AI 가드레일 5곳, 공짜인 곳과 정책마다 받는 곳

글쓴이김성진·발행일2026년 9월 8일

AI 서비스를 사람들에게 열어 두면 언젠가 이런 질문을 받게 됩니다. “이상한 말 넣으면 어떻게 되나요?”

답을 만드는 방법이 가드레일입니다. 사용자가 넣은 문장과 모델이 뱉은 답을 한 번씩 검사해서, 걸리면 막거나 표시를 남기는 장치입니다. 요즘은 클라우드마다 이걸 API로 팔고 있습니다.

그런데 요금표를 나란히 놓으면 이상한 일이 벌어집니다. 같은 일을 시키는데 세는 단위가 전부 다릅니다. 어떤 곳은 “건수”로, 어떤 곳은 “토큰”으로, 어떤 곳은 “텍스트 유닛”이라는 자기만의 단위로 셉니다. 그래서 “1,000건에 얼마”라는 숫자를 그대로 비교하면 틀립니다.

이 글은 그 단위를 맞춰서 다시 세어 본 기록입니다. 오픈AI 모더레이션 API, 구글 클라우드 모델 아머, 아마존 베드록 가드레일, 애저 AI 콘텐츠 세이프티, 클라우드플레어 AI 게이트웨이 가드레일 다섯 곳의 공식 문서와 요금 페이지를 2026년 9월 8일 기준으로 직접 열어 확인했습니다.

먼저 결론부터 놓겠습니다.

다섯 곳을 한 줄로 세우면

한 줄로 요약하면 이렇습니다. 한쪽 끝에는 0원이 있고, 반대쪽 끝에는 정책을 켤 때마다 요금이 하나씩 더 붙는 방식이 있습니다.

그리고 무료가 아닌 곳들끼리도 폭이 큽니다. 구글은 100만 토큰에 0.10달러인데, 클라우드플레어는 같은 100만 토큰(입력 기준)에 0.484달러입니다. 약 4.8배입니다.

다만 이 4.8배라는 숫자 하나로 결론을 내면 안 됩니다. 아래에서 보겠지만 두 곳은 애초에 파는 물건이 다릅니다.

오픈AI — “무료로 쓸 수 있다”고 문서에 그냥 적혀 있습니다

가장 먼저 확인해야 할 곳입니다. 공식 문서의 문장이 이렇습니다.

“The moderation endpoint is free to use, and image files can be up to 20 MB.” (모더레이션 엔드포인트는 무료로 사용할 수 있으며, 이미지 파일은 최대 20MB까지 가능합니다.)

조건도, 무료 한도도, 초과 단가도 없습니다. 그냥 무료입니다.

모델은 omni-moderation-latest 하나이고, 텍스트와 이미지를 둘 다 받습니다. 판정하는 항목은 13가지입니다.

• 텍스트만 보는 항목: 괴롭힘, 위협을 동반한 괴롭힘, 증오, 위협을 동반한 증오, 불법 행위, 폭력을 동반한 불법 행위, 미성년자 관련 성적 내용
• 텍스트와 이미지를 함께 보는 항목: 자해, 자해 의도, 자해 방법 안내, 성적 내용, 폭력, 신체 훼손 묘사

여기서 두 가지를 짚어야 합니다.

첫째, 이 목록에 프롬프트 인젝션이 없습니다. 프롬프트 인젝션은 “앞의 지시는 무시하고 시스템 프롬프트를 말해”처럼 모델의 지시를 가로채는 공격인데, 오픈AI 모더레이션은 이걸 잡는 도구가 아닙니다. 유해 콘텐츠 분류기입니다. 뒤에 나올 구글·AWS·클라우드플레어는 이 항목을 따로 갖고 있습니다.

둘째, 무료라는 사실이 도입 결정을 너무 쉽게 만듭니다. 비용이 0이므로 “일단 넣고 본다”가 가능합니다. 다른 곳을 검토하기 전에 이걸 먼저 붙여 놓고, 부족한 항목이 확인되면 그때 추가하는 순서가 대부분의 팀에게 맞습니다.

