OWASP Top 10 for LLM Applications
더 많은 작업
- OWASP Top 10 for Large Language Model Applications; LLM 애플리케이션을 위한 OWASP Top 10
- 대형 언어 모델(LLM)을 쓰는 애플리케이션에서 가장 중요한 보안 위험 10가지를 정리한 OWASP 목록
OWASP Top 10 for LLM Applications는 OWASP가 대형 언어 모델을 부품으로 쓰는 애플리케이션의 주요 보안 위험을 순위로 정리한 목록이다. 웹 애플리케이션용 OWASP Top 10과 같은 형식으로 항목마다 설명, 흔한 취약점 예, 예방·완화 전략, 공격 시나리오, 참고 자료를 둔다. 2025년판 공식 한국어판 제목은 「LLM 애플리케이션을 위한 OWASP Top 10」이다.[1]
목록을 만드는 프로젝트는 2023년 시작해 2025년 3월 OWASP 플래그십 프로젝트로 승격되면서 OWASP GenAI Security Project로 이름을 바꾸었고, 이 목록은 그 안의 한 이니셔티브가 되었다.[2] 최신판은 2026년 8월에 나온 2026년판(v1.0)이다. 2026년판은 모델이 애플리케이션 안의 부품일 때의 위험을 맡고, 모델이 도구와 기억을 갖고 스스로 행동하는 순간부터는 OWASP Top 10 for Agentic Applications가 맡는다고 경계를 그었다.[3]
| 날짜 | 판 | 비고 |
|---|---|---|
| 2023-08-01 | v1.0 | 첫 판. 약 500명의 전문가와 125명 이상의 활동 기여자가 참여해 43개 위협 후보를 쓰고 여러 차례 투표로 10개를 골랐다[4] |
| 2023-10-16 | v1.1 | 항목 구성은 그대로 두고 내용을 다듬은 판[5] |
| 2024-11-18 | 2025년판 | 시스템 프롬프트 유출, 벡터 및 임베딩 취약점 신설. 서비스 거부를 무제한 소비로 확대[6] |
| 2025-03-26 | 프로젝트가 플래그십으로 승격, OWASP GenAI Security Project로 개편[2] | |
| 2025-06-10 | 2025년판 한국어판 | 공식 번역. 리소스 페이지 게시는 2025-07-22[1] |
| 2026-08-03 | 2026년판 v1.0 | 리소스 페이지 게시일. PDF 개정 이력의 날짜 칸은 비어 있다[3] |
개정 이력은 2026년판 PDF의 "Revision History"를 따랐다(1.0 2023-08-01, 1.1 2023-10-16, 2025 2024-11-18).[3] 프로젝트는 2026년판이 공개 후 48시간 안에 1만 회 넘게 내려받혔다고 밝혔다.[7]
이전 판은 실무자의 판단과 투표로만 순위를 정했다. 2026년판은 처음으로 공개 취약점 데이터베이스와 AI 피해 데이터베이스에서 실제 사건 7,714건을 모으고, 분류할 만한 정보가 있는 6,639건을 분류기로 나눈 뒤 투표 결과와 견주었다. 최종 순위는 커뮤니티 투표를 4분의 3, 사건 데이터를 4분의 1의 가중치로 섞어 정했다.[3] 프로젝트 리더 서문은 두 결과가 어긋난 대표 사례로 두 항목을 든다.
- 프롬프트 인젝션: 실무자는 1위로 꼽지만 사건 기록만으로 줄 세우면 10위 밖이다. 팀들이 열심히 막기 때문에 공개 데이터베이스에 깨끗한 공격 사례가 덜 쌓이는 "방어 효과"로 보고, 공격면이 사실상 모든 곳에 있으므로 1위를 유지했다.
