AI-11
💸 무제한 소비 (비용 폭탄·DoS)
AI/LLM 보안 · 가용성
위험도: 중💡 쉽게 말하면
무제한 소비는 타인의 계좌로 무한 리필 주문을 넣는 일과 같습니다. 서버(계좌 주인)가 요금을 전부 냅니다.
무제한 소비는 타인의 계좌로 무한 리필 주문을 넣는 일과 같습니다. 서버(계좌 주인)가 요금을 전부 냅니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 무료 데모 API에 대량 요청 스크립트를 돌린다
# [공격 실행] 버튼을 누르면 시작합니다.
🤖 AI 코치에게 물어보기 BYO 키 하이브리드
API 키 없이도 데모 AI(오프라인 사전 정의 답변)가 바로 답합니다. Claude API 키를 저장하면 이 페이지 주제(AI-11)에 대해 실제 LLM에게 자유롭게 질문할 수 있어요. 키는 이 탭에만 보관되고(탭을 닫으면 삭제) 사이트 서버로 전송되지 않습니다. 이 사이트는 XSS 실습 페이지를 함께 제공하므로, 권한을 최소화한 전용 키를 쓰고 실습 후에는 폐기하세요.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 무료 데모 API에 스크립트 대량 요청
attacker$ for i in {1..10000}: call /ai/summary
>> 토큰 4억 소비 — 월 한도 소진
→ 서비스 중단 + 과금 폭탄
✓ 안전한 설정
# 사용자별 레이트리밋 + 상한
sys$ 사용자당 분당 5회, 일 토큰 상한
>> 429 Too Many Requests 반환
→ 자원·비용 보호
🔧 조치 방법
- 사용자/IP별 레이트 리밋을 적용합니다.
- 일/월 토큰·비용 상한과 알림을 설정합니다.
- 입력 길이 제한과 캐싱으로 불필요한 추론 비용을 줄입니다.
✅ 점검 체크리스트
- 레이트 리밋 적용됨
- 비용 상한·알림 설정됨
점검기준: OWASP LLM10 Unbounded Consumption