정의·비교·구조·절차·설계·정책형

정의·비교·구조·절차·설계·정책형

같은 주제라도 물은 일이 바뀌면 답이 바뀐다

RAG가 무엇인지 묻는 문제와 RAG 도입안을 설계하라는 문제에 같은 답을 썼다고 하자. 검색과 생성의 정의는 둘 다 필요할 수 있다. 그러나 설계 문제에는 어떤 자료·권한·상태·평가·운영을 선택했는지까지 있어야 한다. 정의를 길게 반복하는 것은 설계가 아니다.

읽는 순서: CW-1의 대상·행동·조건·산출물에서 조건을 확인하고 CW-A1의 검색 후 권한 철회의 이유를 따라간다. 자체 문제는 먼저 답한 뒤 풀이를 펼친다. 조건 변경에서는 결과와 유지되는 원리를 함께 적고 오답 교정으로 돌아간다.

문제의 요구어는 대상과 할 일, 조건과 산출물을 구별했다. 이제 이미 배운 RAG·에이전트, 기술평가, 공공서비스를 사용해 실제 답안의 구조를 바꾼다. 이 절의 문항은 공식 기출이 아니라 요구어를 구별하기 위해 자체 작성한 연습문제다.

1. 문제를 네 칸으로 분해한 뒤 누락을 찾는다

연습 CW-1은 다음과 같다.

공지 변경이 잦은 기관의 안내 서비스에 RAG 도입을 검토한다. RAG와 미세조정을 비교하고, 권한이 다른 두 사용자 집단을 위한 구조와 운영 절차를 설계하시오. 답이 없는 질문과 공지 삭제의 처리도 포함하시오.

문제의 첫 문장은 배경이지 전체 요구가 아니다. ‘RAG 도입을 검토한다’만 읽고 장점을 쓰면 비교·두 권한·삭제가 빠진다. 반대로 나열된 모든 단어에 같은 분량의 설명을 붙이면 중요한 관계를 쓸 공간이 사라진다. 답안의 중심은 공지·권한이 바뀌어도 적절한 근거를 사용하는 구조다.

문제에 없는 지연·가격·모델 성능은 주어진 사실처럼 만들지 않는다. 필요한 가정은 표시하고, 그 가정이 달라지면 결론도 바뀔 수 있음을 남긴다. ‘아직 정보가 없으므로 아무것도 설계할 수 없다’고 끝내는 대신 확인된 조건 안에서 가능한 구조와 추가 확인을 구별한다.

이 절의 설계안은 공개 자료와 내부 자료에 각각 접근 범위가 있고, 응답을 내보낼 때에도 현재 권한을 확인할 수 있다고 가정한다. 두 집단의 이름만 안다고 모든 구성원의 권한이 같지는 않다. 권한을 확인할 수 없는 요청에는 내부 자료를 제공하지 않는 것으로 정한다. 이는 사례에서 선택한 운영 규칙이며, 모든 조직의 시간·보존·접근 정책을 대신하는 법적 요건은 아니다.

2. 여섯 요구어가 기대하는 증거는 다르다

문항 유형과 논점군은 요구어·대상·조건·필요 증거·답안 구조가 같은 문제를 대표 유형으로 묶어, 어떤 논점을 정의·비교·구조화·절차화·설계·정책 판단해야 하는지 연결하는 틀이다.

이 표는 공식 채점표가 아니다. 같은 문제에 여러 요구어가 섞이면 각 요구를 처리하되 같은 내용을 불필요하게 반복하지 않는 작성 도구다. 비교의 결론을 설계의 선택 이유로 이어 쓰는 식으로 연결한다. 실제 정책 문항이 기존 정책의 비교·평가만 요구한다면 새로운 정책 전체를 만드는 답으로 바꾸지 않고 해당 행동을 수행한다.

3. 정의형: 넓은 분야에서 구별되는 핵심을 쓴다

연습문제 D는 ‘RAG의 개념과 한계를 설명하시오’다. 앞 정의를 사용할 때는 외부 근거의 검색과 생성 문맥의 결합을 먼저 적어야 한다. ‘AI를 이용한 최신 기술’처럼 무엇이 다른지 설명하지 않는 문장은 정의의 역할을 하지 못한다.

요구에 맞춘 짧은 응답 예

RAG는 질문과 관련된 외부 자료를 검색하여 생성 과정의 문맥으로 제공하는 방식이다. 원문·색인·접근권한·적용일이 관리되어야 현재 사용 가능한 근거를 제공할 수 있다. 검색한 자료가 충분하지 않거나 생성 모델이 근거를 잘못 해석할 수 있으므로 검색 성공과 최종 답변의 정확성을 구별한다. 출처 링크가 있다는 사실만으로 그 링크가 실제 문장을 뒷받침한다고 판단하지 않는다.