- 허위 정보: 투표에서는 하위권이었지만 사건 기록에서는 상위권이었다. 가중치 때문에 중간인 7위에 놓였다.
| 번호 | 항목 |
|---|---|
| LLM01 | Prompt Injection |
| LLM02 | Insecure Output Handling |
| LLM03 | Training Data Poisoning |
| LLM04 | Model Denial of Service |
| LLM05 | Supply Chain Vulnerabilities |
| LLM06 | Sensitive Information Disclosure |
| LLM07 | Insecure Plugin Design |
| LLM08 | Excessive Agency |
| LLM09 | Overreliance |
| LLM10 | Model Theft |
한국어는 2025-06-10 공식 한국어판의 표기다.[1]
| 번호 | 원문 | 공식 한국어 |
|---|---|---|
| LLM01:2025 | Prompt Injection | 프롬프트 인젝션 |
| LLM02:2025 | Sensitive Information Disclosure | 민감 정보 유출 |
| LLM03:2025 | Supply Chain | 공급망 |
| LLM04:2025 | Data and Model Poisoning | 데이터 및 모델 오염 |
| LLM05:2025 | Improper Output Handling | 부적절한 출력 처리 |
| LLM06:2025 | Excessive Agency | 과도한 위임 |
| LLM07:2025 | System Prompt Leakage | 시스템 프롬프트 유출 |
| LLM08:2025 | Vector and Embedding Weaknesses | 벡터 및 임베딩 취약점 |
| LLM09:2025 | Misinformation | 허위 정보 |
| LLM10:2025 | Unbounded Consumption | 무제한 소비 |
2025년판 서문은 무제한 소비가 예전의 서비스 거부를 자원 관리와 예상치 못한 비용 문제로 넓힌 것이고, 벡터 및 임베딩 항목은 검색 증강 생성(RAG) 보안에 대한 요청에 답한 것이며, 시스템 프롬프트 유출은 실제 악용 사례 때문에 새로 넣었다고 설명한다.[6]
2026년판은 공식 한국어판이 아직 없다. 한국어는 2025년 공식 한국어판 표기를 따르고, 새 이름인 Hidden Context Exposure만 이 문서에서 옮겼다.[3]
| 번호 | 원문 | 한국어 |
|---|---|---|
| LLM01:2026 | Prompt Injection | 프롬프트 인젝션 |
| LLM02:2026 | Sensitive Information Disclosure | 민감 정보 유출 |
| LLM03:2026 | Excessive Agency | 과도한 위임 |
| LLM04:2026 | Supply Chain | 공급망 |
| LLM05:2026 | Data and Model Poisoning | 데이터 및 모델 오염 |
| LLM06:2026 | Unbounded Consumption | 무제한 소비 |
| LLM07:2026 | Misinformation | 허위 정보 |
| LLM08:2026 | Hidden Context Exposure | 숨겨진 컨텍스트 노출(옛 시스템 프롬프트 유출) |
| LLM09:2026 | Vector and Embedding Weaknesses | 벡터 및 임베딩 취약점 |
| LLM10:2026 | Improper Output Handling | 부적절한 출력 처리 |
같은 위험을 다루는 항목을 한 줄에 놓았다. 이름이 바뀐 경우 판별 이름을 괄호에 적었다.
