[OWASP-LLM] Top 10 List for Large Language Models version 0.1 - (8) Insufficient Access Controls

LLM08:2023 부적절한 접근 제어

설명:
부적절한 접근 제어는 접근 제어나 인증 메커니즘이 올바르게 구현되지 않아, 무단 사용자가 LLM과 상호작용하고 취약점을 이용할 수 있는 상황을 말합니다.

일반적인 접근 제어 문제:

• LLM에 대한 엄격한 인증 요구 사항을 강제하지 않는 경우
• 역할 기반 접근 제어(RBAC) 구현이 부족하여 사용자가 의도된 권한을 초과하여 작업을 수행하는 경우
• LLM에서 생성된 콘텐츠와 작업에 적절한 접근 제어를 제공하지 않는 경우

예방 방법:

• 다중 인증을 포함한 강력한 인증 메커니즘을 구현하여 오직 인가된 사용자만 LLM에 접근할 수 있도록 합니다.
• 사용자의 역할과 책임에 따라 사용자 권한을 정의하고 강제하기 위해 역할 기반 접근 제어(RBAC)를 사용합니다.
• LLM이 생성한 콘텐츠와 작업에 대해 적절한 접근 제어를 구현하여 무단 접근이나 조작을 방지합니다.
• 보안을 유지하고 무단 접근을 방지하기 위해 필요에 따라 정기적으로 접근 제어를 감사하고 업데이트합니다.

예시 공격 시나리오:

• 시나리오 1: 약한 인증 메커니즘으로 인해 공격자가 무단으로 LLM에 접근하여 취약점을 악용하거나 시스템을 조작하는 경우
• 시나리오 2: 역할 기반 접근 제어(RBAC) 구현이 부족하여 권한이 제한된 사용자가 의도된 범위를 초과하여 작업을 수행하는 경우, 이로 인해 시스템이 손상되거나 위험에 노출될 수 있습니다.

적절한 접근 제어와 인증 메커니즘을 올바르게 구현함으로써, 개발자는 무단 사용자가 LLM과 상호작용하는 것을 방지하고 취약점이 악용될 위험을 줄일 수 있습니다.