이 응답에는 모든 검색 알고리즘의 상세나 에이전트 도구의 종류가 없다. 짧은 정의형에서 핵심을 지우지 않고 범위를 지킨 것이다. 다만 문제에서 검색 구조·평가 수식을 별도로 요구했다면 해당 내용을 추가해야 한다.

4. 비교형: 같은 행에서 같은 질문에 답한다

연습문제 C는 ‘RAG와 미세조정을 비교하고 공지 변경에 적합한 방법을 제시하시오’다. RAG의 장점 옆에 미세조정의 학습 절차를 적으면 축이 맞지 않는다.

비교의 결론 예

이 서비스에서는 자주 바뀌는 공지의 원천·적용일·권한을 먼저 관리하고 RAG를 우선 검토한다. 미세조정은 형식·과제 적응의 필요가 별도로 확인될 때 비교하며, 최신성 확보를 위해 모든 공지를 모델에 다시 학습시키는 방식은 기본으로 두지 않는다. 실제 비용·정확성 우열은 같은 질문·범위의 평가가 필요하다.

어느 방식이 더 빠르고 싸다고 단정하지 않았다. 가격·자료 규모·성능이 주어지지 않았기 때문이다. 비교는 모르는 값을 채워 승자를 만드는 일이 아니라 확인된 차이가 선택에 주는 영향을 설명하는 것이다. 사용자별 비밀을 학습한 공통 모델을 그대로 공개하는 문제는 검색 필터의 유무와 별개의 검토 대상이다.

5. 구조형: 상자보다 경계와 화살표의 뜻을 설명한다

연습문제 S는 ‘권한이 다른 사용자에게 제공하는 RAG의 참조구조를 설명하시오’다. 여기서 화살표는 자료 또는 처리결과의 이동이다. 승인권을 뜻하는 선과 섞지 않는다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

자료 수집·보관의 허용과 요청자의 접근을 별도로 확인한다. 권한을 확인할 수 없는 요청에는 내부 자료를 제공하지 않는다. 검색·문맥·응답·기록에 허용 범위를 적용하고, 접근 가능한 승인 자료의 충분한 근거와 적용 조건이 있을 때만 초안을 만든다. 보류는 기관 전체에 자료가 없다는 뜻이 아니다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

위 그림의 초안과 보류를 이 경로로 연결한다. 내용·인용·원문 상태·수신자의 현재 권한을 확인하며, 앞선 권한 검증을 응답 전 재확인으로 대체하지 않는다. 철회·삭제·변경·미확인이면 해당 응답을 보류하고 공개 가능한 이유·문의 경로만 안내한다. 비공개 문서의 존재·제목·담당 정보를 거절 문구로 노출하지 않는다.

검색 결과를 화면에서만 숨기면 이미 모델이나 로그가 금지된 자료를 받았을 수 있다. 따라서 사용자의 접근 범위가 검색·문맥·출력·기록까지 어디에 적용되는지 설명한다. 자료 담당의 삭제·권한 변경은 색인·캐시의 상태와 연결한다. OWASP는 RAG의 벡터·임베딩에서 권한 통제가 맞지 않을 때 정보가 노출될 수 있음을 경고한다.¹

그림의 ‘확인’ 상자가 실제로 무엇을 확인하는지 본문에 적는다. 원문 존재·적용일·충돌·인용의 일치와 현재 권한을 본다는 설명이 없으면 독자는 상자의 이름만 외우게 된다. 구조도는 복잡한 업무를 단순하게 보여 주지만 필요한 실패 경계를 없애는 도구가 아니다.

작은 반례 CW-A1: 검색할 때는 허용됐지만 응답 전에는 철회됐다

10:00에 내부 사용자 U가 문서 D를 검색했고, 10:01에 담당자가 U의 D 접근권한을 철회했으며, 10:02에 초안이 준비됐다고 가정하자. 이 사례의 규칙은 응답 제공 시점의 권한을 사용한다. 10:00의 허용 결과만 재사용하면 현재 제공하면 안 되는 내용을 내보낼 수 있다. 응답과 인용을 내보내기 전에 권한·원문 상태를 다시 확인하고, 철회됐거나 확인할 수 없으면 해당 근거의 응답을 보류한다.

