DEFINITION
사용자가 로그인한 상태를 악용해, 공격자가 다른 사이트에서 원치 않는 요청을 대신 보내게 만드는 공격이다. 쿠키 기반 로그인은 브라우저가 쿠키를 자동으로 붙여 보내기 때문에, 방어가 없으면 사용자가 모르는 사이에 설정 변경이나 결제 같은 요청이 실행될 수 있다. 방어 방법은 CSRF 토큰, SameSite 쿠키, 중요한 요청의 재확인, Origin/Referer 검증 등이 있다. AI에게 폼 제출이나 관리자 API를 만들게 할 때 '쿠키 인증이면 CSRF 방어도 포함해줘'라고 명시해야 한다.
ENGLISH
CSRF (Cross-Site Request Forgery)
EXAMPLE
프로필 이메일 변경 폼을 만들 때 서버가 CSRF 값을 발급하고, 제출 요청에는 같은 값이 포함되어야만 처리한다. AI가 POST 라우트만 생성했다면 SameSite 쿠키 설정과 Origin 검증이 있는지 함께 확인한다.
NOTES
API가 Authorization 헤더만 사용하고 쿠키를 쓰지 않는 경우에는 위험 모델이 달라진다.
REFERENCE
owasp.org/www-community/attacks/csrf