OWASP Top 10 for Agentic Applications
더 많은 작업
- OWASP Top 10 for Agentic Applications; OWASP 에이전트 애플리케이션 Top 10
- 스스로 계획하고 도구를 호출하며 행동하는 AI 에이전트 시스템의 가장 중요한 보안 위험 10가지를 정리한 OWASP 목록
OWASP Top 10 for Agentic Applications는 OWASP GenAI Security Project의 에이전트 보안 이니셔티브(Agentic Security Initiative, ASI)가 2025년 12월 9일 발표한 목록이다. 판 이름은 "2026"이고 항목 번호는 ASI01~ASI10이다. 공식 페이지는 100명이 넘는 업계 전문가, 연구자, 실무자가 참여해 전 세계 동료 검토를 거쳤다고 소개한다.[1] 문서는 CC BY-SA 4.0으로 공개되어 있다.[2]
OWASP Top 10 for LLM Applications가 모델을 애플리케이션의 부품으로 볼 때의 위험을 다룬다면, 이 목록은 모델이 도구, 기억, 다른 에이전트와 연결되어 여러 단계를 스스로 실행할 때 생기는 위험을 다룬다. 두 목록은 서로 참조하며, LLM 목록 2026년판은 부록에서 각 항목을 ASI 항목에 대응시켰다.[3] 에이전트 보안 전반은 AI 에이전트 보안 문서에 있다.
ASI는 이미 에이전트 위협·완화 분류 체계(Agentic AI Threats and Mitigations), 위협 모델링 안내서, 안전한 에이전트 애플리케이션 개발 안내서, 거버넌스 현황 보고서를 냈다. 이 Top 10은 그 방대한 자료를 실무자가 바로 쓸 수 있게 줄인 "나침반"이고, 세부 분류는 여전히 위협·완화 분류 체계(T1~T17)를 바탕으로 한다고 서문은 설명한다.[2]
서문이 내세우는 원칙은 둘이다.
- 최소 위임(Least-Agency): 최소 권한 원칙과 LLM 목록의 "과도한 위임"을 넓힌 개념으로, 필요 없는 곳에 자율성을 주지 말라는 것이다. 쓸모없는 에이전트 기능은 가치 없이 공격면만 넓힌다.
- 관측 가능성: 에이전트가 무엇을, 왜, 어떤 도구로 하는지 보이지 않으면 작은 문제가 시스템 전체 장애로 번진다.
항목마다 설명, 흔한 취약점 예, 공격 시나리오 예, 예방·완화 지침, 참고 자료가 있다.[2]
공식 한국어판은 없다. 한국어 풀이는 이 문서에서 붙인 것이다.[2]
| ID | 원문 | 풀이 | 핵심 | LLM Top 10(2025) 대응 |
|---|---|---|---|---|
| ASI01 | Agent Goal Hijack | 에이전트 목표 하이재킹 | 숨은 지시, 조작된 도구 출력, 위조된 에이전트 간 메시지, 오염된 외부 데이터로 에이전트의 목표, 과업 선택, 의사결정 경로를 바꾼다 | LLM01, LLM06 |
| ASI02 | Tool Misuse and Exploitation | 도구 오용과 악용 | 허가된 권한 안에서 정상 도구를 위험하게 쓴다(데이터 삭제, 비싼 API 남발, 정보 유출) | LLM06 |
| ASI03 | Identity and Privilege Abuse | 신원·권한 남용 | 위임 사슬, 역할 상속, 캐시된 자격증명을 악용해 권한을 높인다 | LLM01, LLM02, LLM06 |
| ASI04 | Agentic Supply Chain Vulnerabilities | 에이전트 공급망 취약점 | 실행 중에 불러오는 도구, 플러그인, 다른 에이전트, MCP·A2A 인터페이스, 레지스트리가 악성이거나 변조되었다 | LLM03 |
| ASI05 | Unexpected Code Execution (RCE) | 예상치 못한 코드 실행 | 코드 생성·실행 기능이나 역직렬화가 호스트·컨테이너 장악, 샌드박스 탈출로 이어진다 | LLM01, LLM05 |