다시 확인한 직후 실제 내용을 보내기 전에 권한이 철회될 수도 있다. 10:02에 권한을 확인하고 10:02:01에 철회된 뒤 10:02:02에 전송했다면, 검사 시점의 허용만으로 제공 시점의 허용을 증명할 수 없다. 이는 검사와 사용 사이에 상태가 바뀌는 경쟁 조건을 이 사례에 적용한 반례다.² 서버에서 권한 판정과 자료 제공의 경계, 철회가 효력을 갖는 시점을 정하고 그 조건이 실제 전달 경로에서도 집행되는지 확인해야 한다. 재검사 상자 하나가 그 보장을 자동으로 구현하지는 않는다.

캐시와 대화 이력의 재사용에도 같은 경계를 적용한다. 내부 사용자의 답을 질문 문자열이 같다는 이유만으로 외부 사용자에게 돌려주지 않는다. 이미 권한이 있을 때 제공한 정보까지 회수됐다고 보장할 수는 없으므로, 이후의 재노출 통제와 과거 제공에 대한 조사·정정을 구별한다.

보류 안내도 정보 노출의 경로다. 권한 없는 이용자에게 ‘비공개 인사문서 D에 답이 있지만 보여 줄 수 없다’며 제목·문서 존재·담당자 정보를 드러내지 않는다. 이용자에게는 공개 가능한 이유와 일반 문의 경로를, 권한 있는 내부 처리자에게는 상세 원인·영향 범위를 각각 제공한다. 답이 없다는 판단도 ‘이번에 접근 가능한 승인 자료로 충분한 근거를 찾지 못함’이라는 범위로 표현하며 기관 전체에 그런 자료가 없다고 단정하지 않는다.

6. 절차형: 정상·실패·보완이 다른 경로를 가진다

연습문제 P는 ‘공지 삭제를 생성형 안내에 반영하는 절차를 설명하시오’다. ‘삭제 요청→처리→완료’만 쓰면 핵심이 빠진다. 무엇이 삭제 대상인지와 어느 사본·응답까지 확인해야 하는지를 정한다.

삭제 요청이 들어왔다는 이유로 법적으로 보존해야 할 자료까지 무조건 지우지 않는다. 반대로 보존 의무가 일부 있다는 이유로 모든 서비스에서 계속 검색하게 하지 않는다. 보존과 활용의 범위를 분리하고 실제 근거로 판단한다. 같은 문서의 폐기된 판본과 과거 사건의 근거로 보존할 판본도 혼동하지 않는다.

실패하면 어느 단계의 어떤 대상을 남겼는지 기록한다. 상위 작업이 성공했다고 미확인 사본을 자동 완료로 채우지 않는다. 인계는 담당 작업의 전달이지 삭제 완료의 대체 증거가 아니다. 정한 삭제·활용 중지 결과가 확인돼야 그 항목을 완료로 표시한다. 확인을 넘긴 항목에는 미완료 상태·담당·다음 확인과 현재 제한을 남긴다.

원문이나 색인을 지웠다는 사실만으로 학습된 매개변수의 영향까지 없어졌다고 보지 않는다. 실제로 학습에 사용됐는지부터 확인하고, 해당 모델의 이용 범위·교체·재학습·검증을 별도로 판단한다. 모든 삭제 요청에 모델 재학습을 일괄 요구하는 것도 아니다. 현재 구조에서 무엇을 저장·학습·재사용했는지에 따라 필요한 조치가 달라진다.

7. 설계형: 선택한 결과와 기각한 대안을 명시한다

연습문제 G는 ‘두 권한 집단의 공지 안내 시스템을 설계하시오’다. 답안은 앞으로 해야 할 업무 목록보다 구체적인 선택을 보여야 한다.

선택안 CW-G1은 공개 안내와 내부 담당 자료의 접근 범위를 분리하고, 질문자의 권한으로 검색한 근거만 생성에 제공한다. 충분한 자료가 없거나 적용일·조건이 충돌하면 보류한다. 초기에는 해당 근거와 수신자 범위를 확인할 권한이 있는 담당자가 검토한 답만 안내하고, 계정 변경·자동 발송 도구는 주지 않는다.

자료 담당은 원문·판본·권한·삭제를, 기술 담당은 검색·프롬프트·도구·기록을, 업무 책임자는 범위와 확대·중단을 맡는다. 검토자에게는 근거 확인·수정·거부와 필요한 시간이 있어야 한다. 검토자가 볼 수 있는 자료와 최종 이용자가 받을 수 있는 자료도 구별한다. 내부 담당자의 확인을 받았다는 이유로 외부 이용자의 권한이 생기지는 않는다.

