Day 3 - AI 보안: IAM 최소권한, 데이터 암호화, PII 보호, PrivateLink, 책임 공유 모델

책임 공유 모델: 누가 무엇을 책임지나

어제까지는 "AI 가 공정하고 신뢰할 수 있게" 만드는 책임 있는 AI 를 봤다. 오늘은 기술적 방어, 곧 AI 보안이다. AI 전용 보안 기술이 따로 있는 것이 아니라 AWS 의 표준 보안 원칙을 AI/ML 맥락에 적용하는 것이 핵심이다. 그 출발점이 책임 공유 모델(Shared Responsibility Model) 이다.

핵심 한 줄: "AWS 는 클라우드의 보안(security OF the cloud), 고객은 클라우드 안에서의 보안(security IN the cloud)을 책임진다."

관리형 서비스(Bedrock, SageMaker 등)를 쓸수록 AWS 가 지는 책임이 커진다. 하지만 "데이터를 누구에게 보여줄지(IAM)", "어떤 데이터를 넣을지", "암호화 키를 어떻게 관리할지"는 고객 몫이다. 시험에서 "Bedrock 으로 모델을 호출할 때 입력 데이터 접근 권한 관리는 누구 책임?"이라고 물으면 답은 고객이다.

Bedrock 을 쓸 때 책임은 어떻게 나뉘나

같은 원칙을 생성형 AI 애플리케이션 하나에 대어 보면 다음과 같다.

• "기능을 제공한다"와 "설정한다"를 가르는 것이 시험에서 답을 가르는 지점이다. AWS 가 암호화 기능을 주더라도 고객 관리형 키를 쓸지, 누구에게 복호화를 허용할지는 고객이 정한다.
• AWS 는 Bedrock 에서 모델 제공사가 고객의 프롬프트와 응답에 접근할 수 없다고 밝힌다. 모델은 Bedrock 서비스 팀이 운영하는 계정에 복사되어 돌아가고, 모델 제공사는 그 계정에 접근할 수 없기 때문이다.
• 모델을 파인튜닝하면 기반 모델의 비공개 복사본을 바탕으로 만들어지고, 그 데이터는 모델 제공사와 공유되거나 기반 모델을 개선하는 데 쓰이지 않는다고 AWS 는 안내한다.

IAM 최소 권한: 꼭 필요한 만큼만

IAM(Identity and Access Management) 은 "누가 무엇을 할 수 있는가"를 제어한다. AI/ML 에서도 핵심 원칙은 최소 권한(Least Privilege) 이다.

• 최소 권한 원칙: 각 사용자·역할·서비스에 업무에 꼭 필요한 권한만 부여한다. "혹시 몰라서" 넓게 주는 것이 가장 흔한 보안 실수다.
• 역할(Role) 기반 접근: 사람뿐 아니라 서비스도 역할을 통해 권한을 받는다. 예: SageMaker 학습 작업이 S3 데이터에 접근하려면 그에 맞는 IAM 역할이 필요하다.
• 정책(Policy): 어떤 리소스에 어떤 액션을 허용/거부할지 JSON 으로 명시한다.
• 예를 들어 데이터 과학자에게는 학습 데이터가 든 특정 S3 버킷 읽기 권한만 주고, 프로덕션 모델 배포 권한은 주지 않는다.

• 역할은 장기 비밀번호나 액세스 키 대신 임시 자격 증명을 쓴다. 코드에 키를 적어 두는 것보다 역할을 맡기는 쪽이 안전하다.
• 정책은 리소스 단위로 좁힐 수 있다. "Bedrock 전체 허용"이 아니라 "승인된 모델만 호출 허용"처럼 쓴다.
• 데이터베이스 암호나 외부 API 키처럼 코드에 넣으면 안 되는 비밀 값은 AWS Secrets Manager 에 보관한다.

⚠️ 함정: "관리자 권한(Administrator)을 주면 편하다"는 최악의 안티패턴이다. 또 "한 번 권한을 주면 끝"이 아니라, 주기적으로 검토하고 안 쓰는 권한은 회수해야 한다. 시험에서 "보안을 강화하려면?"에 "모두에게 전체 권한 부여"는 오답이다.

데이터 암호화: 저장 중 + 전송 중

데이터는 두 상태에서 보호해야 한다.

• AWS KMS(Key Management Service): 암호화 키를 안전하게 생성·관리한다. S3 에 저장된 학습 데이터, SageMaker 노트북 볼륨, 모델 아티팩트 등을 KMS 키로 암호화한다.
• 전송 중 암호화: API 호출, 데이터 업로드/다운로드가 모두 TLS 로 보호되도록 한다.
• AI/ML 파이프라인은 데이터가 여러 서비스를 거치므로(S3 → SageMaker → 엔드포인트), 각 단계마다 저장·전송 암호화를 빠짐없이 적용하는 것이 중요하다.
• 두 암호화는 막는 위협이 다르다. 저장 중 암호화만 하면 오가는 길에서 도청될 수 있고, 전송 중 암호화만 하면 저장소가 통째로 유출됐을 때 내용이 드러난다.

