2026-10-12 수정 2025년판 발표 시점(2024년 11월)과 비교 대상(2023년 v1.1)을 바로잡았습니다. OWASP는 2026년 8월 2026판을 공개했으며, 이 글은 2025판 기준입니다.
OWASP LLM Top 10 2025, 무엇이 바뀌었나
OWASP는 2024년 11월 LLM 애플리케이션 Top 10의 2025년판을 발표했습니다. 2023년 v1.1 대비 System Prompt Leakage, Vector/Embedding 취약점 등이 신규 추가되었고, Prompt Injection은 여전히 1위를 유지하고 있습니다.
2025 Top 10 목록
1. Prompt Injection (LLM01)
사용자가 입력한 프롬프트를 통해 LLM의 동작을 의도치 않게 변경하는 공격입니다. 직접 주입(Direct)과 간접 주입(Indirect)으로 나뉩니다.
실무 대응:
- 입력 검증 레이어 도입
- System Prompt과 User Input 분리
- Output 필터링 적용
2. Sensitive Information Disclosure (LLM02)
LLM이 학습 데이터나 시스템 정보를 응답에 포함시키는 문제입니다. PII(개인식별정보), API 키, 내부 코드가 유출될 수 있습니다.
3. Supply Chain Vulnerabilities (LLM03)
서드파티 모델, 데이터셋, 플러그인의 무결성 문제입니다. 악성 모델 가중치나 오염된 학습 데이터가 유입될 위험이 있습니다.
4. Data and Model Poisoning (LLM04)
학습 데이터를 조작해 모델의 판단을 왜곡하는 공격입니다. 파인튜닝 단계에서 특히 위험합니다.
5. Improper Output Handling (LLM05)
LLM의 출력을 검증 없이 후속 시스템에 전달할 때 발생합니다. XSS, SSRF, 코드 실행 등으로 이어질 수 있습니다.
6. Excessive Agency (LLM06)
LLM에 과도한 권한(파일 접근, DB 쿼리, API 호출)을 부여할 때 발생하는 리스크입니다.
7. System Prompt Leakage (LLM07, 신규)
시스템 프롬프트의 내용이 사용자에게 노출되는 취약점입니다. 비즈니스 로직, 필터링 규칙, 내부 API 엔드포인트가 유출될 수 있습니다.
8. Vector and Embedding Weaknesses (LLM08, 신규)
RAG(Retrieval-Augmented Generation) 파이프라인에서 벡터 DB의 데이터를 조작하거나, 임베딩을 통해 악성 콘텐츠를 주입하는 공격입니다.
9. Misinformation (LLM09)
LLM이 사실과 다른 정보를 생성하는 할루시네이션 문제입니다. 의료, 법률, 금융 도메인에서 심각한 결과로 이어질 수 있습니다.
10. Unbounded Consumption (LLM10)
LLM 리소스를 과도하게 소모시키는 DoS 공격입니다. 토큰 한도 설정, 요청 속도 제한이 필수입니다.
AI 앱 보안 점검 체크리스트
| 항목 | 확인 사항 |
|---|---|
| 입력 검증 | 프롬프트 인젝션 필터 적용 여부 |
| 출력 검증 | LLM 출력의 후속 처리 시 이스케이프 |
| 권한 제어 | LLM이 접근 가능한 시스템 리소스 최소화 |
| 시스템 프롬프트 | 민감 정보 미포함, 유출 방지 |
| 모니터링 | 비정상 요청 패턴 탐지 |
AI로 서비스를 만들었다면
AI 도구로 코드를 생성하든, LLM을 서비스에 통합하든, 보안 점검은 필수입니다. CodeScan으로 30초 안에 웹 서비스의 기본 보안 상태를 확인할 수 있습니다. 다만 CodeScan은 URL 외부 점검이라 프롬프트 인젝션, 검색 자료(RAG) 접근 권한, 에이전트 도구 권한은 확인하지 않습니다. LLM 기능 자체는 LLM·AI 서비스 보안 검증에서 데이터·도구·테스트 계정 범위를 협의해 점검합니다.
한국 기업 환경에 맞춘 30문항 점검표는 OWASP LLM Top 10 한국 기업 자가점검에 정리했습니다.
출처: OWASP Top 10 for LLM Applications 2025