| 위험 | 2023 | 2025 | 2026 | 변화 |
|---|---|---|---|---|
| 프롬프트 인젝션 | 1 | 1 | 1 | 계속 1위. 2026년판에서 이미지·음성에 지시를 숨기는 교차 양식 공격까지 포함 |
| 민감 정보 유출 | 6 | 2 | 2 | 2025년에 4계단 상승 후 유지 |
| 과도한 위임 | 8 | 6 | 3 | 에이전트 확산으로 계속 상승. 2023년의 안전하지 않은 플러그인 설계(7위)는 독립 항목에서 빠지고 2025년부터 과도한 위임 설명에서 도구·플러그인 문제로 다룬다 |
| 공급망 | 5 (Supply Chain Vulnerabilities) | 3 | 4 | 2026년판에서 승격된 모델 산출물이 주장과 다른 경우의 신뢰 실패를 추가 |
| 데이터 및 모델 오염 | 3 (Training Data Poisoning) | 4 | 5 | 2025년에 모델 오염까지 넓힘. 2026년판에서 미세 조정을 이용한 안전장치 무력화를 흡수 |
| 무제한 소비 | 4 (Model Denial of Service) | 10 | 6 | 2025년에 비용·자원 문제로 확대하며 10위, 2026년에 4계단 상승. 2023년의 모델 탈취(10위)는 2025년부터 이 항목의 모델 복제·추출 위험으로 다룬다 |
| 허위 정보 | 9 (Overreliance) | 9 | 7 | 2025년에 이름을 바꾸고 과의존을 그 일부로 다룸. 2026년 사건 데이터 반영으로 상승 |
| 숨겨진 컨텍스트 노출 | 없음 | 7 (System Prompt Leakage) | 8 | 2026년에 개명하며 범위를 넓힘 |
| 벡터 및 임베딩 취약점 | 없음 | 8 | 9 | 2025년 신설 |
| 부적절한 출력 처리 | 2 (Insecure Output Handling) | 5 | 10 | 가장 크게 하락. 2026년판에서 코딩 도우미가 대량으로 만드는 안전하지 않은 코드까지 포함 |
2026년 변화의 설명은 2026년판 "What's New" 절을, 2025년 흡수 관계는 2025년판 본문(과도한 위임의 플러그인 서술, 허위 정보의 과의존 서술, 무제한 소비의 모델 탈취·추출 서술)을 근거로 했다.[3][6]
사용자 입력뿐 아니라 검색해 온 문서, 도구 출력, 이미지·음성·영상, 중간 추론, 장기 기억까지 어떤 입력이든 개발자가 의도하지 않은 방향으로 모델의 동작을 바꾸는 취약점이다. LLM은 "지시"와 "데이터"를 구조적으로 구분하지 않고 같은 토큰 열로 처리하므로 SQL의 매개변수화 질의 같은 깔끔한 해법이 없다. 2026년판은 피해를 키우는 조건으로 컨텍스트 창 안의 신뢰 경계 부재, 기억 저장소에 남는 지속성, 에이전트의 도구 실행을 든다. 자세한 내용은 프롬프트 인젝션, 간접 프롬프트 인젝션, 탈옥 (인공지능) 문서 참고.
LLM이 들어간 시스템이 기밀·규제 대상 데이터를 허가되지 않은 경로로 내보내는 위험이다. 최종 답변만이 아니라 도구 호출 인자, 추론 흔적, 로그, 임베딩, 응답 시간이나 토큰 길이 같은 관찰 가능한 성질도 유출 경로로 본다. 유출 시점을 학습 시점(암기), 추론 시점, 파이프라인 시점(미세 조정·증류·합성 데이터), 관찰 시점(부채널)의 넷으로 나눈다. 관련 문서: 학습 데이터 추출 공격, 멤버십 추론 공격, 인공지능 DLP.
LLM에 도구 호출 같은 행동 능력을 줬을 때, 예상 밖이거나 조작된 출력 때문에 해로운 행동이 실행되는 취약점이다. 근본 원인을 과도한 기능, 과도한 권한, 과도한 자율성의 세 가지로 본다. 투표와 사건 기록이 모두 에이전트 배포에서 피해가 나고 있다고 가리켜 2026년판에서 3위로 올랐다. 자세한 내용은 과도한 위임 문서 참고.
사전 학습, 미세 조정, 임베딩 생성, RAG, 모델 배포 등 데이터가 들어오고 가공되는 모든 곳에서 데이터나 모델을 조작해 해로운 동작, 편향, 백도어를 심는 공격과 실패다. 겉으로는 정상 작동하는 것처럼 보이는 경우가 많다. 자세한 내용은 데이터 오염 공격, 백도어 공격 (인공지능) 문서 참고.
추론 요청을 통제하지 않아 서비스 거부, 감당할 수 없는 비용, 모델 복제를 통한 지식재산 탈취가 일어나는 위험이다. 공격자는 적은 비용으로 비싼 연산을 일으킬 수 있고(비용 비대칭), 긴 추론을 하는 추론 모델이 늘면서 위험이 커졌다. 자세한 내용은 무제한 소비 (인공지능), 모델 추출 공격 문서 참고.