KMS 는 키 자체를 안전하게 보관하면서, "누가 이 키로 복호화할 수 있는가"도 IAM 과 연동해 제어한다. 즉 암호화와 접근 제어가 함께 작동한다. 데이터를 암호화해도 키 접근 권한을 아무에게나 주면 의미가 없다. 암호화는 IAM 최소 권한과 짝을 이뤄야 완성된다.

PII 보호: 개인정보를 찾아내고 가린다

PII(개인 식별 정보, Personally Identifiable Information), 곧 이름·주민번호·전화번호·카드번호 등은 특히 엄격히 보호해야 한다. AWS 는 PII 를 자동으로 찾고 보호하는 도구를 제공한다.

• Amazon Macie: 머신러닝과 패턴 매칭으로 S3 버킷을 스캔해 "여기 신용카드 번호가 노출돼 있다" 같은 위험을 알린다.
• Amazon Comprehend: 자연어 텍스트에서 PII 엔티티를 찾아 마스킹하거나 제거한다. 학습 데이터에서 개인정보를 빼는 전처리에 유용하다.

세 도구는 "어디에 있는 데이터를, 언제, 어떻게 하느냐"로 갈린다.

• Macie 는 민감 데이터 탐지에 더해 S3 버킷의 보안 상태도 살핀다. 버킷이 공개 접근 가능해지는 것 같은 문제를 발견하면 알려 준다.
• Macie 는 찾아서 알려 주는 서비스다. 찾은 데이터를 스스로 지우거나 가리지는 않는다.
• Macie 의 대상은 Amazon S3 다. 데이터베이스나 실시간 대화가 대상이면 다른 도구를 찾는다.

가상의 사례로, 한 보험사가 고객 상담 기록을 학습 데이터로 쓰려 했다. 그대로 쓰면 이름·주소가 모델에 새어 들어갈 위험(프라이버시 침해)이 있었다. 팀은 ① Macie 로 어느 S3 버킷에 PII 가 있는지 먼저 스캔하고, ② Comprehend PII 탐지로 텍스트에서 개인정보를 마스킹한 뒤 학습에 사용했으며, ③ 배포된 챗봇에는 Bedrock Guardrails 의 PII 필터를 걸어 출력에서도 개인정보가 나가지 않게 했다. 데이터 수명주기 전 단계에서 PII 를 막은 사례다.

PrivateLink: 인터넷을 거치지 않는 연결

기본적으로 AWS 서비스 API 는 퍼블릭 엔드포인트로 접근한다. 민감한 데이터를 다룰 때는 트래픽이 공용 인터넷을 거치지 않게 하는 것이 안전하다. AWS PrivateLink 가 이를 해결한다.

• PrivateLink 는 VPC(가상 사설 네트워크) 안에서 AWS 서비스(예: Bedrock, SageMaker)로 프라이빗 연결을 만든다. 이때 VPC 안에 만드는 접속 지점이 인터페이스 VPC 엔드포인트다.
• 트래픽이 AWS 내부 네트워크에만 머물고 인터넷에 노출되지 않는다.
• 데이터 유출 위험을 줄이고, 규제가 엄격한 환경(금융·의료)에서 자주 요구된다.

🔍 더 깊이: "Bedrock 을 쓰는데 데이터가 인터넷을 거치지 않게 하고 싶다"는 시나리오의 답이 PrivateLink(VPC 엔드포인트)다. 암호화(데이터 내용 보호)와 PrivateLink(경로 보호)는 다른 층의 방어다. 암호화는 "내용을 못 읽게", PrivateLink 는 "애초에 공용 경로로 안 가게" 하는 것이다.

• 네 가지는 층이 다른 방어다. "PrivateLink 를 쓰니 암호화는 필요 없다", "암호화했으니 권한은 넓게 줘도 된다"는 보기는 모두 틀리다.

생성형 AI 에서 새로 생기는 위협

시험 가이드는 AI 시스템의 보안·프라이버시 고려 사항으로 기존 보안 항목(애플리케이션 보안, 위협 탐지, 취약점 관리, 인프라 보호, 저장·전송 암호화)과 함께 생성형 AI 고유의 항목을 든다.

• 프롬프트 인젝션은 사용자가 직접 넣는 경우만 있는 것이 아니다. 모델이 읽는 문서나 웹페이지에 지시가 숨어 있을 수도 있다. 그래서 "모델이 읽는 모든 외부 내용은 신뢰하지 않는다"가 기본 자세다.
• 에이전트처럼 모델이 도구를 호출해 실제 행동을 한다면 최소 권한이 더 중요해진다. 모델이 속더라도 할 수 있는 일이 좁으면 피해가 작다.
• 시험 가이드는 AI 시스템을 보호하는 AWS 기능의 예로 IAM, 암호화, Macie, PrivateLink, 책임 공유 모델과 함께 Amazon Bedrock Guardrails, 그리고 에이전트용 기능인 Amazon Bedrock AgentCore Identity 와 Policy in AgentCore 를 든다. AgentCore Identity 는 에이전트의 신원·접근·인증을 관리하고, Policy 는 에이전트가 어떤 도구를 어떤 조건에서 쓸 수 있는지 규칙으로 통제한다. 입문 시험에서는 "에이전트에도 신원과 권한 통제가 필요하다" 정도로 알아 둔다.