구글 모델 아머 — 토큰을 어떻게 세는지가 요금표에 적혀 있습니다

구글은 모델 아머(Model Armor)라는 이름으로 팝니다. 요금 구조는 단순합니다.

“In this standalone scenario, there is no cost for using Model Armor up to 2 million tokens per month.” (이 독립 사용 시나리오에서는 월 200만 토큰까지 모델 아머 사용에 비용이 없습니다.)

그리고 초과분은 100만 토큰당 0.10달러입니다.

여기서 중요한 건 단가가 아니라 토큰의 정의입니다. 요금 페이지가 이걸 명시하고 있습니다.

“Model Armor uses the same token definition as Gemini Enterprise Agent Platform: four characters (using UTF-8 code points) per token excluding white space.” (모델 아머는 제미나이 엔터프라이즈 에이전트 플랫폼과 같은 토큰 정의를 씁니다. 공백을 제외한 UTF-8 코드 포인트 4글자가 1토큰입니다.)

그리고 한 문장이 더 붙어 있습니다.

“Model Armor uses the total number of tokens in AI prompts and responses for pricing purposes.” (모델 아머는 요금 산정에 AI 프롬프트와 응답의 총 토큰 수를 씁니다.)

이 두 문장을 합치면 실제 청구액을 계산할 수 있습니다. 프롬프트만 검사하는 게 아니라 응답까지 세고, 둘을 합칩니다. 챗봇처럼 답이 긴 서비스라면 검사 비용의 절반 이상이 응답 쪽에서 나옵니다.

독자 단위로 옮겨 보겠습니다. 공백 빼고 4글자가 1토큰이니, 200자짜리 질문 하나는 대략 50토큰입니다. 답이 600자면 150토큰이고, 한 번 주고받는 데 약 200토큰이 듭니다. 무료 200만 토큰이면 월 1만 번 정도의 주고받기를 공짜로 검사할 수 있다는 계산이 나옵니다(원 수치를 나눈 값입니다).

그 위로는 100만 토큰에 0.10달러니, 5,000번을 더 하면 약 0.10달러가 붙습니다. 개인 서비스 규모에서는 사실상 무료에 가깝고, 규모가 커져도 단가 자체는 이 다섯 곳 중 가장 낮습니다.

기능 범위도 넓습니다. 공식 문서 기준으로 네 가지입니다.

1. 책임 있는 AI 안전 필터 — 증오 발언, 괴롭힘, 성적 내용, 위험한 내용, 폭력, 아동 성착취물
2. 프롬프트 인젝션·탈옥 탐지 — “프롬프트와 응답에서 악의적 내용을 검사하고, 탐지되면 차단합니다”
3. 민감정보 보호 — 신용카드 번호, 주민등록번호에 해당하는 사회보장번호, 금융 계좌번호, API 키 등을 탐지하고 비식별화까지
4. 악성 URL 탐지 — 요청당 첫 256개 URL까지 검사

넷 중 2번과 4번은 오픈AI 모더레이션에 없는 항목입니다. 특히 API 키 탐지는 실무에서 자주 걸립니다. 사용자가 에러 로그를 통째로 붙여넣는 순간 그 안에 키가 들어 있는 일이 흔하기 때문입니다.

AWS 베드록 — 켠 정책 수만큼 요금이 붙습니다

AWS가 이 다섯 곳 중 요금 구조가 가장 다릅니다. 가드레일 하나에 값이 매겨진 게 아니라, 그 안의 정책마다 따로 값이 매겨져 있습니다.

요금 페이지에는 이런 각주가 붙어 있습니다.

“Each guardrail filter is optional and can be enabled based on your application requirements.” (각 가드레일 필터는 선택 사항이며 애플리케이션 요구사항에 따라 켤 수 있습니다.)

선택이라는 말은 곧 켠 만큼 더 낸다는 뜻입니다. 실제로 계산해 보겠습니다.

유해 표현을 막고(콘텐츠 필터 0.15), 우리 서비스와 무관한 주제를 막고(금지 주제 0.15), 개인정보를 가리고(민감정보 0.10), 답이 근거 문서에서 벗어나지 않는지 확인한다(컨텍스트 그라운딩 0.10)고 해 봅시다. 네 개를 다 켜면 1,000 텍스트 유닛당 0.50달러입니다.

