💻 computer science

ISVEX: A method for the assessment of the risk exposure of intelligent systems

이 논문은 모델 조작, 데이터 오염, 에이전트 취약성과 같은 고유한 AI 리스크를 맞춤형 다중 지표 프레임워크를 통해 정량화함으로써 기존 표준의 구체적인 한계점을 해결하기 위해 설계된 "Strong" 및 "Lite" 변형을 특징으로 하는 포괄적인 취약점 점수 산정 방식인 ISVEX를 소개한다.

원저자: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

게시일 2026-07-06

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Eduardo Arriols-Núñez, Mary Luz Mouronte-López

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 새로운 유형의 자동차가 얼마나 위험한지 등급을 매기려 한다고 상상해 보십시오. 수십 년 동안 우리는 일반적인 자동차를 평가하기 위해 표준 체크리스트(CVSS라고 불리는)를 사용해 왔습니다. 이 체크리스트는 "도둑이 창문을 깰 수 있는가? 엔진을 훔칠 수 있는가? 차를 훔쳤을 때 발생하는 피해는 어느 정도인가?"와 같은 질문을 던집니다.

하지만 오늘날 우리에게는 자율주행 자동차(지능형 시스템)가 있습니다. 이들은 단순한 금속 상자가 아닙니다. 이들은 다른 자동차와 대화할 수 있고, 스스로 소프트웨어를 변경할 수 있으며, 스톱 사인에 붙은 스티커로 센서를 속일 수도 있는 자율적인 결정을 내릴 수 있습니다. 기존의 체크리스트는 '환각(hallucination)'을 일으키는 신호등이나 자신의 브레이크를 해킹하는 로봇을 측정할 줄 모르기 때문에 작동하지 않습니다.

이 논문은 이러한 스마트하고 자율적인 시스템을 위해 특별히 설계된 새로운 전문적 "위험 측정기"인 ISVEX를 소개합니다.

문제점: 낡은 자가 맞지 않다

저자들은 현재의 위험 측정 도구들이 마치 자로 구름을 측정하려는 것과 같다고 주장합니다.

CVSS (기존 표준): 일반적인 소프트웨어에는 훌륭하지만, 챗봇과 자율주행 자동차를 동일하게 취급합니다. 이는 "프롬프트 인젝션(단어로 AI를 속이는 것)"이나 "데이터 포이즈닝(AI가 잘못된 교훈을 배우도록 나쁜 정보를 주입하는 것)"과 같은 요소를 놓칩니다.
AIVSS (새로운 시도): 이는 AI를 위해 CVSS를 수정하려는 첫 걸음이었지만, 저자들은 이것이 "절반의 조치"에 불과하다고 말합니다. 이 방식은 점수를 평균 내는데, 이는 종종 위험성을 희석시킵니다. 만약 시스템에 아주 작은 결함이 있지만 그 잠재적 파괴력이 막대하다면, 평균 점수는 이를 "중간 위험"으로 보이게 만들지만 실제로는 "치명적"이어야 합니다.

해결책: ISVEX (AI 위험 측정기)

ISVEX는 AI 시스템의 위험도를 0에서 10 사이의 숫자로 나타내는 점수 체계입니다. 여기에는 두 가지 버전이 있습니다.

1. "강력한" 버전 (전체 검진)

이것은 전체 건강 검진과 같은 심층 분석입니다. 7개 카테고리로 분류된 38개의 서로 다른 질문을 사용합니다.

기본 사항: 기존의 요소들(누군가 네트워크를 해킹할 수 있는가?)을 여전히 체크합니다.
AI 핵심: "누군가 AI의 뇌를 속일 수 있는가?"(프롬프트 인젝션) 또는 "AI의 비밀을 훔칠 수 있는가?"와 같은 질문을 던집니다.
에이전트 계층: 이것이 새로운 부분입니다. "이 AI가 다른 AI와 대화하며 잘못된 명령을 내릴 수 있는가?" 또는 "스스로 코드를 변경할 수 있는가?"를 묻습니다. 로봇 간의 연결(MCP 및 A2A와 같은 프로토콜)을 중요한 보안 구역으로 취급합니다.
맥락: "얼마나 많은 사람이 영향을 받는가?"와 "피해를 되돌릴 수 있는가?"를 묻습니다. (만약 AI가 CEO의 가짜 영상을 퍼뜨린다면 그 피해는 영구적입니다. 반면 일반 웹사이트가 다운된다면, 그냥 재시작하면 됩니다.)