테스트는 정상 질문뿐 아니라 권한 변경·답 없음·공지 삭제·잘못된 인용·응답 소실을 포함한다. CW-A1처럼 검색과 응답 사이의 권한 철회, 내부 응답 캐시의 외부 재사용, 이미 만들던 초안의 원문 폐기, 자세한 거절 문구의 정보 노출을 실제 확인 항목으로 둔다. 시험을 계획했다는 사실을 시험 통과 기록으로 바꾸지 않는다.

모든 자료를 한 번에 모델 입력으로 보내고 마지막 화면만 가리는 안은 기각한다. 자료가 많아지면 정확할 것이라는 기대보다 접근 경계의 실제 작동을 우선한다. 작은 범위에서 근거·권한·검토 공수를 확인하고 실제 필요가 확인될 때만 기능을 넓힌다.

8. 정책형: 대상의 행동·환경이 어떻게 달라지는가

정책 문제는 ‘AI 도입을 촉진하시오’에서 끝나지 않는다. 정책문제와 변화경로, 정책 수단의 비교를 적용해 왜 개입하며 누가 어떤 장벽 때문에 행동하지 못하는지 설명한다.

자체 정책 사례 CW-POL은 공공 안내의 접근성 부족과 반복 확인 부담을 줄이는 것이 목표다. ‘AI 사용 기관 수’는 활동·산출 지표일 수 있지만 이용자가 정확히 안내받고 업무를 완료했는지의 결과를 대신하지 않는다.

교육·문서 정비·공통 보안·접근성 지원·제한 기술시험의 수단을 비교한다. 자료가 정리되지 않은 기관에는 모델 구입비만 주기보다 원문·권한·업무 정비를 지원하는 안이 필요할 수 있다. 현장 문제와 지원 자격·분담·집행·점검을 연결한다. 특정 업체 사용을 성과로 고정하지 않는다.

평가에서는 도입 수 외에 오안내·미완료·도움 채널·담당자 시간·총비용을 본다. 지원 전후 변화만으로 정책 효과를 확정하지 않고 비교조건·다른 변화·누락을 확인한다. 접근성 악화·금지 자료 노출·실제 효과 부재에서는 지원방식과 확대를 재검토한다. 이것이 구성요소가 아니라 정책의 작동경로를 쓴 답안이다.

9. 복합 문제의 요구를 답안 위치에 연결한다

CW-1의 요구를 8개로 나누었다고 하자. 분류는 이 문제를 쓰기 위한 자체 편집 기준이며 공식 부분점수는 아니다. 같은 문장이 두 요구에 기여할 수 있지만, 키워드가 등장했다는 사실만으로 모두 충족했다고 표시하지 않는다.

초안에 완전한 연결이 5개, 제목만 있는 것이 2개, 누락 1개라면 제목 등장률은 7/8=87.5%, 이 기준의 내용 충족은 5/8=62.5%다. 공식 점수 62.5점을 예상한다는 뜻이 아니다. ‘삭제’라는 단어를 적고도 사본·진행 중 응답·후속 안내를 빠뜨렸다면 해당 요구가 끝난 것은 아니다.

이 여덟 항목은 같은 배점·위험도를 가진 척도가 아니다. 금지 정보의 노출과 비교표의 한 행 누락을 같은 1점으로 상쇄하지 않는다. 비율은 빠진 위치를 찾는 보조 수치이고, 핵심 원리·판단의 정확성과 필수 조건은 별도로 읽는다.

시간이 부족하면 요구가 빠지지 않는 최소 구조를 먼저 만들고 중요 관계부터 설명한다. 정의를 더 길게 써서 비교·설계를 쓰지 못하는 답보다 각 요구의 핵심을 정확히 연결한 답이 과제에 더 맞는다. 원리를 모르는 부분은 화려한 도식으로 가리지 말고 복습 위치를 남겨 학습한다.

10. 자체 10점 문제와 완성 답안

RAG와 미세조정을 공지 변경·근거 추적·권한의 관점에서 비교하시오.

10점 문제의 작성 과정과 완성 답안 보기

목차: 공통 비교축 → 변경 대응 → 근거 추적 → 권한 경계 → 선택 조건.

같은 공지·권한 조건의 비교표에서 같은 축으로 읽는다. RAG는 원문·조각·색인·캐시·검색과 근거 추적을 관리하고, 미세조정은 학습자료·매개변수·새 모델을 관리한다. 최신성·권한·평가 기준을 선택에 연결하되 실제 성능·비용 우열은 주어진 사실처럼 만들지 않는다.

