agentshield-ai/sigma-aiAI 에이전트 보안 모니터링을 위한 Sigma 탐지 규칙
이 저장소는 AI 에이전트가 공격받거나 조작될 때 이를 식별하는 데 도움이 되는 탐지 규칙을 포함하고 있습니다. 일종의 "위협 시그니처" 라이브러리로 생각하면 됩니다. 각 규칙은 에이전트의 로그 데이터와 일치할 때 의심스러운 무언가가 발생하고 있음을 알리는 패턴을 설명합니다.
AgentShield는 AI 에이전트를 위한 오픈 소스 보안 계층입니다. 실시간으로 에이전트 동작을 모니터링하고 이러한 Sigma 규칙을 사용하여 프롬프트 인젝션, 데이터 도난, 도구 중독, 권한 상승과 같은 적대적 공격을 피해가 발생하기 전에 탐지합니다.
Sigma는 사이버 보안 업계에서 탐지 규칙을 작성하기 위해 사용되는 개방형 표준입니다. 안티바이러스 시그니처가 컴퓨터에 "이 파일은 악성입니다"라고 알려준다면, Sigma 규칙은 보안 플랫폼에 "로그에서 이 활동 패턴이 의심스럽습니다"라고 알려줍니다.
Sigma 규칙은 짧은 YAML 파일이며, 다음과 같은 내용을 담고 있습니다: "로그에서 이 패턴이 보이면 경고를 발생시켜라." 예를 들어, 단순화된 규칙은 다음과 같을 수 있습니다:
IF 로그 이벤트가 user_input이고
AND 메시지에 "ignore previous instructions"가 포함되어 있으면
THEN 프롬프트 인젝션에 대한 심각한 경고를 발생시킴
Sigma는 벤더 중립적 표준이기 때문에 이 규칙들은 AgentShield뿐만 아니라 Sigma 호환 탐지 엔진에서도 작동합니다. 따라서 보안 팀은 벤더 종속 없이 기존 도구에 이러한 규칙을 통합할 수 있습니다.
누군가 에이전트의 지침을 무시하려고 시도할 때 — 직접적으로 ("이전 지침을 무시하세요"라고 입력) 또는 간접적으로 (에이전트가 읽는 문서에 지침을 숨겨서) 발생합니다.
에이전트가 속아서 민감한 데이터를 공격자에게 보낼 때 — HTTP 업로드, DNS 터널링, 숨겨진 마크다운 이미지 또는 스테가노그래피 기법을 통해 발생합니다.
MCP 도구 설명에 악성 메타데이터가 숨겨져 있거나, 도구가 신뢰를 얻은 후 동작을 변경할 때 ("러그 풀" 공격) 발생합니다.
에이전트가 SSH 키, API 토큰, 클라우드 자격 증명 또는 비밀을 포함하는 환경 변수와 같은 민감한 파일에 접근할 때 발생합니다.
에이전트가 의도보다 더 많은 접근 권한을 얻으려고 시도할 때 — sudo, 컨테이너 탈출, 클라우드 IAM 조작 또는 시스템 파일 변조를 통해 발생합니다.
공격자가 장기적인 접근을 유지하려고 시도할 때 — 크론 작업, 셸 프로필 수정, 실행 에이전트 또는 에이전트 메모리 중독을 통해 발생합니다.
에이전트가 속아서 악성 스크립트를 다운로드하여 실행하거나, 리버스 셸을 설정하거나, 난독화된 명령을 실행할 때 발생합니다.
에이전트가 대상 환경을 매핑하기 위해 네트워크 스캔 또는 DNS 열거를 수행할 때 발생합니다.
에이전트가 보안에 민감한 구성 파일을 수정하여 방어를 약화시킬 때 — 자동 승인 설정, MCP 구성 또는 AI 어시스턴트 규칙 파일을 통해 발생합니다.
신뢰할 수 없는 소스(직접 URL, GitHub 리포지토리 또는 tarball 아카이브)에서 패키지나 스킬이 설치될 때 발생합니다.
rules/
└── ai_agent/
├── ai_agent_prompt_injection_direct.yml
├── ai_agent_credential_access.yml
├── ai_agent_mcp_tool_poisoning.yml
└── ... (모든 규칙이 하나의 플랫 디렉토리에 있음)
규칙은 SigmaHQ 규칙에 따라 제품(ai_agent)별로 구성됩니다. 각 규칙의 특정 위협 범주는 디렉토리 구조가 아닌 규칙의 YAML 메타데이터(MITRE ATT&CK 태그 및 logsource 필드)에 포함됩니다. 이 플랫 레이아웃은 저장소를 단순하게 유지하고 규칙이 여러 공격 범주에 걸쳐 있을 때 모호함을 방지합니다.
