이미지: METAL LAB 생성
요약
- 텐센트 주작(Zhuque) 랩이 AI 인프라 전반의 보안 취약점을 스캔하는 레드팀 플랫폼 'AI-Infra-Guard(A.I.G)'를 아파치 2.0 라이선스로 공개했다
- 에이전트 스캔, 스킬 스캔, MCP 서버 스캔, AI 인프라 스캔, LLM 탈옥 평가 등 다섯 가지 기능을 하나의 웹 화면(localhost:8088)에서 제공한다
- 스킬 보안 위험을 9개 범주(T01~T09)로 분류한 자체 벤치마크 'SkillTrustBench'를 함께 운영하며, 인증 기능이 없어 공개망 배포는 권장되지 않는다고 밝혔다
- 프로젝트명
- AI-Infra-Guard (A.I.G)
- 개발 주체
- 텐센트 보안 플랫폼 부서 산하 주작(Zhuque) 랩 (2019년 설립)
- 라이선스
- Apache License 2.0
- 핵심 기능
- Agent Scan, Skills Scan, MCP Scan, AI Infra Scan, LLM Jailbreak Evaluation
- 벤치마크
- SkillTrustBench — 스킬 보안 위험 9개 범주(T01~T09) 분류
- 웹 인터페이스
- 배포 후 localhost:8088 접속
- 보안 주의사항
- 인증 메커니즘 부재 — 공개망 배포 비권장
- 학술 실적
- 관련 논문이 19편의 외부 연구에서 인용됨
에이전트 시대의 보안 구멍을 한 판에 찾는 도구
텐센트 보안 플랫폼 부서 산하 주작(Zhuque) 랩이 AI 시스템 전반의 취약점을 점검하는 레드팀 플랫폼 'AI-Infra-Guard(A.I.G)'를 깃허브에 아파치 2.0 라이선스로 공개했다. 코드 저장소만 봐도 이 팀이 다루는 범위가 넓다는 걸 알 수 있다. 대형 언어 모델(LLM) 자체의 탈옥(jailbreak) 취약점부터, 그 모델을 감싸는 에이전트, 에이전트가 불러오는 스킬, 스킬끼리 대화를 중개하는 MCP(Model Context Protocol) 서버까지 한 화면에서 스캔한다.
왜 지금 이런 도구가 나왔나
AI 에이전트가 파일을 만들고 예약을 하고 외부 도구를 호출하는 일이 늘면서, 공격 지점도 모델 하나에서 에이전트·스킬·연결 프로토콜로 퍼졌다. 최근 오픈AI가 사이버보안 전용 모델 GPT-5.6-Cyber를 공개한 것도, 줌의 화면공유 기능이 20개 미만의 AI 프롬프트만으로 뚫린 사례가 나온 것도 같은 맥락이다. AI 기능이 늘수록 그 기능을 노리는 경로도 함께 늘어난다는 걸 보여준 사건들이었다. A.I.G는 이런 위협을 개별 사고 대응이 아니라 상시 점검 도구로 만들겠다는 접근이다.
다섯 갈래로 나뉜 스캔 기능
A.I.G는 공식 문서에서 자사 기능을 다섯 축으로 정리한다. ClawScan(OpenClaw Security Scan)은 OpenClaw 인스턴스를 대상으로 하고, 나머지 넷은 에이전트·인프라·MCP 서버·탈옥 평가를 각각 담당한다.
| 기능 | 점검 대상 | 방식 |
|---|---|---|
| ClawScan | OpenClaw 인스턴스 | 실행 중인 서비스에 접속해 진단 |
| Agent Scan | AI 에이전트 | 동작·권한 취약점 점검 |
| AI Infra Scan | 운영 중인 AI 서비스 | 네트워크 주소로 접속해 알려진 CVE 지문 대조 |
| MCP Scan | MCP 서버·소스 | 원격 URL 또는 로컬 소스 압축파일 업로드 방식 |
| Jailbreak Evaluation | LLM API 엔드포인트 | 데이터셋 선택 후 평가 실행 |
AI Infra Scan은 스캔 대상이 깃허브 URL이나 소스코드 경로가 아니라 실제로 동작 중인 서비스의 네트워크 주소라는 점이 특징이다. 예를 들어 vLLM 인스턴스를 로컬에서 돌리는 중이라면 그 주소를 A.I.G에 넣으면 버전을 자동으로 인식해 알려진 취약점과 대조한다.