요구 → 수단 판별표

보안 다섯 기둥 빠른 복습

• 책임 공유 모델: AWS 는 인프라, 고객은 데이터·접근·구성.
• IAM 최소 권한: 꼭 필요한 만큼만, 역할 기반으로.
• 암호화: 저장 중(KMS) + 전송 중(TLS) 모두.
• PII 보호: Macie(탐지)·Comprehend(마스킹)·Guardrails(출력 필터).
• PrivateLink: 인터넷을 안 거치는 프라이빗 연결.

AI 전용 마법이 아니라 AWS 의 표준 보안 원칙을 ML 파이프라인에 빠짐없이 적용하는 것이 오늘의 요지다. 내일은 보안에서 한 발 더 나아가 데이터 거버넌스와 규정 준수(데이터 출처·품질, 모델 거버넌스, CloudTrail 감사·로깅, 생성형 AI 의 법적·윤리 고려)를 본다.

📖 용어

• 책임 공유 모델 : 보안 책임을 AWS(클라우드 자체)와 고객(클라우드 안)이 나눠 지는 원칙.
• 최소 권한(Least Privilege) : 업무에 꼭 필요한 권한만 주는 원칙.
• IAM 역할(Role) : 사람이나 서비스가 필요할 때 맡아 임시 자격으로 권한을 쓰는 신원.
• 저장 중 암호화(at rest) : 디스크·스토리지에 놓인 데이터를 암호화하는 것.
• 전송 중 암호화(in transit) : 네트워크를 오가는 데이터를 TLS 로 암호화하는 것.
• AWS KMS : 암호화 키를 만들고 보관하며 누가 쓸 수 있는지 통제하는 서비스.
• VPC : AWS 안에 만드는 나만의 격리된 가상 네트워크.
• VPC 엔드포인트 : VPC 안에서 AWS 서비스로 비공개 접속하기 위한 접속 지점. PrivateLink 가 이를 제공한다.
• 프롬프트 인젝션 : 입력에 숨긴 지시로 모델이 원래 지침을 어기게 만드는 공격.
• 마스킹 : 민감한 값을 다른 문자로 가려 원래 값을 알 수 없게 하는 처리.

📝 연습 문제

선택지를 클릭하면 정답·해설이 펼쳐집니다.

문제 1

AWS 책임 공유 모델에 따르면, Amazon Bedrock으로 모델을 호출하는 애플리케이션에서 "입력 데이터에 누가 접근할 수 있는지에 대한 IAM 권한 설정"은 누구의 책임인가?

• AAWS
• B고객
• CBedrock 모델 제공사
• D인터넷 서비스 공급자

문제 2

데이터 과학자에게 학습용 S3 버킷에 대한 접근 권한을 부여할 때 가장 안전한 방식은?

• A모든 사용자에게 관리자(Administrator) 권한을 준다
• B업무에 꼭 필요한 특정 버킷 읽기 권한만 부여한다(최소 권한)
• CIAM 없이 버킷을 퍼블릭으로 공개한다
• D권한을 한 번 주면 다시는 검토하지 않는다

문제 3

"저장 중 암호화(at rest)"와 "전송 중 암호화(in transit)"에 대한 설명으로 옳은 것은?

• A저장 중 암호화는 KMS 등으로 디스크에 저장된 데이터를 보호하고, 전송 중 암호화는 TLS로 네트워크 통신을 보호한다
• B둘은 같은 것이며 한쪽만 하면 된다
• C전송 중 암호화는 S3 저장 데이터를 보호한다
• D저장 중 암호화는 네트워크 도청을 막는다

문제 4

학습 데이터로 쓸 고객 상담 텍스트에서 이름·주민번호 같은 개인정보(PII)를 자동으로 식별하고 마스킹하려 한다. 가장 적절한 서비스는?

• AAWS PrivateLink
• BAmazon Comprehend(PII 탐지)
• CAWS KMS
• DAmazon EC2

문제 5

규제가 엄격한 금융 기업이 Amazon Bedrock을 사용하면서 트래픽이 공용 인터넷을 거치지 않고 AWS 내부 네트워크에만 머물도록 하려 한다. 가장 적절한 방법은?

• AAWS PrivateLink(VPC 엔드포인트)로 프라이빗 연결을 구성한다
• B데이터를 평문으로 전송한다
• CIAM 권한을 모두 제거한다
• DAmazon Macie로 PII를 스캔한다