그럴듯하지만 틀리거나 근거 없는 출력을 사람이나 자동화된 흐름이 믿고 따르는 위험이다. 모델 출력이 도구 호출, 코드 생성, 권한 판단으로 이어지면 틀린 답이 곧 틀린 행동이 된다. 원인으로 환각, 오래되거나 불완전한 맥락, 약한 근거 연결 등을 든다. 관련 문서: 할루시네이션 (인공지능).
사용자에게 보이지 않도록 모델 컨텍스트에 넣어 둔 시스템 프롬프트, 개발자 지시, 검색된 정책 문서, 도구·함수 스키마 등을 무단으로 빼내거나 추론·재구성하는 위험이다. 그 안에 비밀값, 정책 논리, 신뢰 경계 같은 정보가 들어 있어 공격자의 능력을 실질적으로 키울 때 보안 문제가 된다. 2025년판의 시스템 프롬프트 유출을 더 넓은 틀로 바꾼 것이다. 자세한 내용은 시스템 프롬프트 유출 문서 참고.
텍스트·이미지·코드를 벡터로 바꿔 유사도 검색으로 모델이 볼 내용을 고르는 구조(RAG, 벡터 기반 에이전트 기억, 의미 캐시)의 위험이다. 프롬프트 인젝션과 달리 지시를 따르는 성질이 아니라 임베딩 공간의 기하와 유사도 검색의 작동 방식을 노리므로, 악성 지시가 없는 내용으로도 공격이 성공할 수 있다. 임베딩에서 원문을 되살리는 역공격, 다중 테넌트 사이의 유출, 검색 대상 문서 오염 등이 여기에 든다. 관련 문서: RAG (인공지능), 벡터 데이터베이스.
2026년판은 항목별로 흩어져 있던 "관련 프레임워크" 절을 없애고 부록 A에 판을 고정한 대응표를 모았다. 대상은 OWASP Top 10 for Agentic Applications(2026), OWASP GenAI Data Security(DSGAI) 2026 v1.0, MITRE ATLAS 2026.06, MITRE ATT&CK v19.1, CWE 4.20, NIST AI 600-1, NIST AI RMF 1.0, CSA AI Controls Matrix v1.1, OWASP AIVSS v0.8의 아홉 가지다.[3] 아래는 부록 A에서 "주(primary)" 대응으로 표시된 것 가운데 일부다.
| 항목 | 에이전트 Top 10(ASI) | MITRE ATLAS 전술 | CWE | NIST AI 600-1 위험 |
|---|---|---|---|---|
| LLM01 | ASI01, ASI02, ASI03, ASI05, ASI06, ASI08, ASI09 | 초기 침투, 실행, 지속성 확보, 방어 회피, 유출 | CWE-1427 | 정보 보안 |
| LLM02 | ASI06 등 | 유출 | 데이터 프라이버시, 정보 보안 | |
| LLM03 | ASI01, ASI02, ASI03, ASI05, ASI07, ASI08, ASI09 | 실행, 영향 | CWE-285 | 정보 보안 |
| LLM04 | ASI04 | 초기 침투 | CWE-494 | 가치사슬·구성 요소 통합, 정보 보안 |
| LLM05 | ASI04, ASI06, ASI08 | 자원 개발, 지속성 확보, 영향 | 정보 무결성, 가치사슬·구성 요소 통합, 정보 보안 | |
| LLM06 | ASI02, ASI08 | 영향, 유출 | 정보 보안 | |
| LLM07 | ASI08, ASI09, ASI10 | 영향 | CWE-1426 | 정보 무결성, 작화, 인간-AI 구성 |
| LLM08 | ASI06, ASI07 | 탐색, 유출 | 정보 보안 | |
| LLM09 | ASI04, ASI06 | 지속성 확보, 유출 | 데이터 프라이버시, 정보 보안, 정보 무결성 | |
| LLM10 | ASI02, ASI05, ASI09 | 실행 | 정보 보안 |
NIST AI 600-1 위험 이름은 NIST AI RMF 문서, ATLAS 전술은 MITRE ATLAS 문서, ASI 항목은 OWASP Top 10 for Agentic Applications 문서에 설명이 있다.