스킬 보안 위험을 9개로 나눈 벤치마크
주작 랩은 이 스캐너와 함께 SkillTrustBench라는 벤치마크도 운영한다. 에이전트 스킬(외부 도구·플러그인)의 보안 위험을 T01부터 T09까지 9개 범주로 나눠 분류한 체계로, A.I.G의 취약점 분류 기준이 이 taxonomy를 따른다. 서로 다른 LLM에 같은 스킬을 붙였을 때 위험 탐지 성능이 어떻게 달라지는지 리더보드로 공개하고 있다고 밝혔다.
어떻게 써보나
설치 시 원클릭 설치 스크립트를 권장 방식으로 제공한다. 배포가 끝나면 브라우저로 localhost:8088에 접속해 웹 인터페이스를 열 수 있고, API 문서는 localhost:8088/docs/index.html에서 확인할 수 있다. OpenClaw 챗 안에서 바로 부르는 방법도 있다 — aig-scanner 스킬을 설치한 뒤 AIG_BASE_URL 값을 실행 중인 A.I.G 서비스 주소로 맞추면 된다.
다만 주작 랩은 한 가지를 분명히 못박았다. A.I.G는 기업이나 개인이 내부용으로 쓰도록 설계됐고 아직 인증 메커니즘이 없어서, 공개 인터넷에 그대로 올려두면 안 된다는 안내다. 사내망이나 방화벽 뒤에서 쓰는 게 기본 전제라는 뜻이다.
무료 버전 외에 고급 기능과 성능을 갖춘 Pro 버전도 있는데, 초대코드가 필요하고 이슈·풀리퀘스트를 올리거나 커뮤니티 활동에 기여한 사람을 우선한다고 밝혔다.
만든 곳과 실적
주작 랩은 2019년 설립된 텐센트 보안 플랫폼 부서 산하 연구 조직으로, 대형 모델 보안·AI 에이전트 보안·AI 생성 콘텐츠 탐지를 다뤄왔다. 엔비디아, 구글, 마이크로소프트 같은 기업과 OpenClaw, 리눅스, 허깅페이스 같은 오픈소스 커뮤니티의 고위험 취약점을 찾아 해당 조직으로부터 공식 감사를 받은 이력이 있다고 소개하고 있다. 연구 결과는 블랙햇, DEF CON, ICLR, CVPR, NeurIPS, ACL 같은 보안·AI 학회에 발표됐고, 관련 논문은 외부 연구 19편에서 인용됐다.
에디터의 시선
이 도구가 흥미로운 건 스캔 대상 목록 자체다. 몇 년 전 보안 스캐너라면 코드 취약점이나 네트워크 포트를 뒤졌겠지만, A.I.G의 다섯 축 중 셋은 모델이 아니라 그 모델을 감싼 층위 — 에이전트, 스킬, MCP 프로토콜 — 을 겨눈다. 이건 공격 표면이 옮겨갔다는 뜻이다. 모델 자체는 이미 여러 회사가 안전성 테스트를 거치지만, 그 모델에 외부 도구를 연결하는 순간 새로운 구멍이 열린다는 걸 업계가 뒤늦게 알아챈 결과로 읽힌다.
실무적으로 눈여겨볼 대목은 인증 없는 상태로 공개망에 올리지 말라는 경고를 개발사가 스스로 명시했다는 점이다. 국내에서 MCP 서버나 에이전트 스킬을 사내 시스템에 붙이는 팀이 늘고 있는데, 보안 점검 도구조차 인증 계층이 빠져 있다면 그 도구 자체가 새 진입점이 될 수 있다. 사내망 격리, VPN 뒤 배치 같은 기본 조치를 먼저 갖춘 뒤에 이런 스캐너를 붙이는 순서가 맞다.
앞으로 몇 달 안에는 CI/CD 파이프라인에 이런 에이전트·스킬 보안 감사를 끼워 넣는 시도가 늘어날 가능성이 크다. SkillTrustBench 같은 표준화된 분류 체계가 나온 것 자체가, 업계가 개별 사고 대응에서 상시 점검 체계로 넘어가는 신호로 볼 수 있다.
댓글