AI-Infra-Guard: AI 시스템을 위한 오픈소스 보안 스캐너

한 줄 요약

텐센트의 주작랩(Zhuque Lab)이 AI 시스템 전용 오픈소스 보안 스캐너 'AI-Infra-Guard'를 공개했습니다. 이 도구는 Ollama, vLLM, ComfyUI 같은 AI 서비스를 식별하고 1,600개 이상의 알려진 취약점(CVE)을 검사하며, MCP 서버와 에이전트 기능의 위험도도 평가합니다. 그러나 도구 자체에 로그인 기능이 없어 인터넷에 직접 노출할 경우 스캐너가 보유한 모든 AI 모델의 API 키가 외부에 노출될 수 있다는 심각한 위험이 있습니다. 또한, 악의적인 MCP 서버를 스캔할 때 '간접 프롬프트 인젝션(모델이 읽는 콘텐츠 안에 몰래 명령을 숨기는 공격)' 위협이 존재하며, 이를 완전히 차단하는 방법은 아직 없습니다. 이 도구를 사용하는 보안 담당자는 스캔 결과를 맹신하지 말고, 반드시 역방향 프록시(nginx 등)와 방화벽 규칙으로 접근을 통제해야 합니다.

사건

텐센트 주작랩이 AI 인프라 전용 오픈소스 보안 스캐너 AI-Infra-Guard를 공개했다. 1,600개 이상의 CVE 점검, MCP 서버 및 에이전트 스킬 위험 분석, 모델 탈옥(jailbreak) 평가 기능을 포함한다.

영향

스캐너 자체에 인증 메커니즘이 없어 인터넷에 노출되면 평가 대상 모든 AI 모델의 API 키가 공격자에게 노출될 수 있다. 악성 MCP 서버 스캔 시 간접 프롬프트 인젝션 공격에 취약하며, 클린 스캔 결과가 실제 안전을 보장하지 않는다.

원인

설계상 단일 운영자 도구로 만들어져 로그인·RBAC 기능이 없고, AI 모델 기반 스킬 판정 특성상 간접 프롬프트 인젝션을 완전히 차단하는 것이 현재 기술로는 불가능하다.

대응

개발팀은 nginx Basic Auth 또는 IP 허용 목록이 포함된 역방향 프록시와 방화벽 규칙을 통해 접근 제어를 애플리케이션 외부에서 구현할 것을 권고한다. 버전 4.1.9에서 스캔 에이전트의 프롬프트 인젝션 강화 조치를 적용했다.

실무 포인트

AI-Infra-Guard를 내부망 전용으로만 운영하고, 반드시 역방향 프록시·방화벽으로 접근을 제한해야 한다. 스킬·MCP 서버 스캔 결과는 '하나의 참고 입력'으로 취급해야 하며, 클린 결과가 곧 안전 보증은 아니다.

본문

텐센트의 주작랩(Zhuque Lab)은 AI 시스템 전용 오픈소스 보안 스캐너 AI-Infra-Guard를 개발했다. 이 도구는 Ollama, vLLM, ComfyUI 같은 실행 중인 서비스를 식별(fingerprint)하고 1,600개 이상의 알려진 CVE와 대조하며, MCP 서버와 에이전트 스킬을 14개 위험 범주에 걸쳐 검사하고, 대상 모델에 대한 탈옥(jailbreak) 평가도 수행한다.

스킬 검사 시 플랫폼은 언어 모델에게 해당 스킬이 악성으로 보이는지 묻는다. 주작랩은 이 판정을 공개 데이터셋인 SkillTrustBench로 평가하는데, 이 데이터셋은 9개 위험 범주에 걸쳐 사람이 직접 레이블링한 5,520개 샘플로 구성된다. 판정에 사용하는 모델에 따라 오탐률(False Positive Rate)은 1.20%에서 18.67%까지 다양하게 나타난다.

팀이 사용하는 모델이 결국 검토 부담의 크기를 결정한다. 낮은 쪽에서는 정상 스킬 약 80개 중 하나가 플래그 처리된다. 높은 쪽에서는 플래그 5개 중 하나꼴로 담당자의 시간을 낭비시킨다. ICBC, 초상은행(China Merchants Bank), 차이나 텔레콤(China Telecom), 레노버(Lenovo), 비보(vivo), 빌리빌리(Bilibili) 등 은행·통신사·제조사가 이 도구를 사용 중이다.

주작랩은 플랫폼을 두 개의 레이어로 나누며, 그 중 해석(interpretation)이 개입되는 것은 하나뿐이다. "CVE 버전 매칭은 의도 기반이 전혀 아닙니다. 해당 레이어의 오탐률은 순전히 핑거프린트 정확도의 함수입니다"라고 AI-Infra-Guard 팀은 밝혔다.

스캐너가 공격자가 작성한 파일을 읽는다

두 스캐닝 구성 요소 모두 악의적인 서버가 제어하는 도구 설명과 스킬 파일을 읽어 들인다. 이를 악용하는 기법이 바로 간접 프롬프트 인젝션(indirect prompt injection)으로, 모델이 읽는 콘텐츠 안에 명령을 숨겨 읽는 모델을 조종하는 방식이다. 릴리즈 4.1.9에서 스캐닝 에이전트의 이에 대한 방어를 강화했다.

"파일·도구 콘텐츠를 읽을 때 인라인으로 섞지 않고, 구조적으로 분리된 전용 명시적 구분 텍스트 블록에 배치합니다. 스캐닝 에이전트에게는 해당 블록을 분석 대상 데이터로 취급하고, 절대 따라야 할 명령으로 보지 말라고 지시합니다"라고 팀은 Help Net Security에 전했다.

이 조치는 "단순하거나 중간 수준의 인젝션을 크게 줄여주지만, 공식적인 보장은 아니며", "뚫리지 않는다고 주장하지 않고, LLM 기반 에이전트 전반에 대해서도 마찬가지 입장"이라고 밝혔다. 수상한 MCP 서버를 스캔하는 방어자는 클린 결과를 하나의 참고 입력으로만 받아들여야 하며, 안전 보증으로 보면 안 된다.

오픈소스 빌드에는 로그인이 없다

리포지터리에는 플랫폼을 인터넷에 노출하지 말라는 경고가 포함되어 있다. "현재 인증 메커니즘이 없습니다." 조직의 AI 서비스 중 어느 것이 노출되어 있는지 알려주기 위해 만들어진 스캐너가, 정작 스캐너 자체를 노출하지 말라는 지침과 함께 제공되는 셈이다.

"AI-Infra-Guard는 설계상 단일 운영자 도구입니다. 로그인도, RBAC도 없습니다"라고 팀은 밝혔다.

주작랩의 해법은 접근 제어를 애플리케이션 외부에 두는 것이다. "문서에 명시된 권고 사항은 앞단에 역방향 프록시(Basic Auth 또는 IP 허용 목록이 설정된 nginx)와 일반 방화벽 규칙을 두는 것입니다." 이것이 곧 로그인 레이어다. 이를 생략하는 팀은, 평가하는 모든 모델의 API 키를 보유하면서 해당 포트로 라우팅 가능한 누구에게나 열려 있는 취약점 스캐너를 운영하는 셈이다.

AI-Infra-Guard는 GitHub에서 무료로 이용할 수 있다.

필독: