# 모의 테스트 — 규제 프리셋별 결과

사건 45건 · 사건 판정 `consensus_2026-11-12` · 규제 매트릭스 `consensus_2026-11-12`.
반사실 가정: 사건에서 실패한 통제가 그 층에서 켜져 있었다면 막혔거나 줄었을 것이다. 막힘 = 하한~상한.

## 실제 사건 다시 돌리기

| 프리셋 | 막힘 (적었거나 추론) | 피해 축소 | 그대로 | 판단 근거 없음 | 막힘 (원문이 적은 것만) | 다음에 켤 통제 |
|---|---|---|---|---|---|---|
| 통제 없음 | **0~0** | 0 | 25 | 20 | 0~0 | 최소 권한 +19 · 사람 승인 +16 |
| 모든 통제를 AI까지 | **25~25** | 0 | 0 | 20 | 24~24 | — |
| 한국 — 강제 규제만 | **5~21** | 0 | 4 | 20 | 7~14 | 공급자 관리 +4 · 최소 권한 +2 |
| 한국 — 가이드라인까지 | **23~25** | 0 | 0 | 20 | 24~24 | — |
| 미국 — 강제 규제만 | **3~7** | 0 | 18 | 20 | 3~7 | 최소 권한 +14 · 사람 승인 +12 |
| 미국 — 가이드라인까지 | **25~25** | 0 | 0 | 20 | 24~24 | — |
| EU — 강제 규제만 | **4~19** | 1 | 5 | 20 | 6~13 | 공급자 관리 +5 · 최소 권한 +3 |
| EU — 가이드라인까지 | **4~19** | 1 | 5 | 20 | 6~13 | 공급자 관리 +5 · 최소 권한 +3 |
| 국제 권고 — 가이드라인까지 | **25~25** | 0 | 0 | 20 | 24~24 | — |

## 시나리오 원형 — 가장 노출된 환경(송금 도구 · 외부 입력 · 외부 구성요소 · 장기 메모리 · 멀티 에이전트 모두 켬)

| 프리셋 | 간접 프롬프트 인젝션 | 공급망 변조 | 자율 에이전트 일탈 | 공격자가 AI 에이전트로 침투 | AI 연동·자격증명 탈취 | 도구·MCP 서버 설명 오염 | 기억 오염 | 에이전트 간 위임 연쇄 | 사람 승인 절차 악용 | 예상치 못한 코드 실행 | 내부자 악용 | 고객 간 정보 노출 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 통제 없음 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 |
| 모든 통제를 AI까지 | 막힘 (2단계) | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 피해 축소 | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (1단계) | 막힘 (2단계) |
| 한국 — 강제 규제만 | 막힘 (3단계) | 막힘 (1단계) | 막힘 (2단계) | 막힘 (2단계) | 피해 발생 | 막힘 (3단계) | 막힘 (3단계) | 막힘 (3단계) | 피해 축소 | 막힘 (2단계) | 막힘 (2단계) | 피해 발생 |
| 한국 — 가이드라인까지 | 막힘 (2단계) | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 피해 축소 | 막힘 (1단계) | 막힘 (1단계) | 막힘 (3단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (1단계) | 막힘 (2단계) |
| 미국 — 강제 규제만 | 피해 발생 | 막힘 (1단계) | 피해 발생 | 피해 축소 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 피해 발생 | 막힘 (2단계) | 피해 발생 |
| 미국 — 가이드라인까지 | 막힘 (2단계) | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 피해 축소 | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (1단계) | 막힘 (2단계) |
| EU — 강제 규제만 | 막힘 (3단계) | 막힘 (1단계) | 막힘 (2단계) | 피해 축소 | 피해 발생 | 막힘 (3단계) | 막힘 (3단계) | 막힘 (3단계) | 피해 축소 | 막힘 (2단계) | 막힘 (2단계) | 피해 발생 |
| EU — 가이드라인까지 | 막힘 (3단계) | 막힘 (1단계) | 막힘 (2단계) | 피해 축소 | 피해 발생 | 막힘 (3단계) | 막힘 (3단계) | 막힘 (3단계) | 피해 축소 | 막힘 (2단계) | 막힘 (2단계) | 피해 발생 |
| 국제 권고 — 가이드라인까지 | 막힘 (2단계) | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 피해 축소 | 막힘 (1단계) | 막힘 (1단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (2단계) | 막힘 (1단계) | 막힘 (2단계) |

## OWASP Agentic Top 10 커버리지 — 같은 환경, 자체 계산(OWASP의 평가 아님)

막음 = 그 항목을 근거로 둔 원형이 모두 막힘 · 공백 = 모두 피해 발생 · 부분 = 그 사이 · 원형 없음 = 이 테스트가 재지 않는다.

| 프리셋 | ASI01 에이전트 목표 탈취 | ASI02 도구 오용 | ASI03 신원·권한 남용 | ASI04 에이전트 공급망 취약점 | ASI05 예상치 못한 코드 실행 | ASI06 메모리·컨텍스트 오염 | ASI07 안전하지 않은 에이전트 간 통신 | ASI08 연쇄 장애 | ASI09 사람-에이전트 신뢰 악용 | ASI10 통제를 벗어난 에이전트 |
|---|---|---|---|---|---|---|---|---|---|---|
| 통제 없음 | 공백 | 공백 | 공백 | 공백 | 공백 | 공백 | 공백 | 공백 | 공백 | 공백 |
| 모든 통제를 AI까지 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 |
| 한국 — 강제 규제만 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 부분 | 막음 |
| 한국 — 가이드라인까지 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 |
| 미국 — 강제 규제만 | 공백 | 공백 | 부분 | 부분 | 공백 | 공백 | 공백 | 공백 | 공백 | 공백 |
| 미국 — 가이드라인까지 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 |
| EU — 강제 규제만 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 부분 | 막음 |
| EU — 가이드라인까지 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 부분 | 막음 |
| 국제 권고 — 가이드라인까지 | 막음 | 막음 | 부분 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 | 막음 |

## 개선 조치 — 한국 강제 규제만 지키는 회사, 같은 환경

통제 하나를 AI까지 올렸을 때의 효과(하나씩 따로 잰 값 — 더하면 안 된다). 점수·가중치는 매기지 않는다.

| 순위 | 통제 | 지금 | 막힘 하한 증가 | 막힘 상한 증가 | 결과가 바뀌는 원형 |
|---|---|---|---|---|---|
| 1 | 최소 권한 | 사람·계정만 | +7 | +2 | AI 연동·자격증명 탈취 피해 발생→피해 축소 · 사람 승인 절차 악용 피해 축소→막힘 · 고객 간 정보 노출 피해 발생→막힘 |
| 2 | 공급자 관리 | 사람·계정만 | +3 | +4 | — |
| 3 | 고유 식별자 | 사람·계정만 | +0 | +0 | AI 연동·자격증명 탈취 피해 발생→피해 축소 · 고객 간 정보 노출 피해 발생→피해 축소 |
| 4 | 인벤토리 | 사람·계정만 | +0 | +0 | AI 연동·자격증명 탈취 피해 발생→피해 축소 |
| 5 | 감사 기록 | 사람·계정만 | +0 | +0 | — |
| 6 | 즉시 중단 | 사람·계정만 | +0 | +0 | — |

원형과 단계는 저자 설계다(`registry/sim_scenarios.yaml`) — 사건 판정과 달리 블라인드 코딩을 거치지 않았다.