문제 해석: 여섯 요구형 중 비교형이다. 각 기술의 정의를 따로 길게 쓰기보다 공통 축과 이 서비스의 선택 영향을 보여 준다.

완성 답안

RAG는 외부 자료를 검색해 생성 문맥에 제공하고, 미세조정은 추가 자료·목표로 모델 매개변수를 조정한다. 공지 변경에 RAG를 쓰면 원문·조각·색인·캐시의 갱신을 관리해야 하며, 미세조정에는 학습·평가·새 모델 관리가 필요하다. 공지의 사실과 적용일을 모델이 자동으로 최신화한다고 가정하지 않는다.

RAG는 검색한 근거와 원문 위치를 연결할 수 있지만 검색 누락·오독·잘못된 인용이 남을 수 있다. 미세조정 결과에도 원문 위치가 자동으로 붙는 것은 아니다. RAG의 사용자별 접근은 검색·문맥·응답·캐시 재사용에 반영하고, 매개변수가 사용자별 원문 권한을 자동 집행한다고 보지 않는다. 두 방식 모두 자료의 이용권과 평가가 필요하고 서로 결합할 수도 있다.

공지 변경이 잦고 근거를 제시해야 하는 이 서비스에서는 유효한 원문·권한 관리와 RAG를 우선 검토한다. 표현·과제 적응의 필요가 따로 확인되면 미세조정의 비용과 효과를 비교한다. 실제 성능·비용 우열은 같은 질문·자료·적용 범위에서 확인한다.

11. 자체 25점 문제와 완성 설계 답안

CW-1의 두 사용자 권한, 답이 없는 질문, 공지 삭제를 고려한 안내 구조와 운영안을 설계하시오.

25점 문제의 도식·선택 이유·완성 답안 보기

목차: 권한·원문 → 검색·생성 → 보류·확인 → 삭제·정정 → 운영·평가.

권한·충분성·현재 제공 조건의 두 흐름을 답안의 중심에 놓는다. 사용자 권한에서 허용 원문 검색·충분성 판단·초안으로 이어지고, 재확인·보류·정정을 원문 변경·삭제와 연결한다. 삭제·정정 절차에서는 색인·캐시·이력을 대사하고 미완료·담당·다음 확인을 남긴다. 현재 활용 중지와 보존, 과거 안내 정정과 학습 영향은 각각 실제 결과로 확인한다.

도식: 구조형 도식을 답안의 중심에 놓고, 정상·예외·변경의 설명을 붙인다. 그림을 다시 그릴 때 최초 권한 확인을 생성 뒤로 옮기지 않는다. 응답 전 재확인은 앞 경계의 보호를 대체하는 것이 아니라 처리 중 변화를 확인하는 추가 경계다.

완성 설계 답안

CW-G1은 공지의 유효한 근거를 찾고 담당자가 확인한 안내를 제공하는 구조다. 외부 사용자에게 허용된 공개 자료와 내부 담당자의 자료 범위를 구분한다. 공지가 자주 바뀌므로 원문·적용일·권한을 외부 자료로 관리하고 검색 기반 생성을 우선 선택한다. 미세조정은 표현·과제 적응이 추가로 필요한 경우에만 별도 평가하며, 모든 내부 공지를 공통 모델에 학습시키는 안을 기본으로 두지 않는다.

질문자와 업무 권한을 확인한 뒤 허용한 원문에서 검색·재정렬한다. 충분한 근거와 적용 조건이 일치하면 원문 위치를 포함한 초안을 생성하고, 권한 있는 담당자가 내용·인용을 확인한다. 응답 시점에도 수신자의 현재 권한과 원문 상태를 확인한다. 근거 부재·충돌·권한 미확인은 보류로 분리하고 공개 가능한 이유·문의 경로만 알린다. 비공개 문서의 제목·존재·담당 정보를 거절 문구로 유출하지 않는다. 초기에는 계정 변경·자동 외부 발송 권한을 주지 않는다.

자료 담당은 정식 원문 ID·판본·적용일·권한과 파생 조각·색인을 연결한다. 삭제·정정 요청은 승인 범위와 보존 근거를 확인하고 색인·캐시·대화·평가·현재 및 진행 중 안내의 영향을 추적한다. 원문이 폐기되거나 권한이 철회된 초안은 확인 없이 내보내지 않는다. 보존이 필요한 자료는 현재 활용에서 분리한다. 이미 잘못 안내한 대상은 정정·문의로 연결하며, 학습된 모델의 영향은 별도로 조사한다.

