AI 보안 전략 - AI 서비스의 데이터 보호 및 보안 강화

AI 보안 전략 - AI 서비스의 데이터 보호 및 보안 강화

AI 서비스는 개인정보 보호, API 보안, 모델 보안 등의 다양한 보안 위협에 노출될 수 있습니다.
이번 글에서는 FastAPI + CrewAI + Ollama 기반 AI 서비스에서 발생할 수 있는 보안 위협을 방지하고,
데이터 보호 및 보안 강화를 위한 전략을 소개합니다.

---

🔹 1. AI 서비스 보안이 중요한 이유

📌 AI 서비스 보안 위협 요소

AI 서비스는 사용자 데이터와 AI 모델을 다루기 때문에 해킹 및 데이터 유출 위험이 높습니다.
보안이 취약하면 개인정보 유출, 모델 도용, API 남용, 악의적 공격 등이 발생할 수 있습니다.

✅ AI 서비스에서 발생할 수 있는 보안 위협

보안 위협 설명 해결 방법

API 남용 (Rate Limiting)	공격자가 과도한 요청을 보내 서비스 다운 유도	API 요청 제한 적용
데이터 유출 (Personal Data Exposure)	AI가 민감한 정보를 저장 및 출력	데이터 암호화 및 로그 필터링
AI 모델 도용	공격자가 AI 모델을 복제 및 재사용	모델 암호화 및 API 인증
SQL Injection & XSS 공격	악성 입력으로 데이터베이스 조작 가능	입력값 검증 및 방어 코드 적용
AI 응답 조작 (Prompt Injection)	AI 모델이 의도치 않은 응답을 생성	AI 모델 보안 정책 적용

💡 목표: AI 서비스를 안전하게 보호하고, 악의적 공격으로부터 방어

---

🔹 2. AI API 보안 강화 - API 키 인증 및 요청 제한

✅ 1. API 키 인증 적용 (FastAPI Security)

공개 API를 운영하면 악의적인 사용자들이 무제한으로 호출하는 문제가 발생할 수 있습니다.
이를 방지하기 위해 API Key 인증을 적용합니다.

🔹 FastAPI API Key 인증 적용 예제

from fastapi import FastAPI, Depends, HTTPException, Security
from fastapi.security.api_key import APIKeyHeader

app = FastAPI()

API_KEY = "your-secure-api-key"
API_KEY_NAME = "X-API-KEY"
api_key_header = APIKeyHeader(name=API_KEY_NAME, auto_error=True)

async def verify_api_key(api_key: str = Security(api_key_header)):
    if api_key != API_KEY:
        raise HTTPException(status_code=403, detail="Unauthorized API Key")

@app.get("/secure_endpoint/")
async def secure_endpoint(api_key: str = Depends(verify_api_key)):
    return {"message": "안전한 API 호출 성공"}

✅ API 키 인증 적용 후 기대 효과

• API를 무단으로 사용하는 공격 차단
• API 호출을 관리하고, 특정 사용자만 접근 가능

🔹 테스트 요청 (올바른 API 키 사용 시)

curl -H "X-API-KEY: your-secure-api-key" http://127.0.0.1:8000/secure_endpoint/

🔹 잘못된 API 키 사용 시 응답 예제

{
  "detail": "Unauthorized API Key"
}

---

✅ 2. API 요청 제한 (Rate Limiting 적용)

공격자가 AI API를 과도하게 호출하면 서버 부하 및 서비스 중단이 발생할 수 있습니다.
이를 방지하기 위해 API 요청 속도를 제한합니다.

🔹 FastAPI + SlowAPI 라이브러리 활용 (Rate Limiting 적용)

pip install slowapi

🔹 API 요청 속도 제한 코드 적용

from slowapi import Limiter
from slowapi.util import get_remote_address
from fastapi import FastAPI, Request

app = FastAPI()
limiter = Limiter(key_func=get_remote_address)

@app.get("/rate_limited/")
@limiter.limit("5/minute")  # 1분에 5회 호출 제한
async def rate_limited_api(request: Request):
    return {"message": "API 호출 성공"}

✅ Rate Limiting 적용 후 기대 효과

• DDoS 공격 방어 가능
• 비정상적인 API 요청 탐지 가능

🔹 과도한 API 호출 시 응답 예제

{
  "detail": "Too many requests"
}

---

🔹 3. AI 데이터 보호 - 개인정보 필터링 및 암호화 적용

✅ 1. AI 응답에서 민감한 정보 필터링 (Regex 적용)

반응형

AI가 사용자 데이터를 학습하면서 개인정보(이름, 이메일, 전화번호)를 노출할 가능성이 있습니다.
이를 방지하기 위해 정규식(Regex) 기반 필터링을 적용합니다.

🔹 개인정보 필터링 적용 예제

import re

def mask_sensitive_data(text):
    text = re.sub(r'\b\d{3}-\d{3,4}-\d{4}\b', '[전화번호 숨김]', text)
    text = re.sub(r'[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}', '[이메일 숨김]', text)
    return text

# 테스트
response = "이메일: user@example.com, 전화번호: 010-1234-5678"
filtered_response = mask_sensitive_data(response)
print(filtered_response)

✅ 개인정보 보호 적용 후 AI 응답 예제

이메일: [이메일 숨김], 전화번호: [전화번호 숨김]

✅ 개인정보 필터링 적용 후 기대 효과

• AI가 사용자 개인정보를 노출하는 문제 방지
• 데이터 유출 및 법적 문제 예방 (GDPR, CCPA 준수)

---

✅ 2. AI 데이터 암호화 (AES 암호화 적용)

AI 서비스가 사용자 데이터를 저장하는 경우 데이터 암호화 적용이 필수적입니다.

🔹 AES 암호화를 활용한 데이터 보호 (PyCryptodome 사용)

pip install pycryptodome

🔹 AES 암호화 및 복호화 코드 예제

from Crypto.Cipher import AES
import base64

SECRET_KEY = b'16characterlongk'

def encrypt_data(data):
    cipher = AES.new(SECRET_KEY, AES.MODE_EAX)
    nonce = cipher.nonce
    ciphertext, tag = cipher.encrypt_and_digest(data.encode('utf-8'))
    return base64.b64encode(nonce + ciphertext).decode('utf-8')

def decrypt_data(enc_data):
    enc_data = base64.b64decode(enc_data)
    nonce, ciphertext = enc_data[:16], enc_data[16:]
    cipher = AES.new(SECRET_KEY, AES.MODE_EAX, nonce=nonce)
    return cipher.decrypt(ciphertext).decode('utf-8')

# 테스트
encrypted_text = encrypt_data("사용자의 민감한 데이터")
print("암호화된 데이터:", encrypted_text)

decrypted_text = decrypt_data(encrypted_text)
print("복호화된 데이터:", decrypted_text)

✅ AES 암호화 적용 후 기대 효과

• 사용자 데이터가 안전하게 저장됨
• 데이터 유출 시에도 복호화 불가능

---

🎯 4. AI 서비스 보안 전략 정리

✅ API 키 인증 적용하여 무단 접근 차단
✅ Rate Limiting을 통해 과도한 API 호출 방어
✅ AI 응답에서 개인정보 필터링 적용
✅ AES 암호화를 활용한 데이터 보호
✅ 모델 도용 방지를 위한 보안 적용 (IP 제한, 요청 모니터링)

---

🚀 다음 글 미리보기:

👉 "AI 서비스 운영 자동화 - CI/CD 파이프라인 구축"
👉 AI 서비스를 자동 배포하고, 지속적으로 운영하는 방법을 배워봅니다.