AI 팩토리를 위한 API 보호: AI 보안을 위한 첫 걸음

앞서 AI 팩토리 시리즈에서 우리는 AI 팩토리를 대용량, 고성능 학습 및 추론 요구 사항을 처리하는 대규모 저장소, 네트워킹 및 컴퓨팅 투자로 정의했습니다 . 기존 제조 공장과 마찬가지로 AI 공장은 사전 훈련된 AI 모델을 활용하여 원시 데이터를 지능으로 변환합니다. AI 앱은 API를 통해 긴밀하게 연결되고 고도로 분산된, 간단히 말해 가장 현대적인 앱입니다.

AI 앱은 제공, 보안 및 운영에 있어 동일한 익숙한 과제를 안고 있는 현대적인 앱이며, AI 모델은 제공 및 보안이 필요한 API의 수를 급격히 늘릴 것이라는 전제에서 시작합니다. 

이제 임무 완수! 우리는 할 수 있지, 그렇지? 우리는 최신 앱을 안전하게 제공하는 방법을 알고 있습니다. 당사는 잘 확립된 애플리케이션 보안 모범 사례를 갖추고 있으며 API를 보호하는 데 있어 복잡한 사항을 이해하고 있습니다. 우리는 분산 환경 전반에서 포괄적인 보호와 일관된 보안을 제공하는 솔루션을 보유하고 있습니다.

그렇게 빨리 말하지 마세요! 자세한 내용을 간략히 살펴보겠습니다. GPT를 보관해 두세요.

AI 앱은 현대 앱(둘 다 본질적으로 API 기반 시스템)과 동일한 위험과 과제를 공유하지만, AI 앱은 훈련, 미세 조정, 추론, 검색 증강 생성(RAG) 및 AI 팩토리로의 삽입 지점과 같은 특정한 의미를 갖습니다.

그렇습니다. AI 앱은 현대 앱과 마찬가지로 고도로 분산된 특성을 가지고 있으며, 도구의 확산을 초래하고 하이브리드 및 멀티클라우드 아키텍처 전반에서 일관된 가시성, 균일한 보안 정책 시행, 위협에 대한 보편적인 수정을 유지하려는 노력을 복잡하게 만듭니다. 위험과 복잡성이라는 " 불덩어리 "에 맞서 싸우는 것 외에도, 방어자는 인간 요청의 무작위적 특성과 예측할 수 없는 AI 응답으로 이어질 수 있는 AI에서 조달한 콘텐츠의 매우 가변적인 특성, 데이터 정규화, 토큰화, 임베딩 및 벡터 데이터베이스 채우기에 대한 고려 사항과 싸워야 합니다.

AI 팩토리에 데이터를 모으는 것은 전체적이고 연결된 기업 생태계를 만들어내며, 이러한 모든 움직이는 부분 간의 통합과 인터페이스에는 강력한 API 보안 태세가 필요합니다.

AI 애플리케이션 기능과 데이터 교환을 위한 게이트웨이인 API를 보안 위험으로부터 보호하는 것이 매우 중요합니다. 동일한 취약성 악용, 비즈니스 로직 공격, 봇의 남용 및 서비스 거부(DoS) 위험이 적용되는 반면, AI 팩토리 내의 새롭고 수정된 삽입 지점과 자연어 처리(NLP) 인터페이스, 플러그인, 데이터 커넥터 및 다운스트림 서비스를 통한 LLM의 위험(학습, 미세 조정, 추론 및 RAG 중)에 대한 추가 고려 사항이 있습니다. 또한 DoS와 같은 알려진 공격에는 추가 고려 사항이 있습니다. 볼륨형 DDoS 및 L7 애플리케이션 DoS에 대한 완화책은 모델형 DoS의 위험을 완전히 상쇄하지 못합니다. AI 앱은 설명 가능성의 역설을 갖고 있는데, 이는 환각, 편견, 허위 정보를 상쇄하는 데 있어 추적 가능성의 중요성을 강조합니다.

공격자들도 가만히 앉아만 있지는 않습니다. 생성적 AI는 공격을 민주화하고 사이버 범죄와 국가 차원의 캠페인을 더욱 정교하게 만듭니다. LLM 에이전트는 이제 웹 앱과 API를 자율적으로 해킹할 수 있습니다. 예를 들어, 취약점을 미리 알 필요 없이 맹목적인 데이터베이스 스키마 추출 및 SQL 삽입과 같이 복잡한 작업을 수행할 수 있습니다.

새로운 AI 위험이 큰 화제를 모으고 있는 가운데, AI 팩토리에 있어 API 보안의 중요성은 지나치게 강조할 수 없습니다. 긴급합니다. AI 앱의 API 표면이 놀라울 정도로 넓어졌습니다. 모든 CISO는 AI 거버넌스 프로그램의 일부로 API 보안을 통합해야 하며, 모든 CISO 생존 가이드 의 핵심 구호는 "보이지 않는 것은 보호할 수 없다"여야 합니다. AI 앱의 인터페이스 인벤토리가 없으면 위협 모델이 불완전하고 보안 태세 에 허점이 생깁니다.

AI 응용 프로그램은 역동적이고 가변적이며 예측 불가능합니다. AI 앱을 안전하게 도입하려면 효율성, 견고한 정책 수립, 자동화된 운영에 더 중점을 두어야 합니다. 검사 기술은 보안에 있어서 중요하고 진화하는 역할을 할 것입니다.

특히 AI 앱과 생태계 내 API 보안의 경우, 조직에서는 대체로 구현된 인바운드 보안 제어 외에도 아웃바운드 API 호출 및 관련 사용 사례에 대한 보안을 설계하여 타사 API를 안전하지 않게 사용할 가능성이 높아지는 것을 상쇄해야 합니다. 예를 들어 RAG 워크플로에서 서비스 간 트래픽과 동서 간 트래픽이 증가함에 따라 봇 관리 솔루션은 "인간" 또는 "기계" 식별에만 의존할 수 없습니다. LLM 애플리케이션의 공급망은 취약할 수 있으며, 교육 데이터, 모델 및 배포 플랫폼(종종 타사에서 공급되며 변조 또는 중독 공격을 통해 조작될 수 있음)의 무결성에 영향을 미칠 수 있으므로 보안 제어는 데이터 센터, 클라우드, 에지, 코드에서 테스트를 거쳐 프로덕션에 이르기까지 모든 곳에 구현되어야 합니다.  

AI 게이트웨이 기술은 보안 및 위험 관리 팀이 LLM에 대한 신속한 주입 및 민감한 정보 공개와 같은 위험을 완화하는 데 중요한 역할을 하겠지만, AI 보안 여정의 첫 번째 단계는 AI 앱 수명 주기 전반에 걸쳐 보안을 본질적으로 구현하여 AI 앱과 AI 생태계를 연결하는 API를 보호하는 것으로 시작됩니다.