| ASI06 | Memory & Context Poisoning | 메모리·컨텍스트 오염 | 대화 기록, 기억 도구, 요약, 임베딩, RAG 저장소를 오염시켜 이후의 추론과 도구 사용을 비튼다 | LLM01, LLM04, LLM08 |
| ASI07 | Insecure Inter-Agent Communication | 안전하지 않은 에이전트 간 통신 | 에이전트 사이 메시지에 인증, 무결성, 의미 검증이 없어 가로채기, 위장, 조작이 가능하다 | LLM02, LLM06 |
| ASI08 | Cascading Failures | 연쇄 장애 | 환각이나 오염 같은 한 번의 결함이 에이전트, 도구, 작업 흐름을 따라 퍼지며 커진다 | LLM01, LLM04, LLM06 |
| ASI09 | Human-Agent Trust Exploitation | 인간-에이전트 신뢰 악용 | 사람이 에이전트를 과신하는 점을 이용해 마지막 승인 행동을 사람이 하게 만든다 | LLM01, LLM05, LLM06, LLM09 |
| ASI10 | Rogue Agents | 통제를 벗어난 에이전트 | 악의적이거나 침해된 에이전트가 의도된 기능과 허가 범위를 벗어나 해롭거나 기만적으로 행동한다 | LLM02, LLM09 |
오른쪽 열은 원문 부록 A "OWASP Agentic AI Security Mapping Matrix"의 대응이다. 원문 부록 A는 이 밖에 위협·완화 분류 체계의 위협 번호와 OWASP AIVSS 핵심 위험도 함께 대응시킨다.[2]
- ASI01 에이전트 목표 하이재킹: 에이전트와 그 밑의 모델이 자연어 지시와 일반 내용을 확실히 구분하지 못한다는 약점에서 나온다. LLM01이 응답 하나를 바꾸는 데 초점을 둔다면 ASI01은 목표, 계획, 여러 단계의 행동 전체가 바뀌는 영향을 다룬다. 공격 시나리오로 이메일 한 통으로 Microsoft 365 Copilot이 사용자 조작 없이 기밀을 빼내게 한 EchoLeak, 반복 일정 초대에 숨긴 지시로 목표 가중치를 조금씩 바꾸는 예를 든다. 관련: 간접 프롬프트 인젝션.
- ASI02 도구 오용과 악용: 에이전트가 허가된 권한 안에서 정상 도구를 부적절하게 쓰는 경우다. 권한 상승이나 자격증명 상속이 끼면 ASI03, 임의 코드 실행으로 이어지면 ASI05로 분류한다. 관련: 과도한 위임, 툴 포이즈닝.
- ASI03 신원·권한 남용: 사람 중심으로 설계된 신원 체계와 에이전트 구조가 맞지 않아 생긴다. 에이전트가 자기 신원 없이 사용자 세션이나 API 키를 빌려 쓰면 행위의 주체가 흐려져 진정한 최소 권한을 강제할 수 없다. 원문 부록 C는 OWASP 비인간 신원(Non-Human Identities) Top 10과의 대응을 싣는다.
- ASI04 에이전트 공급망 취약점: LLM 목록의 공급망 항목은 정적 의존성에 초점을 두지만, 에이전트 생태계는 실행 중에 외부 도구와 에이전트 페르소나를 동적으로 불러오므로 "살아 있는 공급망"이 된다. 모델 컨텍스트 프로토콜(MCP), A2A 프로토콜, 에이전트 레지스트리, 갱신 채널이 대상이다. 원문 부록 B는 SBOM 표준 CycloneDX와 AIBOM으로 이를 추적하는 방법을 다룬다. 관련: AI 공급망 보안.
- ASI05 예상치 못한 코드 실행: 바이브 코딩 도구를 포함한 많은 에이전트가 코드를 만들어 바로 실행한다. 프롬프트 인젝션, 도구 오용, 안전하지 않은 직렬화가 텍스트를 실행 가능한 동작으로 바꾼다. 정상 도구 호출을 이어 붙여 실행에 이르는 경우도 포함한다. 관련: 원격 코드 실행.
- ASI06 메모리·컨텍스트 오염: 한 번의 입력이 아니라 에이전트가 보관하고 다시 쓰는 정보를 오염시키는 공격이다. 직접 목표를 바꾸는 ASI01, 오염 뒤의 확산을 다루는 ASI08과 구분된다. 관련: 데이터 오염 공격, RAG (인공지능).
