 Amazon Bedrock에서 모델이 생성한 쿼리의 의미적 일치 여부를 검사하며 세 번째로 Split-Plane SQL에서 데이터베이스 수준의 프로그램적 제약을 통해 행 수준 접근을 강제한다. 이 구조는 LLM의 비결정성으로 인한 필터 누락이나 값 변조를 데이터 계층에서 보완하도록 설계되어 한 층이 실패해도 교차 테넌트 노출 위험을 낮춘다. 운영 규모와 규정 요건을 가진 분석 플랫폼에서 일관된 권한 경계를 유지하는 실용적 방안으로 기능한다.

섹션별 상세

멀티테넌트 환경에서는 동일한 자연어 질의에 대해 사용자의 권한 경계가 다른 결과를 요구하기 때문에 데이터 경계가 핵심 문제로 나타난다. 예시로 프랜차이즈 소유주는 두 매장 합계인 84,000달러가 정답인 반면 브랜드 매니저는 전국 200개 매장의 합계인 920만 달러가 정답으로 동일 질의가 완전히 다른 수치를 반환해야 한다. 이런 차이를 잘못 처리하면 다른 테넌트의 민감한 상업 정보를 노출하거나 의사결정에 필요한 정보를 누락시키는 결과가 발생한다. 따라서 모든 에이전트 생성 쿼리는 사용자가 접근 허가를 가진 데이터 슬라이스에 엄격히 한정되어야 한다.

LLM을 단독으로 신뢰할 수 없는 이유는 생성 모델이 본질적으로 확률적이며 프롬프트에 포함된 필터를 지속적으로 정확히 적용한다는 보장이 없기 때문이다. 모델은 때로 필터를 누락하거나 잘못된 값으로 대체하거나 애매한 입력을 넓게 해석해 의도치 않은 범위의 데이터를 포함한 쿼리를 생성할 수 있다. 이런 비결정성은 소비자용 응용에서는 불편에 그칠 수 있으나 민감한 멀티테넌트 분석 시스템에서는 규정·컴플라이언스·상업적 기밀성 측면에서 치명적이다. 따라서 보안 경계로서 LLM의 일관된 동작을 전제로 삼을 수 없다.

PAR는 서로 독립적으로 작동하는 세 개의 방어층을 결합해 행 수준 보안을 강제하는 설계를 채택했다. 첫 번째 층은 AWS SigV4로 요청의 출처와 무결성을 증명해 비인가 요청이 데이터 계층에 도달하는 것을 방지하며 두 번째 층은 Amazon Bedrock에서 의미적 검증을 수행해 모델이 생성한 쿼리가 의도한 비즈니스 ID·필터를 유지하는지를 평가한다. 세 번째 층은 Split-Plane SQL로 쿼리 실행 전에 데이터 접근 제약을 데이터베이스 쪽에서 프로그램적으로 적용해 모델의 누락이나 변조가 있어도 행 수준 격리를 보장한다. 이 3중 구조는 한 층이 손상되더라도 다른 층이 노출 위험을 줄이는 식으로 상호 보완적 방어를 제공한다.

언급된 리소스

API DocsAmazon Bedrock