AI 에이전트 보안 통합 프레임워크 AI-Infra-Guard

왜 중요한가

오픈소스 AI 인프라는 빠르게 확산되어 기존 보안 도구의 적용 범위를 벗어나는 사례가 늘어나고 있다. AI-Infra-Guard는 인프라, 프로토콜·도구, 에이전트 행태, 모델의 네 계층을 구분해 각 계층에 적합한 탐지 패러다임을 할당함으로써 탐지의 근거와 정확도를 확보한다. 이 접근은 단일 기법으로 전체 스택을 검사하려 할 때 놓치기 쉬운 의미적 결함과 런타임 취약성을 체계적으로 포착할 수 있게 한다.

핵심 기여

계층-패러다임 매칭 원칙과 통합 아키텍처 제공

AI 공격 표면을 인프라, 프로토콜·도구, 에이전트 행태, 모델의 네 계층으로 계층화하고 각 계층에 가장 적합한 탐지 패러다임을 대응시켰다. 이 원칙을 기반으로 규칙 기반 스캐닝, LLM 주도 정적·동적 감사, 블랙박스 다중턴 레드팀, 대규모 공격 열거를 하나의 서버-에이전트 아키텍처에 통합했다. 통합 결과는 단일 인터페이스로 이질적 탐지 기법을 오케스트레이션할 수 있게 한다.

인프라용 선언적 지문·취약성 매칭 엔진과 버전 정규화

인프라 계층을 위해 107개 지문 규칙과 1,443개의 취약성 규칙을 포함하는 규칙 코퍼스를 구현하고 경량 표현식 인터프리터로 매칭을 수행했다. 불규칙한 버전 문자열을 정규화하고 범위 교집합 절차로 다중 버전 근거를 통합하며 필요한 경우 프로그래밍식 지문 훅을 허용해 장기적 유지성을 확보했다. 규칙 기반 탐지는 속도와 재현성에서 장점을 유지하면서 검출 근거를 명확히 계층화했다.

MCP 및 스킬 공급망을 겨냥한 LLM 기반 에이전틱 감사 하니스

MCP 서버와 에이전트 스킬을 대상으로 프롬프트 기반 규칙을 적용하는 LLM-주도 감사 하니스를 설계해 의미적 증거를 생성할 수 있게 했다. 감사 하니스는 도구 집합, bounded reason-act 루프, 컨텍스트 압축, 출력 계약을 결합해 모델을 도메인 감사자로 활용하면서도 스캐너가 수신하는 입력에 대한 방어를 병행했다. 이 방식은 소스 코드가 존재하지 않는 경우에도 메타데이터와 호출 결과를 근거로 취약성을 판정 가능한 형태로 구조화했다.

스킬 신뢰성 벤치마크와 대규모 레드팀·jailbreak 평가 인프라

스킬 검사 전용 벤치마크인 SkillTrustBench를 공개해 5,520개 평가 케이스와 62,652개 스킬 수집을 토대로 신뢰성 측정 기준을 마련했다. 에이전트 행태 레드팀은 대화 기반 단일턴 프리미티브와 에스컬레이션 규칙을 사용해 비용을 통제하면서 런타임 취약성을 검증한다. 모델 계층에서는 26개 이상 공격 연산자와 16개 데이터셋을 통합한 jailbreak 평가 하니스를 도입해 통계적 안전성 지표를 산출한다.

핵심 아이디어 이해하기

현대 AI 시스템은 단일 소프트웨어가 아니라 모델 서버, 도구 프로토콜, 설치 가능한 스킬, 런타임 행태, 언어 모델을 포함하는 복합 생태계이며 각 구성요소는 서로 다른 증거 유형을 요구한다. 인프라 수준의 취약성은 외부 시그니처나 버전으로 결정될 수 있으나 프로토콜·스킬 수준은 코드 의미와 데이터 흐름을 이해해야 하고 런타임 행태는 대화 상호작용을 통해서만 드러난다. 모델의 정렬 강건성은 반복적인 적대적 변환에 대한 통계적 평가를 필요로 하므로 탐지 패러다임을 계층에 맞춰 배치하는 것이 합리적이다.

방법론

AI-Infra-Guard는 네 개 탐지 모듈로 체계화되어 각 모듈이 대상에 적합한 입력을 받고 정보 수집 단계와 하나 이상의 탐지 단계를 거쳐 구조화된 결과를 생성한다. 인프라 모듈은 선언적 YAML 규칙을 로드하는 경량 Go 엔진과 문자열 포함, 정규식, favicon 해시 등 복수 매칭 필드를 평가하는 자체 표현식 인터프리터로 작동한다. MCP 감사와 스킬 감사는 LLM을 중심으로 한 에이전틱 하니스를 사용해 도구 집합, 정적 코드, 동적 호출 결과를 도구로 읽어 들이고 reason-act 루프와 컨텍스트 압축으로 대형 입력을 처리한다.

주요 결과

인프라 계층에서 규칙 코퍼스는 75개 AI 구성요소를 포괄하며 107개의 지문 규칙과 1,443개의 취약성 규칙을 포함하고 그중 1,356개는 버전 기반 조건을 갖추고 87개는 빈 조건으로 추론형 규칙으로 분류되었다. 스킬 분석을 위한 SkillTrustBench는 5,520개의 평가 케이스를 제공하고 공개 리더보드에서 상위 모델 구성은 loose F1 0.9848, 정밀도 0.9725, 재현율 0.9974을 기록해 기준화된 평가가 가능함이 확인되었다. 모델 계층의 jailbreak 평가 하니스는 26개 이상의 공격 연산자와 16개 이상의 데이터셋을 통합하고 약 70종의 인코딩·회피 변환을 제공하여 단일 공격군에 의존하지 않는 통계적 안전성 평가를 수행한다.

