완전 대응 하나, 부분 대응 아홉, 얼버무린 것은 없습니다. 열 가지 모두 완전하다고 주장하는 페이지가 있다면, 그것이야말로 저희가 여러분에게 믿지 말라고 말하는 마케팅 그 자체일 것입니다. 아래 커버리지 수준은 이를 반박하는 것이 임무였던 별도의 회의론자의 검토를 통과했으며, 방어 메커니즘이 기반 시스템에는 존재하지만 배포된 에이전트가 아직 이를 물려받지 않은 경우에는 해당 행에 그렇게 표시해 두었습니다.

위험	커버리지	CIRIS의 대응 방식
ASI01 에이전트 목표 탈취	부분	다층 방어: 가져온 스킬과 메시지에 대한 프롬프트 인젝션 스캔, 시각 인젝션 격리(양심 평가기는 원본 이미지 바이트를 절대 보지 않음), 그리고 실행 전 모든 결과 행동을 사용자의 원래 의도와 다시 대조하는 양심 파이프라인이 있습니다. 한계: 입력 스캔은 패턴 기반이며, 검색된 데이터와 지시사항을 형식적으로 분리하지는 않습니다.
ASI02 도구 오남용	부분	CIRISServer는 서버가 강제하는 절대 금지 목록과 함께 기능 동사 허용/거부 목록을 제공하며, 작업이 실행되기 전에 확인됩니다. 이를 통해 위임된 에이전트가 부여받지 않은 파괴적 작업을 호출할 수 없습니다. 유의사항: 이는 현재 패브릭 계층을 보호하며, 배포된 에이전트 자체의 LLM 도구 호출은 아직 통제하지 않습니다. 에이전트로의 상속은 계획된 단계입니다.
ASI03 신원 및 권한 남용	부분	기반 시스템에는 범위가 제한되고, 위임되며, 취소 가능한 권한이 있습니다. 서명된 엣지에 담긴 제약, 최고 권한의 재위임을 막는 절대 금지 목록으로 권한이 확대될 수 없게 하며, 강화만 가능한 승인, 즉각적인 취소가 포함됩니다. 유의사항: 현재는 패브릭의 소유자 작업 영역에서 강제되며, 배포된 에이전트로의 상속은 계획된 단계입니다.
ASI04 에이전틱 공급망	부분	CIRISVerify의 포스트 퀀텀 서명 모듈 매니페스트(전체 파일 트리 해시에 대한 Ed25519 + ML-DSA-65)를 통한 빌드 무결성, 그리고 연합 구성 요소를 위한 서명되고 증명된 신원이 있습니다. 한계: CIRIS 자체의 빌드 및 모듈 체인을 다루며, 임의의 서드파티 MCP 서버는 다루지 않습니다.
ASI05 예상치 못한 코드 실행	부분	의미론적 양심 게이트(엔트로피, 일관성, 최적화 거부권)가 모든 도구 행동이 실행되기 전에 작동하며, 불확실할 경우 사람에게 위임됩니다. 한계: 이는 의미론적 검토이며, 결정론적 코드 샌드박스는 아닙니다.
ASI06 메모리 및 컨텍스트 오염	부분	그래프 메모리에 대한 모든 쓰기는 조용한 부수 효과가 아니라, 범위가 제한되고 버전이 관리되는 그래프에 대한 통제되고 양심 검토를 거친 행동입니다. 따라서 오염을 일으키는 쓰기 자체가 감사 가능한 결정입니다. 한계: 검색된 콘텐츠에 대한 신뢰도 평가는 부분적입니다.
ASI07 안전하지 않은 에이전트 간 통신	부분	CIRISEdge는 모든 에이전트 간 메시지를 7단계 파이프라인을 통해 검증하며, 이는 하이브리드 Ed25519 + ML-DSA-65 서명 검증으로 마무리됩니다(크기 제한, 타입 지정 역직렬화, 스키마 허용 목록, 대상 키 확인, 재전송 방지 윈도우). 한계: 연합 전송 계층은 아직 구축 중입니다.
ASI08 연쇄 장애	완전	세 개의 독립된 계층에서 제한됩니다. 위험한 호출을 감싸는 서비스별 회로 차단기(닫힘/열림/반열림), 잘못된 행동이 전파되기 전에 이를 막는 양심 파이프라인, 그리고 50개에서 400개 노드에 걸쳐 그룹 간 유출이 0으로 측정된 메시 격리입니다.
ASI09 인간-에이전트 신뢰 악용	부분	양심 파이프라인은 사람 검토자에게 보여지는 이유를 포함해, 에이전트 자신의 설명 텍스트를 사람이 보기 전에 과신과 조작 여부에 대해 채점합니다. 한계: 검토 대상과 같은 모델 계열로 감사를 수행합니다.
ASI10 불량 에이전트	부분	세 개의 계층이 있습니다. 여섯 개의 양심이 모든 중대한 행동이 실행되기 전에 이를 통제하고, 해시 체인으로 서명된 감사 기록이 은폐를 사후에 탐지 가능하게 만들며, 안전 실패형 킬 스위치는 지정된 사람들이 정렬을 벗어난 에이전트를 정지시킬 수 있게 합니다. 한계: 미묘하게 정렬을 벗어났지만 일관성 있는 에이전트를 잡아내는 데는 본질적인 한계가 있습니다.

에이전틱 애플리케이션을 위한 OWASP 톱 10, 2025년 12월 발행. 2026년 7월 기준 CIRIS에 매핑됨. 잘못된 항목이 있으면 알려주시면 수정하겠습니다.

출처

ASI01 에이전트 목표 탈취CIRISAgent skill-import SECURITY.md + conscience pipeline
ASI02 도구 오남용CIRISServer auth/gate.rs + DELEGATION_CONSTRAINTS.md (shipped 0.5.72)
ASI03 신원 및 권한 남용CIRISServer auth/gate.rs (never-list, tighten-only) + adoption plan
ASI04 에이전틱 공급망CIRISVerify Threat Model, §3.4 Supply Chain
ASI05 예상치 못한 코드 실행CIRISAgent conscience/core.py (semantic action gates)
ASI06 메모리 및 컨텍스트 오염CIRISAgent ciris_engine (governed graph memory)
ASI07 안전하지 않은 에이전트 간 통신CIRISEdge README (verify-before-dispatch pipeline)
ASI08 연쇄 장애CIRISAgent circuit_breaker.py + CIRISServer measured mesh isolation
ASI09 인간-에이전트 신뢰 악용CIRISAgent epistemic-humility conscience prompt
ASI10 불량 에이전트CIRISVerify HUMANITY_ACCORD kill switch + conscience pipeline

이 분류 체계는 하나의 관점일 뿐입니다. AI 책임성에 대한 모든 접근 방식 가운데 CIRIS가 어디에 위치하는지, 그리고 킬 스위치를 어떻게 독립적으로 검증할 수 있는지 확인해 보세요.

전체 지형도 킬 스위치 검증하기 OWASP 출처