"희석 방지" 기술:
논문은 영리한 수학적 트릭을 강조합니다. 기존 시스템에서는 한 개의 "치명적" 결함과 아홉 개의 "낮은" 결함이 있다면, 평균을 내어 전체를 "중간"으로 보이게 만듭니다. 하지만 ISVEX는 이렇게 말합니다: "아니오." 만약 한 부분이 치명적이라면, 나머지 부분이 안전하더라도 전체 시스템은 높은 경고를 받습니다. 또한, 시스템이 위험한 것(예: 병원 로봇)을 제어하는 경우, 해킹하기 어렵다는 이유만으로 낮은 점수를 받지 않도록 "바닥(최솟값)"을 설정합니다.

2. "라이트" 버전 (트리아지/선별 진료)

붐비는 공항의 보안 요원을 상상해 보십시오. 그들은 모든 승객에 대해 정밀 건강 검진을 할 시간이 없습니다. 빠른 스캔이 필요합니다.

ISVEX Lite는 12개의 핵심 질문만을 사용합니다.
실행하는 데 약 3분이 걸립니다.
보안 운영 센터(SOC)와 같은 긴급 대응 팀이 "이것이 사소한 오류인가, 아니면 전체 팀을 불러야 하는 상황인가?"를 빠르게 결정할 수 있도록 설계되었습니다.
만약 라이트 점수가 높게 나오면, 전체 조사를 위해 "강력한" 버전으로 전환합니다.

실생활에서의 작동 방식 (시나리오)

저자들은 자신들의 새로운 측정기가 기존 방식보다 더 잘 작동한다는 것을 증명하기 위해 10가지의 "만약에" 시나리오를 대상으로 테스트를 진행했습니다. 몇 가지 예시는 다음과 같습니다.

"속임수 표지판" (적대적 공격): 누군가 인간에게는 정상적으로 보이지만 자율주행 자동차에게는 속도 제한 표지판으로 인식되도록 스톱 사인에 스티커를 붙였습니다.
- 기존 측정기: "중간 위험"이라고 말합니다.
- ISVEX: 생명이 달려 있고 피해가 되돌릴 수 없기 때문에 **"치명적 (10/10)"**이라고 말합니다.
"가짜 CEO" (딥페이크): 범죄자들이 AI를 사용하여 CEO가 은행 송금을 명령하는 가짜 영상을 만듭니다.
- 기존 측정기: "중간 위험"(단순한 데이터 유출)이라고 말합니다.
- ISVEX: 평판에 미치는 영향이 영구적이므로 **"높은 위험"**이라고 말합니다.
"지루한 오류" (내부 DoS): 불만을 품은 직원이 50명이 사용하는 작은 내부 챗봇을 2시간 동안 마비시킵니다.
- 기존 측정기: "중간 위험"(표준적인 서비스 중단)이라고 말합니다.
- ISVEX: 50명에게만 영향을 미쳤고 쉽게 복구 가능하므로 **"낮은 위험 (1.3/10)"**이라고 말합니다. 기존 측정기는 여기서 너무 과하게 반응했지만, ISVEX는 상황을 진정시킵니다.

"레드 티밍(Red Teaming)"과의 연결

논문은 이러한 위험을 실제로 어떻게 찾아내는지에 대해서도 설명합니다. AI 레드 티밍을 사용하는 것을 제안합니다.

레드 티밍을 당신의 AI를 깨뜨리려고 시도하는 "윤리적 해커" 그룹을 고용하는 것이라고 생각하십시오.
ISVEX는 이 해커들을 위한 성적표 역할을 합니다. 단순히 "우리가 깼다"라고 말하는 대신, 레드 팀은 ISV하여 "우리는 AI가 비밀을 드러내도록 속임으로써 8.5점의 점수로 깼다"라고 말할 수 있습니다.
이를 통해 모호한 불평을 보안 팀이 우선순위를 정해 해결할 수 있는 명확한 수치로 바꿀 수 있습니다.

결론

이 논문은 ISVEX가 필수적인 업그레이드라고 주장합니다. 우리는 토스터기에 사용하는 것과 똑같은 안전 자를 자율주행 로봇에 사용할 수 없다고 논증합니다. AI의 행동, 에이전트 통신, 그리고 실패의 실제 세계적 결과에 대한 구체적인 질문을 추가함으로써, ISVEX는 지능형 기기의 시대에 위험을 측정하는 더 정확하고 공정하며 실행 가능한 방법을 제공합니다.

기술 요약: ISVEX – 지능형 시스템의 리스크 노출 평가를 위한 방법론

1. 문제 정의

대규모 언어 모델(LLM)부터 자율 에이전트 및 멀티 에이전트 아키텍처에 이르는 인공지로(AI) 시스템은 연구 프로토타입 단계를 넘어 생산 환경으로 전환되었습니다. 그러나 기존의 취약점 평가 표준, 특히 CVSS v4.0과 OWASP AIVSS v0.5는 이러한 시스템에 내재된 리스크를 정량화하는 데 필요한 특정 메트릭이 부족합니다.

