자료 안내에 없는 비밀번호가 생겼다면: AI 초안 수정 순서
자료 위치를 알려 주는 답장을 AI에 맡겼는데 “임시 비밀번호는 Ab12입니다”라는 문장이 생겼다면, 그 문자열을 더 길게 바꾸는 것으로 해결하지 마세요. 요청하지 않은 접속 정보가 추가됐고 실제 시스템에서 발급한 값인지도 알 수 없습니다. 자료 안내와 계정 발급을 분리하고, 초안에서 새로 만들어진 접속 정보를 제거한 뒤 승인된 안내만 남기는 것이 먼저입니다.
요청한 업무와 계정 작업을 구분합니다
이 실습의 가상 원문은 다음과 같습니다. 실제 계정이나 비밀번호는 입력하지 않습니다.
답장 초안만 작성해 주세요.
안내할 사실: 자료는 사내 문서함의 월간자료 폴더에 있습니다.
접근이 안 되면 문서함 담당자에게 문의하도록 안내하세요.
계정 생성, 비밀번호 발급, 접근 권한 변경은 요청하지 않았습니다.이 요청의 결과물은 자료 위치와 문의 경로를 설명하는 문장입니다. 계정이 실제로 있는지, 비밀번호가 무엇인지, 권한이 부여됐는지는 알 수 없습니다. AI가 접속 정보를 그럴듯하게 적어도 그 정보가 발급됐다는 증거가 되지 않습니다.
초안의 문장을 역할별로 대조합니다
| 초안 문장 | 판단 | 고칠 방향 |
|---|---|---|
| 자료는 월간자료 폴더에 있습니다 | 입력에 있는 사실 | 사내 문서함이라는 위치 유지 |
| 임시 비밀번호는 Ab12입니다 | 요청하지 않은 접속 정보 | 문장 전체 제거 |
| 계정이 자동 생성됐습니다 | 실행 근거 없는 완료 주장 | 제거하고 필요 여부를 담당자에게 확인 |
| 접속되지 않으면 비밀번호를 알려 주세요 | 비밀 값을 회신하도록 유도 | 비밀번호를 받지 않는 공식 문의 경로로 교체 |
| 비밀번호는 이 답장에 넣지 않습니다 | 비밀 값 없는 주의 문장 | 업무 문맥에 필요하면 보존 가능 |
“비밀번호”라는 단어가 0번이어야 한다는 검사만 쓰면 마지막의 정상 주의 문장까지 막을 수 있습니다. 반대로 그 단어가 없어도 “접속 코드는…”이라는 문장에 비밀 값이 들어갈 수 있습니다. 검사 대상은 특정 단어의 횟수보다 새 접속 정보, 발급 완료 주장, 비밀 값을 보내 달라는 요청입니다.
AI에게 재작성할 때 복사할 요청문
아래 답장 초안을 원래 요청 범위로 되돌려 주세요.
보존할 사실: 사내 문서함 / 월간자료 폴더 / 담당자 문의
삭제할 내용: 입력에 없는 비밀번호·접속 코드·토큰·발급 완료 주장
새 비밀번호나 대체 문자열을 만들지 마세요.
비밀번호를 채팅·메일로 회신하라는 문장도 넣지 마세요.
출력은 수정 답장과 변경 이유 두 부분으로 주세요.
불명확한 접근 절차는 확인 질문으로 남기세요.수정 답장의 한 예는 “자료는 사내 문서함의 월간자료 폴더에 있습니다. 접근이 되지 않으면 문서함 담당자에게 문의해 주세요”입니다. 원문에 없는 사람 이름, 담당자 주소, 로그인 링크는 추가하지 않습니다. 실제 경로를 모를 때는 빈칸을 남기고 확인합니다.
계정 안내가 정말 필요하면 공식 절차로 돌아갑니다
계정 발급이나 비밀번호 초기화가 별도 승인된 업무라면 관리자 또는 서비스의 공식 발급·재설정 절차를 사용해야 합니다. AI가 작성한 안내문이 실제 발급 절차를 대신하지 않습니다. 로그인·재설정 URL도 AI가 만든 주소를 그대로 쓰지 말고, 이미 확인한 서비스의 공식 경로에서 시작하세요.
OWASP 비밀번호 재설정 안내는 재설정 절차와 토큰을 안전하게 설계할 때 참고할 기술 문서입니다. 이 글에서는 재설정 시스템을 만들거나 계정 정보를 발급하지 않습니다. 문서함의 승인된 절차가 무엇인지 확인하고 그 경로만 안내한다는 실무 경계를 정합니다.
문의용 문장도 다음처럼 비밀 값 없이 작성할 수 있습니다.
문서함 담당자에게 확인할 내용:
자료의 공식 위치가 월간자료 폴더인지 확인해 주세요.
접근이 안 되는 사용자가 따라야 할 승인된 절차를 알려 주세요.
답변에는 비밀번호·토큰·복구 코드 등 비밀 값을 넣지 말아 주세요.이미 보냈거나 실제 값이 섞였을 때
초안만 작성했다면 발송을 멈추고 수정본을 다시 검토합니다. 이미 보낸 경우에는 실제로 발급한 값인지, 단순히 만들어 낸 문자열인지 먼저 구분합니다. 만들어 낸 값이어도 수신자가 따라 할 수 있으므로 기존 안내를 사용하지 말라고 정정하고 공식 절차를 확인해야 합니다.
실제 비밀번호나 토큰이 노출됐다면 화면에서 글자를 지우는 것으로 노출이 끝났다고 보지 마세요. 서비스의 담당자나 보안 절차에 따라 해당 값을 무효화·교체할 필요가 있습니다. 비밀 값 자체를 다시 전달하지 말고, 계정 또는 항목 식별자와 발생 시각 등 필요한 비밀 아닌 정보로 사고를 알립니다. 변경과 복구는 해당 계정의 공식 절차에서 처리합니다.
발송 전 짧은 검토표
- 자료 위치와 문의 경로가 입력 또는 확인된 사실과 같은가
- 새 접속 정보, 계정 발급 완료, 접근 권한 승인 같은 문장이 생겼는가
- 비밀 값을 회신하거나 채팅에 붙여넣으라고 요구하는가
- 공식 경로에서 확인하지 않은 로그인·재설정 링크가 있는가
- 답장 작성과 계정 작업의 승인 범위를 혼동하지 않았는가
- 최종 답장을 읽고 발송할 담당자가 정해졌는가
작성·기술 기준일은 2026-10-04 KST입니다. 예문은 새로 만든 설명용 문장이고 실제 자격증명을 생성·수정·발송하지 않았습니다. 단어 검사만으로 모든 비밀 정보나 안전하지 않은 안내를 찾아낼 수 없으므로 최종 문장을 읽어 확인해야 합니다.
AI 안내의 약속과 완료 주장을 점검하려면 업무 메일의 사실·약속 검토를, 실제 비밀 값 관리 범위를 정하려면 API 키 보안 운영표를 참고하세요.
작성자 소개
