Pentest-AI — AI 모의해킹 플랫폼 (AI-Red Team)
AI 에이전트 기반의 웹·API·모바일 앱 취약점 식별 및 진단 자동화 플랫폼
프로젝트 개요
금융회사 및 전자금융업자의 매년 반기 1회 점검을 자동화하여 금감원 보고 양식에 맞게 리포트하는 기능을 목표로 자동화 점검 시스템 구축
사람이 할 일
"이 주소를 점검해줘" 라고 입력하고, GitHub 리포지토리나 API 명세를 알려주기
AI가 할 일
서비스 탐색 및 정찰 → 수상한 엔드포인트 발견 → 안전 가이드 내 모의 공격 → 독립 LLM 검증 → 최종 보고서 작성
도입 필요성 및 해결 과제
| 직면한 상황 (Challenge) | Pentest-AI 해결 방안 (Solution) |
|---|---|
| 외부 보안 점검 비용이 부담스러움 | AI가 1차 점검을 자동 수행, 보안 전문가는 탐지된 실질 취약점만 검토 |
| 새 기능 배포 때마다 검증이 필요함 | 배포 전 CI/CD 자동 점검 파이프라인에 연결하여 자동화 테스트로 활용 |
| 보안 팀 인력이 부족함 | 반복적인 취약점 스캔 업무는 AI가 담당, 사람은 핵심 의사결정에 집중 |
| 규제 대응 (ISMS, 개인정보보호법 등) | Knowledge Store에 규제 문서를 업로드해 관련 규제 조항을 RAG이 자동 매칭 |
| monorepo / multi-binary 회사 환경 | 하나의 repo 안 여러 서비스(N개 프론트엔드 + M개 API)를 자동 감지 및 분리 점검 |
무엇을 점검하나요?
세 가지 영역을 대상으로 강력한 보안 룰북이 정의되어 있습니다. 각 룰북은 OWASP Top 10 등 국제 보안 표준과 **한국 모의해킹 47건 가이드 (WEB-FIN 8 + WEB-SER 40)** 기반으로 설계되어 있습니다.
사용자가 브라우저로 직접 접속하는 전면 웹 애플리케이션
앱과 웹이 실시간 데이터를 주고받는 뒷단 API 서버
iOS/Android 바이너리(.apk/.ipa) 자체 취약점 분석
한국 모의해킹 가이드 47개 대응 현황
완전 자동
반자동/보조
수동 전용
컨셉 차용 및 연구
본 플랫폼의 핵심 점검 흐름과 로직은 학계 및 선도 보안 기업들의 기술 컨셉을 바탕으로 구현되었습니다.
multi-agent 자율 점검
V4 계열의 핵심인 mentor-mentee 역할 분리(Opus 전략 + Sonnet 기동)를 차용했습니다. 매 공격 사이클별로 자율 추론과 체인 공격 플래너를 결합하여 깊이 있는 분석을 수행합니다.
Palo Alto Networks 의 task verifier
V2 가드와 결정적 검증기 4종(SSTI, LFI, SSRF, XXE)을 통해 LLM의 취약점 발견 의심(Finding)을 실제 Payload와 콜백 토큰으로 진위 판정하는 가드 패턴을 도입했습니다.