기술 담당은 모델·프롬프트·검색·권한·도구의 릴리스를, 검토자는 허용 범위의 근거 대조·수정·거부를, 업무 책임자는 범위·확대·중단을 맡는다. 검토자의 권한은 최종 이용자의 권한을 대신하지 않는다. 미완료 삭제를 담당자에게 인계해도 삭제 완료로 기록하지 않고 실제 결과·담당·다음 확인과 현재 제한을 남긴다. 검토에 필요한 시간·정보·권한을 확보하며 승인 버튼만으로 감독이 완료됐다고 보지 않는다.

평가는 검색 성공·근거 일치·적절한 보류·권한 위반·검토시간·총비용을 구별한다. 정상·다른 권한·권한 철회·캐시 재사용·답 없음·삭제·잘못된 인용·도구 실패를 승인된 시험에서 확인한다. 금지 자료 노출이나 삭제 미반영은 평균 품질로 상쇄하지 않고 관련 활용을 보류한다. 한정된 자료와 기능에서 실제 결과를 확인한 뒤 확대한다. 모든 자료를 넣고 마지막 화면만 숨기는 안과 유창한 답변 수로 성과를 판정하는 안은 기각한다.

12. 자기교정과 조건 변경

조건 1 — 문제에서 ‘비교’가 빠지고 ‘구조를 설명’만 남으면: 남길 구조 설명과 줄일 비교 내용을 고르고 남는 권한 조건을 설명한다.

조건 1의 풀이와 판단 이유 보기

비교표 전체를 그대로 쓰지 않는다. 필요한 선택의 짧은 근거만 남기고 역할·자료·권한·예외 흐름을 중심에 둔다. 단순 분량 감축이 아니라 수행할 행동이 달라진다. 두 권한 조건이 남았다면 검색 후 철회·응답 제공·보류 안내의 경계도 유지한다.

조건 2 — 공지가 고정되고 출력 형식 오류가 주된 문제로 바뀌면: 어떤 선택 근거가 사라지고 어떤 보호 경계는 유지되는지 설명한다.

조건 2의 풀이와 판단 이유 보기

잦은 원문 변경이라는 선택 근거가 약해진다. 프롬프트·규칙·미세조정의 비용과 표현 적응을 실제 평가한다. 이전 RAG 선택을 모든 문제의 정답으로 재사용하지 않는다. 자료가 고정돼도 사용자 권한은 변할 수 있으므로 권한 경계까지 제거하지 않는다.

조건 3 — ‘정책 효과를 평가하시오’가 추가되면: 활동 지표와 실제 결과를 구별해 평가에 추가할 내용을 작성한다.

조건 3의 풀이와 판단 이유 보기

사용자·기관의 변화경로, 결과 지표와 비교 조건을 더한다. 도입 수나 모델 정확도만으로 공공문제가 개선됐다고 결론 내리지 않는다.

면접으로 옮기는 짧은 연습

질문: “같은 주제의 답안을 문제마다 바꾸면 일관성이 떨어지지 않습니까?”

면접 응답 예와 근거 보기

응답 예: “정의와 원리는 같은 근거를 유지합니다. 달라지는 것은 질문이 요구하는 산출물과 적용 조건입니다. 정의형은 경계와 원리를, 설계형은 그 원리를 적용한 구성·권한·예외·검증을 보여 줍니다. 같은 기술을 다른 뜻으로 바꾸는 것이 아니라 같은 지식을 다른 판단에 사용하는 것입니다.”

후속 질문: “시간이 부족하면 무엇부터 줄이겠습니까?”

면접 응답 예와 근거 보기

응답 예: “문제에 직접 답하지 않는 역사·장점 반복과 중복 정의부터 줄입니다. 핵심 조건·계산의 가정·선택 이유·예외·결론은 남기고, 미완료 요구를 제목만 적어 처리한 것으로 세지 않겠습니다.”

근거·문항 성격·복습

요구어의 정식 설명은 문제의 요구어와 수행 동사를 사용한다. RAG·학습·권한·변경은 RAG와 에이전트와 데이터·AI 거버넌스, 정책은 디지털 정책과 산업정책의 본문·출처에 연결한다. 이 절은 새로운 제품 성능·법적 기한·공식 채점 기준을 주장하지 않는다. 여섯 요구형의 분류·CW-1/A1/G1/POL·8개 요구 대사표·문제·답안·면접은 자체 교육용 작성 도구다. 실제 기출의 회차·배점·공식 모범답안이나 합격 확률로 표시하지 않는다.

