DonkAI

OWASP LLM 애플리케이션 상위 10개 항목(2025)을 위한 실습 랩 - 실제 LLM이 필요하지 않습니다.

DonkAI는 단일 명령어로 실행할 수 있는 의도적으로 취약한 웹 애플리케이션으로, LLM 통합 시스템이 실제로 어떻게 공격받는지 직접 경험하며 학습할 수 있습니다. OWASP LLM 상위 10개 카테고리 각각은 최소한 하나의 플레이 가능한 챌린지로 제공되며, 설명서, 페이로드 편집기, 우회해야 할 능동적 방어, 점진적 힌트, 사용자별 시도 기록이 포함됩니다. 단순한 고정된 연습 세트를 넘어 확장 가능한 교육 랩으로, 모듈식 아키텍처(카테고리당 하나의 파일, 백엔드 및 프론트엔드)를 통해 새로운 취약점 추가, 기존 방어 강화, 워크숍, 강좌, CTF를 위한 완전히 새로운 트랙 구축이 용이합니다.

경고 이 애플리케이션은 의도적으로 실제 공격 표면(프롬프트 인젝션, IDOR, SQL 인젝션, 하드코딩된 자격 증명 등)을 노출합니다. 반드시 격리된 랩 환경, 가급적 전용 가상 머신 내에서만 실행해야 하며, 공개 인터넷에 배포해서는 안 됩니다.

존재 이유

OWASP LLM 애플리케이션 상위 10개 항목은 위험을 매핑하고 이에 대해 논의할 용어를 제공하며, LLM 보안에 종사하는 모든 사람에게 필수적인 읽을거리입니다. DonkAI는 그 작업의 실습형 확장판으로 설계되었습니다: 직접 시도해보고, 가상이지만 현실적인 챗봇을 상대로 성공하는 모습을 보고, 무엇이 작동했는지와 실제 시스템이 이를 어떻게 방어할지 설명하는 디브리핑을 읽을 수 있는 작고 결정론적인 놀이터입니다. 실제 LLM은 존재하지 않으며, 전체 스택은 규칙 기반이므로 랩은 저렴하고 오프라인에서도 잘 작동하며 재현 가능합니다.

빠른 시작

다음 두 명령어로 전체 스택을 클론, 빌드, 실행하세요:

git clone https://github.com/OWASP/DonkAI.git && cd DonkAI
docker compose up --build

그런 다음 **http://localhost:3000**을 열고 alice / password123으로 로그인한 후 왼쪽의 OWASP 패널에서 첫 번째 챌린지를 선택하세요.