AI-24
🕶️ 섀도우 AI (미승인 AI 사용 통제)
AI/LLM 보안 · 거버넌스
위험도: 상💡 쉽게 말하면
섀도우 AI는 회사 돈을 개인 계좌로 결제하는 것과 같습니다. 승인받지 않은 AI에 올린 고객 데이터는 회사 통제 밖에 있습니다.
섀도우 AI는 회사 돈을 개인 계좌로 결제하는 것과 같습니다. 승인받지 않은 AI에 올린 고객 데이터는 회사 통제 밖에 있습니다.
🎯 직접 해보기 — 공격을 실행해 보세요
아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.
# 고객 명단을 무료 외부 AI에 올려 업무를 처리한다
# [공격 실행] 버튼을 누르면 시작합니다.
🤖 AI 코치에게 물어보기 BYO 키 하이브리드
API 키 없이도 데모 AI(오프라인 사전 정의 답변)가 바로 답합니다. Claude API 키를 저장하면 이 페이지 주제(AI-24)에 대해 실제 LLM에게 자유롭게 질문할 수 있어요. 키는 이 탭에만 보관되고(탭을 닫으면 삭제) 사이트 서버로 전송되지 않습니다. 이 사이트는 XSS 실습 페이지를 함께 제공하므로, 권한을 최소화한 전용 키를 쓰고 실습 후에는 폐기하세요.
📋 설정 비교 (왜 막혔나?)
✗ 취약한 설정
# 부서별로 제각각 외부 AI 사용
emp$ 고객 명단을 무료 외부 AI에 업로드
>> 개인정보가 외부 학습에 활용될 수 있음
→ 자산 미파악 · 규정 위반 · 유출
✓ 안전한 설정
# 승인 목록 + 게이트웨이 + 자산관리
sys$ 승인 AI만 허용, 입력 DLP·로그 적용
>> 미승인 도구 차단 · 사용 내역 감사
→ AI 자산·데이터 흐름 통제
🔧 조치 방법
- 허용된 AI 도구 목록과 사내 AI 게이트웨이를 통해서만 사용하도록 통제합니다.
- AI 자산 인벤토리(도구·용도·데이터 등급)를 유지·갱신합니다.
- 민감 데이터 입력을 막는 DLP와 사용 로그·감사를 적용합니다.
✅ 점검 체크리스트
- 허용 AI 목록·게이트웨이 존재
- AI 자산 인벤토리와 사용 감사 존재
점검기준: AI 거버넌스 — Shadow AI / AI 자산관리