외부 교재가 없어도 앞 본문과 이 절의 풀이로 연습할 수 있도록 구체 응답을 작성했다. 이 풀이를 읽었다는 사실만으로 독립 시험 검토자·초보 독자의 검토나 제한시간 손글씨 검증이 완료되는 것은 아니다. 실제 확인한 범위와 결과를 구별한다.

회독의 핵심

아는 내용을 모두 쓰는 대신 물은 일을 빠짐없이 수행한다. 정의·비교·구조·절차·설계·정책이 요구하는 증거를 구별하고, 같은 원리에서 실제 선택과 예외·결과까지 연결한다. 요구어를 읽는 능력은 지식을 줄이는 요령이 아니라 지식을 정확히 쓰는 방법이다.

독립 연습 — 답안의 충족·실행 경계·정책 효과를 따로 판정하기

다음 문제와 배점 없는 충족 대사는 자체 학습 도구다. 제목·계획·계산 결과를 공식 채점, 실제 권한 집행이나 정책 효과의 실행 증거로 바꾸지 않는다.

문제 1 — 여덟 요구를 세 문단에 연결했지만 두 결론이 틀렸다

CW-1의 같은 여덟 요구를 쓰되 아래 초안에서 명시한 여섯 내용은 앞 본문 기준에 충분히 맞는다고 가정한다. 각 요구는 실제 내용을 만족해야 충족이며 하나의 문단이 여러 요구를 만족할 수 있다. 제목이나 같은 단어의 반복은 추가 점수가 아니다.

• 문단 가: 같은 공지·권한 조건의 공통축 비교와 그 조건에 연결한 선택 이유를 충분히 설명했다.
• 문단 나: 두 권한의 검색·문맥·응답 경계, 정상 흐름, 근거가 없는 때의 공개 가능한 보류 안내를 충분히 설명했다.
• 문단 다: 자료·기술·검토·확대의 담당과 미완료 인계를 충분히 정했다. 그러나 삭제에 대해서는 ‘캐시 삭제가 실패해 담당자에게 인계했으므로 삭제 완료’, 검증에는 ‘권한 철회 시험을 계획했으므로 이미 통과’라고 썼다.

제목·요구 연결은 8개 모두 있다는 보고를 실제 충족으로 고쳐 계산하고, 문단 다의 두 오류를 구체적인 두 문장으로 다시 써라. 이 비율로 공식 25점 점수를 예측할 수 있는지도 설명하라.

연결표와 실제 내용 판정의 풀이 보기

가의 2개·나의 3개·다의 운영책임 1개로 충족은 6/8=75%다. 8개 모두 위치나 제목이 있다는 8/8=100%와 다르다. 세 문단이므로 최대 3개 요구만 처리한다는 계산도 틀리다. 삭제와 검증의 결론은 단순 설명 부족뿐 아니라 완료 상태를 잘못 선언했다.

삭제 문장은 ‘캐시 삭제 실패는 미완료로 유지하고 담당·다음 확인·현재 재사용 제한을 기록하며, 정한 활용 중지/삭제의 실제 결과를 확인한 뒤 해당 항목을 완료로 표시한다’로 고친다. 검증 문장은 ‘권한 철회가 검색 뒤·제공 전에 일어나는 시험의 입력·기대 보류·실제 관측을 대조하고, 아직 실행하지 않았다면 계획 상태로 남긴다’로 고친다.

75%는 이 자체 대사의 부족 위치를 나타내며 공식 18.75점을 뜻하지 않는다. 요구별 배점·중요도·정확성이 같다는 근거가 없고, 필수 경계의 오류를 다른 여섯 항목으로 상쇄할 수도 없다.

문제 2 — 허용 검사와 자료 제공의 사이에 권한이 바뀐다

이 자체 순서 모형은 원문 D의 내부 응답을 제공하는 경계의 현재 권한으로 판단한다. 권한판본 5에서는 사용자 U가 허용되고 철회 후 판본 6에서는 금지된다. 아래 A~D는 별도 요청의 사건 순서이며 원문·다른 권한·시계에는 변동이 없다. C의 마지막 판정과 자료 제공은 모형에서 상태가 끼어들 수 없는 한 경계라고 명시적으로 가정한다. 실제 제품에 그런 원자성을 구현했다는 뜻은 아니다.