# 규칙 저장소 클론
git clone https://github.com/agentshield-ai/sigma-ai.git
# AgentShield 엔진과 함께 사용
export AGENTSHIELD_AUTH_TOKEN="replace-with-at-least-32-characters"
agentshield serve --rules ./sigma-ai/rules --port 8433
# 규칙 검증
agentshield rules validate --path ./sigma-ai/rules
이 규칙들은 표준 Sigma 형식을 따르므로 Sigma 호환 도구와 함께 사용할 수 있습니다:
# sigma-cli로 검증
sigma check rules/
# 다른 형식으로 변환
sigma convert -t <target> rules/ai_agent/
아래는 Sigma 규칙의 구조를 보여주는 완전히 주석 처리된 예제입니다. 모든 필드는 평이한 영어로 설명되어 있습니다.
title: Direct Prompt Injection Attempt # 사람이 읽을 수 있는 이름
id: eddcdc94-698c-577f-900d-28b1b5491a80 # 고유 식별자 (UUID v5)
related: # 관련 규칙에 대한 링크
- id: agent-prompt-injection-direct-001 # 대체하는 이전 ID
type: obsoletes
status: stable # 성숙도 수준 (아래 참조)
description: | # 이 규칙이 탐지하는 내용
Detects direct prompt injection attempts in AI agent inputs containing
common jailbreak phrases, system override commands, and policy manipulation
structures. These patterns indicate attempts to compromise agent behaviour
through malicious instructions.
references: # 추가 자료
- https://owasp.org/www-project-top-10-for-large-language-model-applications/
author: AgentShield # 이 규칙을 작성한 사람
date: "2026-02-16" # 최초 작성일
modified: "2026-02-24" # 마지막 변경일
tags: # MITRE ATT&CK 매핑
- attack.initial_access
- attack.t1190
logsource: # 예상되는 로그 형식
product: ai_agent
category: agent_events
detection: # 일치 로직
selection_jailbreak_keywords:
event_type: user_input
message|contains:
- 'ignore previous instructions'
- 'developer mode'
condition: selection_jailbreak_keywords
falsepositives: # 알려진 정상 트리거
- Legitimate AI safety research
level: critical # 심각도 (critical/high/medium/low)
각 섹션의 의미는 다음과 같습니다:
product: ai_agent 및 category: agent_events로 AI 에이전트 이벤트 로그를 대상으로 함을 의미합니다.selection_* 블록은 조건 집합을 정의하고, condition 필드는 부울 논리(and, or, not)를 사용하여 이를 결합합니다.critical, high, medium 또는 low.| 수준 | 의미 |
|---|---|
| stable | 표준 Sigma 구문만 사용합니다. 탐지 로직이 잘 확립되고 현장에서 테스트되었습니다. 프로덕션 사용에 적합합니다. |
| test | 탐지 로직은 건전하지만 AgentShield 엔진이 필요한 사용자 정의 확장 필드(예: time_window 또는 cross_plugin_data_flow)를 사용합니다. 다른 플랫폼에 맞게 조정이 필요할 수 있습니다. |
| experimental | 비표준 필드에 크게 의존하거나 엔진 제한 사항에 대한 해결 방법에 의존합니다. 탐지 엔진이 발전함에 따라 변경될 것으로 예상됩니다. |
일부 규칙은 표준 Sigma 사양을 넘어서는 필드를 사용합니다. 이러한 필드는 AgentShield 탐지 엔진이 필요하며 각 규칙에 인라인 주석으로 명확하게 표시됩니다.
time_window — 순차적 이벤트를 상관 분석하기 위한 시간 창 (예: '60s')time_between — 두 관련 이벤트 사이의 최대 시간cross_plugin_data_flow — 다른 플러그인 간의 데이터 흐름 감지suspicious_data_pattern — 엔진이 식별한 의심스러운 데이터 패턴 플래그 지정actual_behavior_matches_description — 도구의 실제 동작이 설명과 일치하는지 확인description_similarity_score — 도구 설명 간 유사도 점수description_length_ratio — 새 설명 길이와 원본 설명 길이의 비율byte_size_to_visible_char_ratio — 바이트/표시 문자 비율 불일치를 통해 숨겨진 콘텐츠 감지visibility_analysis — 숨겨진 텍스트에 대한 콘텐츠 분석query_length — DNS 쿼리 문자열 길이subdomain_count — DNS 쿼리의 서브도메인 수domain_entropy — 도메인 이름의 Shannon 엔트로피destination_discovered_recently — 대상 호스트가 최근에 발견되었는지 여부sensitive_files — 작업에 민감한 파일이 포함되는지 여부parent_agent_context — 상위 에이전트의 컨텍스트hosts_count — 작업에 관련된 호스트 수credential_source — 사용 중인 자격 증명의 출처size_increase_ratio — 수정 후 파일 크기 변경 비율이러한 필드를 사용하는 규칙은 엔진별 지원이 필요함을 나타내기 위해 test 또는 experimental 상태로 표시됩니다.
기여를 환영합니다! 다음 지침을 따라주세요:
test 또는 experimental로 시작하세요.ai_agent_<description>.ymlrules/ai_agent/에 배치git checkout -b feat/new-detection-rule).test 또는 experimental로 표시된 규칙은 AgentShield 탐지 엔진이 필요한 사용자 정의 확장 필드를 사용합니다. 표준 Sigma 도구는 이러한 필드를 무시합니다.not 수정자 — 소수의 규칙은 모든 Sigma 엔진에서 지원되지 않을 수 있는 not 수정자를 사용합니다. 이러한 규칙에는 해결 방법으로 대체 탐지 로직이 포함됩니다.