OWASP/AISVS

OWASP 인공지능 보안 검증 표준(AISVS)

정의

• AI 기반 시스템을 위한 커뮤니티 주도의 테스트 가능한 보안 요구사항 카탈로그입니다. OWASP 애플리케이션 보안 검증 표준(ASVS)을 반영하지만 데이터 수집 및 훈련부터 배포, 모니터링, 폐기까지 전체 모델 수명주기에 걸친 AI 특화 위협에 초점을 맞춥니다.

대상

• AI 애플리케이션이 정의된 보안 보증 수준을 충족하는지 검증하기 위한 구체적인 체크리스트가 필요한 개발자, 아키텍트, 보안 엔지니어, 감사자, 조달 팀.

구성 방식

• 요구사항은 12개 장(예: 훈련 데이터 무결성, 입력 검증, 모델 수명주기 관리, 적대적 강건성 등)으로 그룹화됩니다.
• 각 요구사항에는 C9.4.3과 같은 고유 식별자와 검증 수준(1=기준, 2=표준, 3=고보증)이 있습니다.
• 각 요구사항에는 연구 위키가 함께 제공되며, 완화하는 위협, 검증 접근법, 도구 제안, 미해결 격차를 설명합니다.

사용 방법

1. 설계 단계 – AI 파이프라인을 설계할 때 AISVS 장을 보안 내재 설계 체크리스트로 취급합니다.
2. 개발/CI-CD – 관련 통제를 코드 검토, 자동화 테스트, 배포 파이프라인에 포함합니다.
3. 평가 – 침투 테스트, 감사 또는 제3자 평가를 위한 프레임워크로 표준을 사용합니다.
4. 조달 – 공급업체 또는 기성 모델을 평가할 때 특정 AISVS 통제를 참조합니다.

검증 수준

• 수준 1 – 모든 AI 시스템(내부 도구 포함)에 대한 기준 통제.
• 수준 2 – 민감한 데이터를 처리하거나 중요한 결정을 내리는 프로덕션 시스템을 위한 표준 통제.
• 수준 3 – 고보증, 안전 중요 또는 규제 환경을 위한 고급 통제.

현재 릴리스

• 최신 안정 버전은 AISVS 1.01(PDF 및 Markdown 소스로 제공)입니다. 저장소는 잠긴 폴더 버전 관리 체계(1.0/, 1.01/, 1.02-dev/)를 따릅니다.

아닌 것

• 거버넌스 또는 위험 관리 프레임워크가 아닙니다(이러한 것은 NIST AI RMF, ISO/IEC 42001, EU AI 법 등에서 다룹니다).
• 특정 도구나 제품을 보증하지 않습니다.

기여

• 커뮤니티 구성원은 요구사항 개선, 참조 추가 또는 검증 단계 명확화를 위해 이슈를 열거나 풀 리퀘스트를 제출할 수 있습니다. 보안 문제는 프로젝트의 보안 정책을 통해 처리됩니다.

라이선스

• 모든 콘텐츠는 크리에이티브 커먼즈 저작자표시-동일조건변경허락 4.0 국제 라이선스에 따라 제공됩니다.

---

요약하면, AISVS는 AI 애플리케이션 보안을 위한 실용적이고 테스트 중심의 체크리스트를 제공하여 팀이 모호한 모범 사례 조언에서 구체적이고 감사 가능한 통제로 전환할 수 있도록 돕습니다.