본 논문은 현재의 표준에서 다음과 같은 몇 가지 결정적인 격차를 식별합니다:

AI 특화 벡터 누락: 모델 조작(프롬프트 인젝션, 탈옥), 데이터 오염, 적대적 공격 및 모델 탈취 문제를 다루지 못합니다.
자율성 차별화 부족: 수동적인 챗봇과 코드 실행, API 호출, 의사결정을 수행할 수 있는 자율 에이전트(에이전트가 여러 도구를 통해 권한을 상승시키는 '에이전틱 증폭(agentic amplification)' 현상 포함)를 동일하게 취급하여 이를 무시합니다.
프로토콜 인식 부재: MCP(Model Context Protocol)나 A2A(Agent-to-Agent)와 같은 에이전트 간 통신 프로토콜의 취약성을 고려하지 않습니다.
정밀도 및 맥락 결여: 영향의 규모(예: 50명 사용자 vs 5,000만 명 사용자)를 구분하지 못하며, 피해의 가역성(reversibility)을 무시하고, 상호 연결된 시스템 전반에 걸친 공격 탐지 가능성 및 연쇄적 영향을 위한 메트릭이 부족합니다.
계산상의 결함: AIVSS v0.5는 단순 평균 공식을 사용하여 하나의 구성 요소가 낮을 경우 전체 점수를 희석시키며, 안전 필수 시스템(safety-critical systems)이 적절한 심각도 등급을 받을 수 있도록 보장하는 임팩트 플로어(impact floors)가 부족합니다.

2. 방법론: ISVEX

저자들은 AI 리스크의 전체 스펙트럼을 포착하도록 설계된 취약점 점수 산정 방식인 ISVEX(Intelligent System Vulnerability Exposure Index)를 제안합니다. 이 방법은 Strong(포괄적) 버전과 Lite(신속한 트리아지) 버전의 두 가지 대안으로 제공됩니다.

2.1 Strong 버전

Strong 버전은 7개 그룹의 38개 메트릭을 활용하며, 8단계 계산 파이프라인을 사용합니다.

메트릭 그룹:

Base – Exploitability (5개 메트릭): CVSS v4.0에서 상속 (공격 벡터, 복잡도, 요구사항, 권한, 사용자 상호작용).
Base – Impact (6개 메트릭): CVSS v4.0에서 상속 (취약한 시스템 및 후속 시스템에 대한 기밀성, 무결성, 가용성).
AI-Core (6개 메트릭): 모델에 특화된 항목으로, 모델 동작 회피(MBE), 데이터 파이프라인 무결성(DPI), 설명 가능성 리스크, 자율성 수준, 모델 탈취, 신뢰 경계 위반을 포함합니다.
Agentic & Protocol (8개 메트릭): 자율 에이전트 및 프로토콜에 특화된 항목으로, 도구 및 채널 무결성(TCX), 멀티 에이전트 상호작용, 자기 수정, 목표 지향적 계획, 메모리 지속성, 동적 신원, 보안 통신 프로토콜, 비결정성을 다룹니다. 이들은 5단계 척도(N/L/M/H/C)를 사용합니다.
AI-Extended (3개 메트릭): 학습 데이터 품질, 탐지 가능성, 연쇄적 영향.
Environmental (6개 메트릭): 조직적 맥락을 포함하며, 기밀성/무결성/가용성 요구사항, AI 시스템 중요도(ASC), 익스플로잇 성숙도, 완화 통제 항목을 포함합니다.
Contextual Modifiers (4개 메트릭): 영향의 규모, 가역성, 거버넌스/사회적 영향, 공격 실행화(Operationalization).

계산 파이프라인:

Exploitability & Impact: CVSS v4.0 공식을 사용하여 계산합니다.
AI Score: AI-Core 및 Agentic & Protocol 메트릭의 가중 합계로 계산됩니다. 핵심적인 혁신은 85% 플로어 규칙으로, 최종 AI 점수는 가장 높은 개별 메트릭의 85% 미만으로 떨어질 수 없어, 저위험 메트릭에 의해 치명적인 취약점이 희석되는 것을 방지합니다.
Combined Score: Base, AI, Environmental 점수를 결합하기 위해 최대 가중 공식( $0.6 \times \text{max} + 0.4 \times \text{mean}$ )을 사용합니다. 이는 단순 평균에 의한 희석 효과를 피하면서도 맥락 정보를 유지합니다.
Amplification (증폭): 중요도(최대 $\times 2.0$ 까지) 및 은밀한 공격, 연쇄적 영향에 대한 승수가 적용됩니다.
Graduated Impact Floors (단계별 임팩트 플로어): 일련의 규칙(R1–R5)과 보너스(B1–B7)는 특정 고위험 조합(예: 안전 필수 시스템의 무결성 훼손)이 낮은 익스플로잇 가능성에도 불구하고 최소 점수(예: 8.0)를 보장하도록 합니다.
Final Score: 맥락적 승수(규모, 가역성, 거버넌스, 실행화)가 적용되며, 최대 10.0으로 제한됩니다.

