[실증 사례] 딸깍 (TTALKKAK) — GenUI 기반 지능형 LMS 플랫폼 구축

1. 프로젝트 배경 및 직면 과제 (Challenge)

기존 에듀테크 환경에서 대화형 AI를 도입하려 할 때, 단순 텍스트 챗봇은 학생과 교수자의 몰입도를 떨어뜨렸습니다. 그러나 AI에게 동적 컴포넌트 생성을 허용하자 심각한 취약점이 노출되었습니다.

1. 모델이 임의의 <script>나 허용되지 않은 관리자 전용 컴포넌트 이름을 출력할 경우, Vue/Nuxt 3의 auto-import 메커니즘을 타고 사내 기밀 화면이 무단 마운트되는 화이트리스트 우회 공격 발생.
2. AI가 생성한 표(Table) 상에서 교수자가 특정 학생 행을 클릭해도, AI는 그 선택을 인지하지 못해 사용자가 다시 긴 프롬프트를 쳐야 하는 맥락 단절.
3. 모델이 과도하게 많은 하위 컴포넌트를 생성하여 브라우저 탭을 멈추게 만드는 트리 DoS(Denial of Service) 위협.

2. BOUNDAXE의 해결 솔루션 (Engineering Solution)

BOUNDAXE는 ‘생성 계약(Contract)’ 원칙에 입각하여 시스템을 재설계했습니다.

• Strict Schema Enforcement: OpenAI gpt-4o의 Structured Outputs(strict: true)를 활용하여 모델의 출력을 Zod UiTurn 스키마로 100% 강제했습니다.
• Whitelist Registry Lookup: 문자열로 컴포넌트를 마운트하지 않고, 11대 컴포넌트(ComparisonTable, TodoList, MetricStrip 등) 객체가 사전 등록된 Map을 통해서만 렌더링하도록 격리했습니다.
• Fail-Closed 이벤트 인가 (authorizeUiEvent): 학생 행 클릭 이벤트를 UiEvent로 스탬핑하여 전송하고, 서버에서 세션 ID, 세대 ID(generationId), 해당 컴포넌트의 허용 액션 목록을 전수 대조하여 위변조된 요청은 403 Forbidden으로 즉각 거절했습니다.

3. 검증된 실측 성과 (Outcomes & Metrics)

• 279개 테스트 100% 통과: 33개 테스트 파일 전반에서 단 하나의 실패 없이 2.0초 만에 단위/통합/인가 검증을 완수했습니다.
• 보안 무결성 100% 달성: 임의 스크립트 실행, auto-import 우회, 세션 위조가 0건으로 입증되었습니다.
• 사용자 경험 극대화: 스켈레톤에서 점진적으로 서브트리가 렌더링되는 스트리밍 파이프라인으로 체감 지연 시간을 획기적으로 개선했습니다.