이게 이 글의 제목이 가리키는 지점입니다. 같은 요청 하나가 어떤 곳에서는 0원이고, 어떤 곳에서는 정책 네 개를 지나며 네 번 계산됩니다.

다만 AWS를 비싸다고만 읽으면 오해입니다. 저 목록에는 다른 곳에 없는 물건이 둘 있습니다.

컨텍스트 그라운딩 검사는 유해성을 보는 게 아니라 모델이 근거 문서에 없는 말을 지어냈는지를 봅니다. 사내 문서 검색 서비스를 만든다면 유해 표현 필터보다 이쪽이 훨씬 중요합니다. 자동 추론 검사는 답이 미리 정의한 규칙과 논리적으로 맞는지 검증하는 항목이고, 정책 하나당 0.17달러로 이 표에서 가장 비쌉니다.

또 하나, 베드록 모델을 안 써도 가드레일만 따로 부를 수 있습니다. InvokeGuardrail API인데 단가가 더 쌉니다.

• 콘텐츠 필터(텍스트 전용): 1,000 텍스트 유닛당 0.07달러
• 프롬프트 공격(텍스트 전용): 1,000 텍스트 유닛당 0.08달러

같은 콘텐츠 필터가 모델과 묶여 돌면 0.15달러, 단독으로 부르면 0.07달러입니다. 절반 이하입니다. 다른 회사 모델을 쓰면서 AWS 가드레일만 빌려 쓰는 구성이 요금상 불리하지 않다는 뜻이고, 이건 요금표를 끝까지 읽어야 보이는 정보입니다.

⚠ 한 가지는 확인하지 못했습니다. “텍스트 유닛”이 몇 글자인지를 공개 요금 페이지에서 찾지 못했습니다. 이 단위를 모르면 다른 곳과 직접 비교가 불가능하므로, AWS를 후보에 올렸다면 계약 전에 이 정의부터 확인하시기 바랍니다. 이 글에서는 확인된 숫자만 적고 환산은 하지 않았습니다.

애저 — 무료 구간은 적혀 있고, 그다음 숫자가 없습니다

애저 AI 콘텐츠 세이프티는 이 비교에서 가장 난감한 곳입니다.

무료 등급은 명확합니다. 월 텍스트 5,000건, 이미지 5,000장. 소규모 서비스라면 이것만으로 끝날 수도 있는 양입니다.

문제는 그다음입니다. 공개 요금 페이지의 표준 등급 칸이 이렇게 되어 있습니다.

• ”$- per 1,000 text records”
• ”$- per 1,000 images”

숫자 자리에 $-가 들어 있습니다. 약정 등급도 ”$- per year”입니다. 페이지는 “가격은 추정치일 뿐이며 실제 견적이 아니다”라고 밝히면서 영업 문의나 애저 가격 계산기를 안내합니다.

이 사실을 어떻게 읽어야 할까요. 두 가지입니다.

첫째, 예산을 미리 잡을 수 없습니다. 다른 네 곳은 요금 페이지만 보고 “월 얼마 나오겠다”를 계산할 수 있는데, 여기는 계산기를 돌리거나 사람에게 물어봐야 합니다. 검토 단계가 하나 늘어난다는 뜻이고, 빠르게 비교해서 결정하려는 팀에게는 그 자체가 비용입니다.

둘째, 그래도 후보에서 지울 이유는 아닙니다. 이미 애저를 쓰고 있고 애저 오픈AI로 모델을 부르고 있다면, 청구서가 한 장으로 합쳐지고 데이터가 같은 테넌트 안에 머무는 이점이 있습니다. 그 경우 단가 한 줄보다 그쪽이 더 큰 값일 수 있습니다.

정리하면 애저는 **“이미 애저 안에 있는 팀을 위한 선택지”**입니다. 요금을 비교해서 고르는 자리에는 아예 올라오지 못하는데, 애초에 그 자리에 올라올 생각으로 만든 제품이 아닌 것에 가깝습니다.