2.2 Lite 버전

보안 운영 센터(SOC) 및 침해 사고 대응 팀을 위해 설계된 ISVEX Lite는 (Strong 버전에서 선택된) 12개의 고식별 메트릭으로 평가를 축소합니다. 이는 약 3분 내에 점수를 생성할 수 있는 단순화된 공식을 사용합니다. 검증 결과, 복잡한 멀티 에이전트 시나리오에서는 리스크를 과소평가할 수 있으나, 80%의 사례에서 전체 버전과 $\pm 0.8$ 점 이내의 차이를 보였습니다.

3. 주요 기여

본 논문은 다음과 같은 주요 기여를 주장합니다:

포괄적인 메트릭 아키텍처: 전통적인 IT 리스크, AI 특화 모델 리스크, 그리고 신흥 "에이전틱 및 프로토콜" 계층(MCP/A2A)을 아우르는 38개 메트릭 프레임워크를 제공합니다.
새로운 계산 로직:
- 점수 희석을 방지하기 위한 최대 가중 결합(60/40 분할) 방식.
- 안전 필수 시나리오에 대해 최소 심각도를 보장하는 단계별 임팩트 플로어.
- 점수를 조정하기 위한 맥락적 승수.
운영적 통합: ISVEX 메트릭을 AI 레드 티밍 프레임워크(HarmBench, garak, AutoRedTeamer, AART, MITRE ATLAS)와 연결하는 공식 프로토콜을 제공하여, 레드 팀의 발견 사항이 직접 메트릭 값으로 입력될 수 있도록 합니다.
이중 모드 유용성: 신속한 트리아지를 위한 "Lite" 버전과 철저한 분석을 위한 "Strong" 버전을 모두 제공합니다.

4. 결과 및 검증

이 방법은 0에서 10까지의 리스크 스펙트럼을 다루는 10개의 가상 시나리오(프롬프트 인젝션, 자율 주행에 대한 적대적 공격, 공급망 백도어, 멀티 에이전트 권한 상승, 데이터 오염 포함)를 통해 검증되었습니다.

비교 결과:

vs. AIVSS v0.5: 10개 시나리오 중 9개에서 ISVEX가 AIVSS보다 높은 점수를 기록했으며, 고위험 시나리오에서 평균 +2.3 점의 상승을 보였습니다. 가장 큰 차이는 멀티 에이전트 권한 상승 시나리오에서 나타난 +3.4 점이었으며, 이는 ISVEX의 특정 프로토콜 메트릭과 임팩트 플로어 덕분입니다.
vs. CVSS v4.0: CVSS는 AI 특화 리스크를 지속적으로 과소평가하여, ISVEX가 "높음" 또는 "치명적"으로 평가한 항목을 종종 "중간"으로 분류했습니다. 반대로, 저영향 시나리오(50명의 사용자를 가진 내부 챗봇에 대한 DoS 공격)에서는 ISVEX가 CVSS보다 2.7 점 낮게 측정되어, 맥락(가역성, 소규모 규모)이 정당화될 때 리스크를 하향 조정하는 능력을 입증했습니다.
정밀도: 본 방법은 이전 표준들이 동일하게 취급했던 시나리오들(예: 수동적 챗봇의 정보 유출과 자율 에이전트의 권한 상승 구분)을 성공적으로 차별화했습니다.

5. 의의 및 주장

저자들은 ISVEX를 자율 AI 시대의 취약점 관리를 위한 필수적인 진화로 규정합니다. 논문의 주장은 다음과 같습니다:

현재의 표준은 불충 enough하지 않다: CVSS와 AIVSS는 모델 조작, 에이전트 자율성, 프로토콜 수준의 공격이라는 고유한 리스크를 정량화하기 위한 세밀함과 특정 메트릭이 부족합니다.
ISVEX는 격차를 해소한다: 에이전트 행동 및 통신 프로토콜에 대한 특정 메트릭을 포함하고, 치명적인 리스크가 희석되지 않도록 하는 계산 파이프라인을 사용함으로써, ISVEX는 실제 AI 리스크를 더 정확하게 반영합니다.
운영적 관련성: 이 방법은 레드 티밍 출력 및 기존 보안 워크플로우(SIEM, 티켓팅 시스템)와 직접 연결되도록 설계되었으며, 시간이 제한된 환경을 위한 신속한 트리아지 옵션을 제공하여 실행 가능합니다.

결론적으로 ISVEX는 저영향 내부 도구부터 안전 필수 자율 시스템에 이르기까지 현대적 AI 위협의 전체 스펙트럼을 다룰 수 있는, 더 정밀하고 확장 가능하며 맥락을 인식하는 리스크 평가 접근 방식을 제공합니다.