탈옥 공격 Jailbreak
모델의 안전 정책과 행동 제한을 우회하도록 입력을 구성하는 공격 기법이다.
개념과 원리
섹션 제목: “개념과 원리”개요와 핵심 정의
섹션 제목: “개요와 핵심 정의”모델의 안전 정책과 행동 제한을 우회하도록 입력을 구성하는 공격 기법이다.
‘탈옥 공격’ 개념은 안전·보안·윤리 영역에서 무엇을 계산하거나 통제하는지 설명하는 표제어다. 이름을 외우는 데서 멈추지 않고 입력, 변환 과정, 출력, 적용 조건을 분리해 보면 제품과 논문마다 다른 표현을 같은 원리 위에서 비교할 수 있다. 안전·거버넌스 분야는 모델과 데이터가 사람·조직·사회에 미치는 위험을 식별하고 통제하는 절차를 다룬다.
배경과 설명 범위
섹션 제목: “배경과 설명 범위”직접 대응하는 외부 백과 표제어가 뚜렷하지 않은 신생·세부 용어다. 따라서 아래 1차 자료와 상위 개념 문서를 중심으로 범위를 정하고, 제품별 용어는 일반 원리와 분리했다.
이 문서에서 다루는 범위는 안정적인 개념과 구현 원리다. 최신 모델명·가격·한도처럼 자주 바뀌는 정보는 포함하지 않으며, 실제 사용 시점에는 연결된 공식 문서와 배포 환경의 버전을 다시 확인한다.
작동 원리
섹션 제목: “작동 원리”탈옥 공격은 역할극·인코딩·다단계 지시 등으로 모델이나 애플리케이션의 안전 규칙을 우회해 금지된 행동을 유도한다.
환각 및 프롬프트 인젝션 개념을 먼저 이해하면 계산 위치와 역할을 구분하기 쉽다. 이 선행 관계를 기준으로 어느 단계에서 값이 만들어지고 다음 구성 요소로 어떻게 전달되는지 추적하면, 비슷한 용어를 기능 이름만으로 혼동하는 일을 줄일 수 있다.
구성 요소와 처리 흐름
섹션 제목: “구성 요소와 처리 흐름”실제 시스템에서는 ‘탈옥 공격’ 개념만 독립적으로 동작하지 않는다. 프롬프트 인젝션, 가드레일, 콘텐츠 조정 문서와 이어서 보면 데이터 준비, 모델 계산, 출력 제어, 운영 검증 중 어느 위치에 놓이는지 확인할 수 있다.
처리 흐름을 문서화할 때는 입력 형식, 파라미터와 기본값, 실패 조건, 출력 스키마, 관측 가능한 지표를 함께 적는다. 이렇게 해야 같은 이름을 쓰는 서로 다른 라이브러리와 서비스의 동작 차이를 재현 가능한 방식으로 비교할 수 있다.
활용과 검증
섹션 제목: “활용과 검증”활용 분야와 선택 기준
섹션 제목: “활용 분야와 선택 기준”정책, 영향 평가, 권한 통제, 감사, 사고 대응과 규제 준수에 사용한다. ‘탈옥 공격’ 개념을 도입할 때는 기대 효과를 품질, 지연 시간, 처리량, 메모리, 비용, 안전성 중 측정 가능한 항목으로 바꾼다. 그다음 단순한 기준선과 비교해 개선 폭과 추가 복잡도를 함께 기록한다.
선택 기준은 “널리 쓰인다”가 아니라 현재 데이터와 사용자의 실패 비용을 얼마나 줄이는가이다. 오프라인 실험, 작은 실제 트래픽, 배포 후 모니터링 순으로 증거를 쌓는 편이 안전하다.
한계와 흔한 오해
섹션 제목: “한계와 흔한 오해”프롬프트만 차단하는 방식보다 입력·출력 분류, 권한 최소화, 도구 인자 검증, 모니터링을 결합한다.
원칙 선언이나 단일 필터가 아니라 수명주기 전체의 증거와 책임 구조를 요구한다. 하나의 수치나 데모를 모든 환경에 일반화하지 말고, 데이터 분포·모델 버전·하드웨어·기본 파라미터·평가 방식이 같은지 확인한다. 특히 생성 결과가 자연스럽다는 이유만으로 사실성, 공정성, 보안성까지 확보되었다고 판단하지 않는다.