클라우드플레어 — 가드레일 값이 따로 없고, 모델값으로 나갑니다

클라우드플레어는 구조가 또 다릅니다. AI 게이트웨이의 기능 하나로 들어 있고, 2026년 9월 8일 현재 베타입니다.

공식 문서의 설명이 명확합니다.

“Since Guardrails runs on Workers AI, enabling it incurs usage on Workers AI.” (가드레일은 워커스 AI 위에서 돌기 때문에, 켜면 워커스 AI 사용량이 발생합니다.)

즉 가드레일 요금표가 따로 없습니다. 검사에 쓰이는 모델의 추론 비용으로 청구됩니다. 쓰는 모델도 적혀 있습니다.

• 유해 콘텐츠 판정: @cf/meta/llama-guard-3-8b (라마 가드 3 8B)
• 프롬프트 인젝션 판정: @cf/meta/prompt-guard-2-86m (별도 모델)

라마 가드 3 8B의 워커스 AI 단가는 100만 입력 토큰당 0.484달러, 100만 출력 토큰당 0.030달러입니다. 가드레일은 판정 결과만 뱉으니 출력 토큰은 거의 안 나오고, 사실상 입력 단가가 전부입니다.

여기서 앞서 말한 4.8배가 나옵니다. 구글 모델 아머는 100만 토큰에 0.10달러, 클라우드플레어는 100만 입력 토큰에 0.484달러입니다.

무료 구간도 성격이 다릅니다. 워커스 프리 플랜과 유료 플랜 모두 하루 10,000 뉴런이 무료이고, 유료 플랜은 초과분을 1,000 뉴런당 0.011달러로 받습니다. 월이 아니라 하루 단위로 리셋된다는 점이 특징입니다. 트래픽이 특정 요일에 몰리는 서비스라면 월 총량제보다 불리하고, 매일 고르게 들어오는 서비스라면 유리합니다.

판정 항목은 라마 가드 3의 위험 분류를 씁니다. S1부터 S13까지를 평가하고, S14(코드 인터프리터 남용)는 평가하지 않는다고 문서가 명시합니다. 그리고 각 항목을 표시(Flag) / 무시(Ignore) / 차단(Block) 중에서 프롬프트와 응답에 대해 따로 설정할 수 있습니다.

이 마지막 부분이 실무에서 꽤 큽니다. “일단 막지 말고 표시만 해서 로그에 쌓아 두고, 며칠 보고 나서 차단으로 올린다”는 운영이 설정만으로 됩니다. 새 필터를 켤 때 오탐으로 정상 사용자를 막는 사고를 피하는 표준적인 방법인데, 항목별로 나눠 설정할 수 있는 곳이 흔치 않습니다.

같은 문장을 넣어도 청구서가 다른 이유

여기까지 오면 왜 단순 비교가 안 되는지가 보입니다. 다섯 곳이 세는 대상 자체가 다릅니다.

• 구글: 프롬프트 + 응답의 총 토큰. 답이 길면 그만큼 늘어납니다.
• AWS: 텍스트 유닛 × 켜 둔 정책 수. 같은 문장이 정책 네 개를 지나면 네 번 계산됩니다.
• 애저: 레코드(건). 문장 길이와 무관하게 한 건은 한 건입니다.
• 클라우드플레어: 판정 모델에 들어간 입력 토큰. 사실상 검사 대상 길이입니다.
• 오픈AI: 세지 않습니다.

그래서 같은 서비스라도 어떤 모양이냐에 따라 순위가 뒤집힙니다.

짧은 입력이 아주 많은 경우(예: 댓글 필터링) — 애저의 건당 과금이 불리해집니다. 20자짜리 댓글 하나도 한 건으로 세기 때문입니다. 반대로 토큰으로 세는 구글은 유리합니다.

긴 문서를 가끔 검사하는 경우(예: 업로드 문서 스크리닝) — 건당 과금인 애저가 유리해집니다. 10만 자짜리 문서도 한 건이기 때문입니다. 토큰으로 세는 쪽은 그대로 다 셉니다.