| 목록 | 판 | 범위 |
|---|---|---|
| OWASP Top 10 for Agentic Applications | 2026(2025-12-09 발표) | 도구, 기억, 위임을 가진 자율 에이전트 |
| OWASP GenAI Data Security(DSGAI) | 2026 v1.0(2026-03-17) | 생성형 AI의 데이터 보안 위험과 완화책[3] |
| OWASP Machine Learning Security Top 10 | 2023 초안 | 일반 머신러닝 시스템. ML01 입력 조작, ML02 데이터 중독, ML03 모델 인버전, ML04 멤버십 추론, ML05 모델 탈취, ML06 AI 공급망 공격, ML07 전이 학습 공격, ML08 모델 왜곡(Model Skewing), ML09 출력 무결성 공격, ML10 모델 중독. 인큐베이터 단계이며 프로젝트 페이지는 초안이 자주 바뀌고 있다고 밝힌다[8] |
| OWASP Top 10 | 2025 | 일반 웹 애플리케이션 |
| OWASP API Security Top 10 | 2023 | API |
- LLM 기능을 설계하거나 검토할 때 위협 점검 목록으로 쓴다. 국내 인공지능(AI) 보안 안내서도 해외 참고 자료로 v1.1을 들고, 개발자 체크리스트에 LLM 프롬프트 인젝션, 모델 서비스 거부, 벡터 및 임베딩 취약점 항목을 넣었다.[9]
- 인공지능 레드티밍의 시험 범주와 보고서 분류 기준으로 쓴다.
- AI 가드레일, 출력 검증, 권한 최소화 같은 통제가 어느 위험을 막는지 설명하는 공통 언어로 쓴다.
- 순위는 합의의 산물이다. 2026년판도 투표에 4분의 3 가중치를 두었고, 서문 스스로 사건 데이터가 불완전하다고 인정한다.[3] 순위가 곧 조직별 위험 크기는 아니다.
- 판마다 이름과 범위가 바뀐다. 같은 "LLM05"가 2023년에는 공급망, 2025년에는 부적절한 출력 처리, 2026년에는 데이터 및 모델 오염이므로 문서나 도구에서 항목을 인용할 때는 반드시 판(:2025, :2026)을 붙여야 한다.
- LLM을 부품으로 쓰는 애플리케이션이 범위다. 에이전트가 스스로 행동하며 생기는 위험은 에이전트 Top 10과 함께 봐야 하고, 둘 다 경계 영역을 혼자 다 덮지 못한다고 2026년판 서문이 밝힌다.[3]
- 조직 거버넌스나 위험 관리 절차는 다루지 않는다. NIST AI RMF, ISO/IEC 42001 같은 관리 체계와 함께 쓴다.
- ↑ 1.0 1.1 1.2 LLM 애플리케이션을 위한 OWASP Top 10 2025, OWASP GenAI Security Project. PDF 표지에 "2024-11-18 2025 영어 버전, 2025-06-10 2025 한국어 버전".
- ↑ 2.0 2.1 Project OWASP Promotes GenAI Security Project to Flagship Status, OWASP GenAI Security Project, 2025-03-26.
- ↑ 3.00 3.01 3.02 3.03 3.04 3.05 3.06 3.07 3.08 3.09 OWASP Top 10 for LLM Applications 2026, OWASP GenAI Security Project, 리소스 페이지 2026-08-03. PDF "Version 2026".
- ↑ 4.0 4.1 OWASP Top 10 for LLM Applications v1.0, OWASP, 2023.
- ↑ 5.0 5.1 OWASP Top 10 for LLM Applications v1.1, OWASP, 2023.
- ↑ 6.0 6.1 6.2 OWASP Top 10 for LLM Applications 2025, OWASP, 2024-11-18.
- ↑ OWASP GenAI Security Project Unveils 2026 Top 10 for LLM Applications, OWASP GenAI Security Project, 2026-09-01.
- ↑ OWASP Machine Learning Security Top Ten, OWASP.
- ↑ 인공지능(AI) 보안 안내서, 과학기술정보통신부·한국인터넷진흥원, 2025-12-10(2026-03-13 정오).