- ASI07 안전하지 않은 에이전트 간 통신: 다중 에이전트 시스템은 API, 메시지 버스, 공유 메모리로 끊임없이 통신한다. 전송, 라우팅, 발견, 의미 계층 전반이 대상이고, 타이밍이나 행동 신호로 정보를 흘리는 은닉 채널도 포함한다.
- ASI08 연쇄 장애: 처음 결함 자체가 아니라 그 결함의 전파와 증폭을 다룬다. 에이전트가 계획, 저장, 위임을 스스로 하므로 한 번의 오류가 사람의 단계별 확인을 건너뛰고 저장된 상태로 남는다. 처음 결함이 직접 침해라면 ASI04, ASI06, ASI07로 분류한다.
- ASI09 인간-에이전트 신뢰 악용: 유창한 말투, 감정 표현, 전문가 같은 인상(의인화)이 신뢰를 만든다. 공격자나 잘못 설계된 에이전트가 그 신뢰로 사람의 판단을 유도하면, 감사 기록에는 사람이 한 최종 행동만 남아 에이전트의 역할이 드러나지 않는다. 자동화 편향과 권위 편향이 이를 키운다.
- ASI10 통제를 벗어난 에이전트: 개별 행동은 정상처럼 보여도 전체 행동이 해롭게 변한다. 프롬프트 인젝션(LLM01), 목표 하이재킹(ASI01), 공급망 변조(ASI04)가 계기가 될 수 있지만 ASI10은 처음 침입이 아니라 일탈이 시작된 뒤 행동 무결성과 통제가 무너지는 문제에 초점을 둔다.
설명은 원문 각 항목의 "Description"을 요약한 것이다.[2]
| 부록 | 내용 |
|---|---|
| A | ASI, LLM Top 10(2025), 에이전트 위협·완화 분류 체계, AIVSS 핵심 위험의 교차 대응표 |
| B | OWASP CycloneDX와 AIBOM과의 관계 |
| C | OWASP 비인간 신원 Top 10(2025)과 ASI의 대응 |
| D | 에이전트 공격·사건 추적표. 실제 공개 사례를 날짜, 영향, ASI 대응과 함께 정리하고 깃허브에서 매주 갱신한다고 밝힌다. 예: 2025년 10월 백도어가 든 MCP 서버 npm 패키지(ASI04) |
| E | 약어 |
부록 구성은 원문 목차 기준이다.[2]
LLM Top 10 2026년판 부록 A는 반대 방향의 대응표를 싣는다. 예를 들어 LLM01:2026 프롬프트 인젝션은 ASI01, ASI02, ASI03, ASI05, ASI06, ASI08, ASI09와, LLM03:2026 과도한 위임은 ASI01, ASI02, ASI03, ASI05, ASI07, ASI08, ASI09와 주로 대응한다.[3] MITRE ATLAS도 2025년 하반기부터 AI 에이전트 컨텍스트 중독, AI 에이전트 도구 중독, AI 에이전트 도구 호출을 통한 유출 같은 에이전트 기법과 에이전트 권한 설정, 에이전트 행동에 대한 사람 승인 같은 완화책을 늘렸다.
- 첫 판이라 항목 사이 경계가 겹친다. 원문도 항목마다 "이 경우는 ASI03, 저 경우는 ASI05" 식으로 경계를 따로 설명해야 했다.
- 2025년 12월 시점의 대응표는 LLM Top 10 2025년판 번호를 쓴다. 2026년판 LLM 목록과 함께 볼 때는 번호가 바뀐 점(예: 과도한 위임 LLM06:2025 → LLM03:2026)에 주의해야 한다.
- 위험 목록이지 통제 표준이 아니다. 구현 수준의 요구 사항은 같은 프로젝트의 다른 안내서나 조직의 보안 기준에서 가져와야 한다.
- ↑ OWASP Top 10 for Agentic Applications for 2026, OWASP GenAI Security Project, 2025-12-09.
- ↑ 2.0 2.1 2.2 2.3 2.4 2.5 2.6 OWASP GenAI Security Project, Agentic Security Initiative, OWASP Top 10 For Agentic Applications 2026, Version 2026, 2025-12.
- ↑ 3.0 3.1 OWASP Top 10 for LLM Applications 2026, OWASP GenAI Security Project, 2026-08-03. 부록 A.