기술 상세

전체 아키텍처는 웹 서버가 스캔 요청을 수신하고 작업 상태를 영속화하며 WebSocket으로 워커 에이전트를 관리하는 중앙 오케스트레이터를 중심으로 구성된다. 인프라 스캐너는 Go로 구현되어 규칙을 로드한 뒤 HTTP 응답 본문, 헤더, favicon 해시, 응답 다이제스트를 기준으로 boolean 표현식을 평가하는 자체 인터프리터를 사용해 컴포넌트를 식별하고 별도 버전 추출 요청을 통해 버전 문자열을 얻어 정규화 절차로 비교한다. LLM 기반 모듈들은 에이전틱 하니스를 구동해 read_file, MCP 호출, enumeration 도구 등 명세화된 툴을 모델에 제공하고 reason-act 루프와 컨텍스트 압축을 통해 대형 저장소나 라이브 서버를 반복적으로 탐색하며 결과를 구조화된 포맷으로 방출한다.

실무 활용

AI-Infra-Guard는 자체 규칙 코퍼스, Prompt-as-Rule 감사 사양, 스킬 검사 파이프라인, 공격 연산자 라이브러리를 오픈소스 형태로 제공해 조직이 에이전트 보안 파이프라인을 구축할 수 있게 한다. 중앙 서버가 스캔을 오케스트레이션하고 워커 에이전트가 작업을 수행하는 아키텍처는 대규모 타깃 집합을 병렬로 검사하면서 결과를 통합된 포맷으로 반환한다. 감사 하니스는 기본 모델을 플러그인 방식으로 교체할 수 있게 설계되어 운영 환경의 비용·정확도 균형을 맞출 수 있다.

자체 호스팅한 모델 서버와 MCP 엔드포인트에 대해 빠른 인프라 취약성 스크리닝을 자동화하는 데 활용할 수 있다.
외부에서 수집한 스킬 패키지에 대해 공급망 위탁 전 정적·의미적 검사를 실행해 위험한 행태를 사전 차단할 수 있다.
운영 중인 에이전트를 대상으로 비용 추적 가능한 블랙박스 레드팀을 수행해 런타임 데이터 유출과 도구 남용 리스크를 정량화할 수 있다.

코드 공개 여부: 미확인

키워드

MCP(Model Context Protocol)Prompt-as-Rule(프롬프트 기반 규칙)Red teaming(레드팀 평가)SkillTrustBench(스킬 신뢰 벤치마크)Agentic auditing(에이전트형 감사)

용어 해설

모델 컨텍스트 프로토콜(Model Context Protocol): — MCP는 에이전트가 외부 도구를 발견하고 호출하는 표준화된 인터페이스로서 각 도구에 이름과 자연어 설명, 입력 스키마를 제공한다. 이 프로토콜은 도구 설명을 모델의 신뢰할 수 있는 컨텍스트로 취급하므로 악의적 설명이 모델 동작을 변경할 수 있어 새로운 공격 표면을 만든다. 에이전트 보안 관점에서는 도구 메타데이터 자체가 공격 벡터로 기능하므로 정적 코드 접근 없이도 취약성이 발생할 수 있다.
프롬프트 기반 규칙(Prompt-as-Rule): — Prompt-as-Rule은 취약성 서술을 자연어 탐지 기준으로 정형화하여 LLM에게 적용하는 방식으로서 규칙을 문자열 패턴이 아니라 검토 지침으로 표현한다. 각 규칙은 취약 패턴과 제외 조건을 함께 정의하여 과다 보고를 줄이고 모형 중심의 의미 추론을 실무적으로 제어한다. MCP 및 스킬 감사처럼 의미적 판단이 필요한 층에서 규칙 지식의 교환 가능한 표현 수단으로 사용된다.
카나리 토큰(Canary Token): — 카나리 토큰은 원격 호출이나 데이터 누출을 검증하기 위해 제어된 외부 엔드포인트에 배치된 고유 식별자이다. 에이전트가 해당 URL이나 토큰을 반환하면 외부 접근 또는 SSRF와 같은 도구 남용이 객관적으로 확인된다. 레드팀 과정에서 주관적 판단을 객관적 판정으로 전환하는 핵심 검증 장치로 사용된다.
스킬 공급망(Skill Supply Chain): — 스킬 공급망은 에이전트에 설치되는 패키지형 기능 단위를 배포하고 업데이트하는 생태계를 가리킨다. 패키지에 악성 코드나 숨겨진 프롬프트가 포함되면 다수의 에이전트로 확산될 수 있어 전통적 코드 공급망 위협과 유사한 위험을 만든다. 스킬 감사는 선언된 동작과 실제 구현을 대조하여 과권한 요청, 외부 다운로드, 숨겨진 지시 등을 식별하는 데 초점이 있다.

AI 에이전트 보안 통합 프레임워크 AI-Infra-Guard

왜 중요한가

핵심 기여

핵심 아이디어 이해하기

방법론

주요 결과

기술 상세

실무 활용

키워드

용어 해설

관련 토론

댓글

관련 피드

왜 중요한가

핵심 기여

핵심 아이디어 이해하기

방법론

주요 결과

기술 상세

실무 활용

키워드

관련 토론

댓글

관련 피드