답이 긴 챗봇 — 구글은 응답까지 세므로 예상보다 많이 나옵니다. 응답을 검사하지 않아도 되는 구조라면 다른 곳이 낫습니다.

여러 종류를 다 막아야 하는 경우 — AWS는 정책마다 붙으므로 가장 빨리 올라갑니다. 대신 다른 곳에 없는 그라운딩·자동 추론 검사가 필요하다면 대안이 마땅치 않습니다.

항목별로 무엇이 있고 무엇이 없나

요금보다 이쪽이 먼저인 경우가 많습니다. 필요한 항목이 없으면 단가가 0원이어도 소용없기 때문입니다.

표에서 눈에 띄는 자리가 셋 있습니다.

악성 URL 탐지는 구글에만 있습니다. 사용자가 링크를 넣을 수 있는 서비스라면 이 항목 하나로 구글이 결정될 수 있습니다.

근거 이탈 검사는 AWS와 애저 쪽에만 있습니다. 검색 결과를 근거로 답하는 서비스에서 “문서에 없는 말을 지어냈는가”는 유해성과 완전히 다른 문제이고, 이걸 API로 파는 곳이 많지 않습니다.

오픈AI는 유해 콘텐츠 한 칸만 채웁니다. 대신 그 칸을 0원에 채웁니다.

직접 만들면 안 되나

여기까지 읽고 나면 자연스럽게 드는 생각이 있습니다. “그냥 모델한테 ‘이거 유해한 내용이야?‘라고 한 번 더 물어보면 되는 거 아닌가?”

실제로 가능하고, 많은 팀이 처음에는 그렇게 시작합니다. 그런데 세 가지에서 갈립니다.

첫째, 값이 더 나옵니다. 판정용으로 일반 채팅 모델을 부르면 그 모델의 입력 단가가 그대로 붙습니다. 클라우드플레어가 라마 가드 3 8B라는 판정 전용 모델을 쓰는 이유가 여기 있습니다. 8B는 요즘 기준으로 작은 모델이고, 유해성 분류라는 좁은 일만 하도록 학습돼 있어서 큰 모델보다 싸고 빠릅니다. 직접 만들 때 범용 모델을 쓰면 이 이점이 사라집니다.

둘째, 판정 결과가 흔들립니다. “유해한가?”라고 자유 문장으로 물으면 답도 자유 문장으로 옵니다. 어떤 날은 “네, 다소 공격적입니다”가 오고 어떤 날은 “맥락에 따라 다릅니다”가 옵니다. 이걸 차단 여부라는 참·거짓으로 바꾸는 코드가 결국 필요해지고, 그 코드가 서비스의 안전 기준이 됩니다. 위에서 본 상용 API들이 전부 고정된 카테고리 목록과 항목별 점수를 돌려주는 건 그래야 운영이 되기 때문입니다.

셋째, 기록이 안 남습니다. 나중에 “왜 이 사용자를 막았나”라는 질문을 받게 되는데, 그때 필요한 건 “S1 항목에서 임계값 초과”처럼 항목 이름이 붙은 기록입니다. 자유 문장 판정은 이 기록을 남기지 못합니다. 이 문제는 LLM 관측 도구 5곳을 비교했을 때 나온 로그 보존 기간 이야기와 이어집니다. 차단 로그는 관측 로그보다 오래 남겨야 하는 경우가 많습니다.

정리하면, 직접 만드는 쪽은 프로토타입까지는 맞고 운영에는 안 맞습니다. 그리고 오픈AI 모더레이션이 0원이라는 사실이 이 선택지를 대부분 무의미하게 만듭니다. 직접 만들면 돈이 더 들고 결과는 덜 일정합니다.

게이트웨이를 이미 쓰고 있다면 순서가 바뀝니다

한 가지 경우를 더 짚어야 합니다. 모델을 직접 부르지 않고 게이트웨이를 거쳐 부르는 구성입니다.