허용 제공·정책 위반·내부 응답 보류를 분류하고, A의 과거 제공을 나중 철회가 자동 회수하는지 설명하라. 상세 거절 이유에 D의 비공개 제목을 넣어도 되는지와 ‘응답 전 검사 한 번이면 항상 해결’이라는 주장의 한계도 적어라.

네 순서의 판정과 모형 한계 보기

A는 제공 당시 허용이어서 이 규칙에서 허용 제공이다. 이후 철회가 이미 받은 내용을 자동 회수하지는 않으며 향후 재사용·재노출 통제와 과거 영향은 구별한다. B는 제공 당시 금지인데 옛 결과로 보냈으므로 정책 위반이다. C는 판본 불일치로 내부 응답을 보류하고 D도 권한 미확인으로 내부 응답을 보류한다. 두 보류에서 공개 가능한 일반 안내는 별도로 가능하다.

비공개 원문의 존재·제목·담당을 일반 거절 문구에 넣지 않는다. C는 문제에서 정한 판정·제공 경계 덕분에 해당 순서의 변동을 막은 것이며, 실제 분산 전송에서도 숫자 판본 하나만 붙이면 해결된다는 보장이 아니다. 철회 효력·검사와 제공의 경계·진행 중 응답·캐시 재사용을 실제 경로에서 집행하고 확인해야 한다. 이는 원문의 CWE-367 반례를 명시 순서에 적용한 판단 연습이며 실제 취약점 재현이나 서버의 동시성 시험은 아니다.

문제 3 — 지원 집단의 개선에서 비교 집단의 변화를 빼기

CW-POL의 자체 가상 자료에서 지원 집단 A와 비지원 비교 집단 B는 지원 전후 각각 고유 안내 요청 1,000건이다. 미완료의 정의·측정 시점·누락 처리 규칙은 같다고 가정한다. A의 미완료는 120→60건, B는 100→80건이다. 지원 전 추세·집단 구성의 비교 가능성·동시 시행한 다른 조치·통계적 불확실성은 제시되지 않았다. 각 미완료율 변화와 A의 단순 상대 감소율, 두 변화의 차이를 계산하고 ‘정책 때문에 미완료가 50% 줄었다’라는 보고를 고쳐라.

비율·%p·인과 조건의 풀이 보기

A는 12%→6%로 6%p 감소하고 단순 상대 감소는 (120−60)/120=50%다. B는 10%→8%로 2%p 감소한다. 미완료율 변화의 차이는 (6−12)−(8−10)=−4%p이며, 개선 방향으로 쓰면 비교 집단보다 4%p 더 감소했다. A의 50%는 자체 전후의 상대 감소이지 50%p나 비교 조정한 정책 효과가 아니다.

보고는 ‘가상 자료의 A 미완료율이 6%p·상대 50% 감소했고, B 변화와의 차이는 감소 방향 4%p’라고 범위를 붙인다. 지원이 없었어도 두 집단의 추세가 나란히 변했을지, 집단 구성·다른 조치·측정이 비교 가능한지 등 인과 해석의 조건을 확인하지 않았으므로 정책 때문에 줄었다고 확정하지 않는다. 한 번의 지원 전 관측만으로 평행추세를 확인할 수 없으며 유의성·모든 이용자 집단의 개선도 이 합계만으로 정하지 않는다.

이 차이 계산과 가정 구별은 영국 정부 Magenta Book Annex A의 차이의 차이 설명을 참고한 자체 예제다. 영국 평가 방법 안내를 한국의 법정 채점·정책 승인으로 쓰지 않는다. 실제 사업에서는 사전 추세·실행·부작용·접근성·미완료 집단과 책임 있는 판단을 함께 확인한다.

Footnotes

1. OWASP Gen AI Security Project, LLM08:2025 Vector and Embedding Weaknesses, Unauthorized Access & Data Leakage와 권한에 맞는 검색·자료분리의 설명. https://genai.owasp.org/llmrisk/llm082025-vector-and-embedding-weaknesses/ . 2026-09-20 해당 공개 범위를 재확인했다. CW-A1의 시각·응답 시점 규칙과 삭제 완료의 상태 구분은 자체 반례·설계이며 제품 보안 시험이나 법적 의무 충족 판정이 아니다. ↩

2. MITRE, CWE-367, Time-of-check Time-of-use Race Condition. https://cwe.mitre.org/data/definitions/367.html . 검사와 사용 사이 상태 변화의 일반 원리를 2026-10-06 확인했다. CW-A1의 시각·자료 제공 정책은 자체 반례이며 특정 RAG 제품에서 재현한 취약점은 아니다. ↩