AI-20
🗂️ 사고 재구성: AI 서비스 데이터 노출
AI/LLM 보안 · 사고 재구성
위험도: 상💡 쉽게 말하면
이 사고는 잠금 없는 창고에 고객 장부를 쌓아둔 것과 같습니다. 화려한 AI 서비스 뒷단의 데이터베이스가 인터넷에 그대로 열려 있었습니다.
이 사고는 잠금 없는 창고에 고객 장부를 쌓아둔 것과 같습니다. 화려한 AI 서비스 뒷단의 데이터베이스가 인터넷에 그대로 열려 있었습니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 노출된 데이터베이스에 무인증으로 접속해 본다
# [공격 실행] 버튼을 누르면 시작합니다.
🤖 AI 코치에게 물어보기 BYO 키 하이브리드
API 키 없이도 데모 AI(오프라인 사전 정의 답변)가 바로 답합니다. Claude API 키를 저장하면 이 페이지 주제(AI-20)에 대해 실제 LLM에게 자유롭게 질문할 수 있어요. 키는 이 탭에만 보관되고(탭을 닫으면 삭제) 사이트 서버로 전송되지 않습니다. 이 사이트는 XSS 실습 페이지를 함께 제공하므로, 권한을 최소화한 전용 키를 쓰고 실습 후에는 폐기하세요.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 노출된 DB에 무인증 접근
attacker$ nc target 6379 (인증 없음)
>> 채팅 로그 + API 키 덤프
→ 대규모 정보 유출
✓ 안전한 설정
# 인증 강제 + 공개 차단
ops$ requirepass + VPC 내부 전환
>> 인증 실패 — 접근 거부
→ 노출 경로 제거
🔧 조치 방법
- AI 서비스의 데이터 저장소는 인증 강제 + 비공개망 배치합니다.
- API 키·시크릿을 DB에 평문 저장하지 않습니다.
- 클라우드 설정 감사(퍼블릭 노출 스캔)를 정기 수행합니다.
✅ 점검 체크리스트
- 데이터 저장소 인증·비공개 적용됨
- 주기적 클라우드 설정 감사 존재
점검기준: 실제 사고 유형 재구성 (2025 AI 서비스 DB 노출)