AI 게이트웨이 5곳을 비교했을 때 확인했듯, 게이트웨이는 여러 모델을 한 주소로 묶고 캐싱·한도·로그를 한자리에서 처리합니다. 클라우드플레어 가드레일이 게이트웨이의 기능 하나로 들어 있는 건 우연이 아닙니다. 요청이 이미 그 지점을 지나가고 있으니, 검사도 거기서 하는 게 구조상 자연스럽습니다.

이 구성에서는 앞의 요금 비교가 조금 다르게 읽힙니다. 별도 가드레일 API를 붙이면 호출이 한 번 더 늘어납니다. 사용자 요청 → 가드레일 검사 → 모델 호출 → 응답 검사 순서라서, 지연 시간이 두 번 붙습니다. 게이트웨이 안에서 처리하면 그 왕복이 한 번 줄어듭니다.

단가만 보면 클라우드플레어가 구글보다 4.8배 비싸지만, 이미 게이트웨이를 지나고 있는 요청이라면 추가 왕복이 없다는 값이 그 차이를 상쇄할 수 있습니다. 특히 응답까지 검사해야 하는 구조라면 왕복 절감 효과가 두 배가 됩니다.

반대로 게이트웨이를 안 쓰고 모델을 직접 부르고 있다면, 이 이점은 없습니다. 그때는 단가와 기능 목록만 보면 됩니다.

같은 다섯 회사를 API 데이터 처리 정책 기준으로 비교한 글도 함께 보시면 좋습니다. 가드레일에 보내는 문장은 결국 사용자가 쓴 원문 그대로이기 때문에, 검사하려고 보낸 데이터가 어디에 얼마나 남는지가 요금만큼 중요한 조건이 됩니다.

그래서 어떻게 고르나 — 순서로 정리하면

1단계. 오픈AI 모더레이션을 먼저 붙입니다. 무료이므로 비교 대상이 아니라 기본값에 가깝습니다. 유해 콘텐츠 한 칸은 여기서 채워집니다.

2단계. 부족한 칸을 적습니다. 프롬프트 인젝션이 필요한가, 개인정보를 가려야 하는가, 링크 검사가 필요한가, 답이 근거에서 벗어나는지 봐야 하는가. 이 목록이 나오면 후보가 저절로 좁혀집니다. 링크 검사가 필요하면 구글, 근거 이탈 검사가 필요하면 AWS 쪽입니다.

3단계. 우리 트래픽 모양을 확인합니다. 짧은 글이 많은가 긴 글이 가끔인가, 응답도 검사해야 하는가, 트래픽이 특정 시간에 몰리는가. 이 답에 따라 같은 단가가 유리하게도 불리하게도 작동합니다.

4단계. 이미 쓰는 클라우드를 봅니다. 애저 오픈AI를 쓰고 있다면 애저, 베드록을 쓰고 있다면 AWS가 통합 이점을 갖습니다. 단가 차이보다 이쪽이 큰 경우가 실제로 많습니다.

5단계. 표시부터 켜고 차단은 나중에 올립니다. 특히 클라우드플레어처럼 항목별로 표시와 차단을 나눌 수 있는 곳에서는 이 순서를 지키기 쉽습니다. 새 필터를 바로 차단으로 켜면 정상 사용자가 막히는 사고가 납니다.

마지막으로, 확인하지 못한 것

이 글에서 확인하지 못해 비워 둔 자리가 둘입니다. 비교글은 틀린 숫자를 적는 순간 값이 0이 되므로 그대로 적어 둡니다.

AWS의 “텍스트 유닛”이 몇 글자인지 공개 요금 페이지에서 찾지 못했습니다. 그래서 AWS 단가는 다른 곳과 같은 축에 올려놓고 비교하지 않았습니다.

애저의 표준 등급 단가는 공개 요금 페이지에 숫자가 없습니다($-로 표시됩니다). 추정치를 적는 대신 “없다”고 적었습니다.

나머지 숫자는 전부 각 회사 공식 문서와 요금 페이지에서 2026년 9월 8일 기준으로 직접 확인한 값입니다. 요금 정책은 자주 바뀌므로, 실제 계약 전에는 같은 페이지를 한 번 더 열어 보시기 바랍니다.