모의 테스트

흐름 따라 보기공격이 단계를 지나는 순서대로 보여 주고, 아래에 단계마다 근거를 편다

프리셋끼리 비교

새 문서가 레지스트리에 들어와 판정을 마치면 프리셋과 규제 근거, 두 테스트를 다시 계산한다. 결과가 바뀐 때만 이력에 남기고, 결과가 달라진 데모 케이스에는 경고를 띄운다.

가정해 보기: 새 규제가 들어온다면

통제마다 사람·계정 층과 AI 층의 상태를 고르고 근거를 한 줄 적는다. 적은 내용은 이 브라우저 안에만 있고 어디로도 보내지 않으니, 남기려면 JSON으로 내보냈다가 다음에 불러온다. '설정에 반영'은 구현으로 표시한 것만 켠다. AI 층이 구현이면 AI까지, 사람·계정 층만 구현이면 사람·계정까지다.

• 사건 다시 돌리기는 예측이 아니라 반사실 연습이다. 그 사건에서 실패했다고 판정된 통제가 켜져 있었다면 어땠을지를 따질 뿐이다. 통제가 있어도 우회될 수 있고 다른 경로가 있었을 수도 있어서, 막힘을 하한과 상한으로 나눠 낸다.
• 판단 근거 없음은 공개 자료에 피해 쪽 통제가 나오지 않는 사건이다. 대부분 공격자가 AI를 쓴 경우다. 막혔다는 뜻도, 못 막았다는 뜻도 아니다.
• 사건 판정은 서로 결과를 보지 않은 AI 코더 두 팀이 하고(κ 0.96) 갈린 칸을 조정했다. 반면 공격 원형과 단계, 통제 배치, 통제의 실무 설명, 가상 회사 데모 케이스는 저자가 설계했고 이런 검증을 거치지 않았다. 실제 사건이 없는 원형은 OWASP Agentic Top 10 같은 위협 목록에서 가져왔다.
• OWASP 항목별 결과는 그 항목을 근거로 둔 원형들의 결과를 모은 자체 계산이고, OWASP가 평가하거나 인증한 것이 아니다.
• 개선 조치의 효과는 통제마다 따로 잰 값이다. 둘을 더하면 겹치는 사건을 두 번 세게 되니, 합친 효과는 변경안에 넣어 확인한다. 비용과 난이도는 따지지 않는다.
• 규제 프리셋은 문서가 요구하는 통제를 이 에이전트에 모두 적용했다고 본다. AI 기본법의 사람 관리·감독처럼 고영향 AI에만 걸리는 의무도 적용 대상을 따지지 않는다.
• 가정해 보기는 말 그대로 가정이다. 실제로 반영하려면 문서를 등록하고 두 팀이 판정한 뒤 조정해야 한다.
• 정책 초안은 검토용 뼈대다. 형식은 이 도구가 정한 것이고 특정 집행 도구의 스키마가 아니어서, 그대로 운영에 넣으면 안 된다.
• 이 페이지는 아무것도 저장하거나 전송하지 않는다. 설정은 주소창의 # 뒤에만 남고, CSV와 정책 초안, 자가 진단 JSON은 브라우저에서 만들어 바로 내려받는다. 자가 진단은 새로 고치면 사라진다.