관련 개념과의 구분
섹션 제목: “관련 개념과의 구분”- 프롬프트 인젝션: 악의적 입력이 기존 지시를 무시하거나 비밀을 노출하도록 모델 행동을 조작하는 공격이다.
- 가드레일: 모델 입력·출력·도구 실행을 검사하고 위험 행동을 제한하는 정책과 기술이다.
- 콘텐츠 조정: 유해하거나 정책을 위반하는 콘텐츠를 탐지·분류·처리하는 과정이다.
구체적 적용 예시
섹션 제목: “구체적 적용 예시”위험 시나리오를 정상 사용, 우발적 오용, 의도적 공격으로 나누고 예방·탐지·대응 책임자를 각각 지정한다. ‘탈옥 공격’을 적용하는 경우에는 탈옥 공격은 역할극·인코딩·다단계 지시 등으로 모델이나 애플리케이션의 안전 규칙을 우회해 금지된 행동을 유도한다.
차단률만 높이는 대신 정상 요청의 거짓 차단, 우회 가능성, 이의 제기와 사고 복구 시간을 함께 측정한다. 이때 프롬프트 인젝션, 가드레일, 콘텐츠 조정 문서의 역할을 나란히 비교하면 서로 다른 단계의 설정을 한 원인처럼 해석하는 오류를 줄일 수 있다.
실무 적용과 검증 절차
섹션 제목: “실무 적용과 검증 절차”- 목적 정의: ‘탈옥 공격’이 해결해야 할 문제와 해결하지 않아도 되는 범위를 한 문장씩 적는다.
- 입력과 조건 확인: 환각, 프롬프트 인젝션의 정의와 입력 조건을 먼저 확인한다.
- 기준선 설정: 정책, 영향 평가, 권한 통제, 감사, 사고 대응과 규제 준수에 사용한다. 가장 단순한 방법과 비교할 품질·비용·지연 지표를 고정한다.
- 실패 사례 기록: 프롬프트만 차단하는 방식보다 입력·출력 분류, 권한 최소화, 도구 인자 검증, 모니터링을 결합한다.
- 운영 검증: 버전, 기본값, 데이터 시점과 평가 결과를 기록하고 변경 뒤 같은 시험을 반복한다.
- 판단 근거 보존: 성공 사례만 남기지 말고 실패 입력과 원인 가설, 수정 전후 수치를 함께 저장한다. 그래야 담당자가 바뀌거나 모델이 교체되어도 ‘탈옥 공격’에 대한 선택을 다시 검증할 수 있다.
- 재검토 조건 지정: 데이터 분포, 모델 버전, 비용 구조 또는 정책이 바뀌면 이전 결론을 그대로 재사용하지 않고 같은 기준으로 다시 평가한다.
학습 체크
섹션 제목: “학습 체크”- 이 개념의 입력과 출력 또는 적용 대상을 한 문장으로 구분할 수 있는가?
- 환각, 프롬프트 인젝션와 어떤 선후 관계가 있는지 설명할 수 있는가?
- 이 문서의 주의점을 실제 모델·데이터·API 선택에 적용할 수 있는가?
문서 관계
섹션 제목: “문서 관계”선행 개념
섹션 제목: “선행 개념”관련 문서
섹션 제목: “관련 문서”이 문서를 가리키는 문서
섹션 제목: “이 문서를 가리키는 문서”이 문서를 포함하는 코스
섹션 제목: “이 문서를 포함하는 코스”참고와 다음 학습
섹션 제목: “참고와 다음 학습”참고 문헌
섹션 제목: “참고 문헌”- NIST AI 100-2e2023: Adversarial Machine Learning — standard
- OWASP LLM01: Prompt Injection — documentation
- Prompt injection — Wikipedia — encyclopedia
코스에서 계속 읽기
섹션 제목: “코스에서 계속 읽기”- 신뢰할 수 있는 AI: 다음 문서 — 가드레일
- AI 보안과 레드팀: 다음 문서 — 에이전트 보안