AI 해커가 오기 전에,AI 레드팀이 먼저 쳐봅니다.
금융권을 흔든 연쇄 침해에는 AI가 스스로 약점을 찾고 다음 수를 고르는 자율 침투 방식이 거론됩니다. Redme는 같은 방식의 AI 레드팀을 승인된 내 도메인에만 먼저 풀어, 공격당하기 전에 구멍과 증거와 해결책을 드립니다.
개인정보 100건에 닿기까지*
공격 출처*
긴급 통보한 금융사*
* 2026년 10월 4~7일자 언론 보도 기준. 6분·100건은 숭실대 AI안전성연구센터가 가상 은행 환경에서 재현한 실험으로 실제 금융기관과 무관합니다.
오른쪽 터미널은 가상 대상을 쓴 샘플 화면입니다.
공격은 하루도 쉬지 않아요.
레드팀도 그래야 합니다.
새 취약점은 매일 공개되고, 그중 일부는 곧바로 실제 공격에 쓰여요. 아래는 지금 Redme가 추적하는 실제로 악용된 취약점(CISA KEV)과 점검 도구 릴리스입니다. 한 번 점검하고 끝내면, 그다음 날 생긴 구멍은 아무도 알려주지 않아요.
- 1새 취약점·도구 릴리스를 6시간마다 수집해요
- 2점검 도구 이미지를 다시 빌드해 최신 검사 항목을 반영해요
- 3구독 도메인을 주기마다 자동으로 다시 점검해요 — 새 취약점은 기다림 없이 다음 점검 항목에 들어가요
- 4새로 생긴 것·고친 것·남은 것만 정리해 메일로 드려요
한 번만 스캔하면 그 뒤에 생긴 취약점은 아무도 알려주지 않아요.
지금, 한국 금융권에서
실제로 벌어지고 있는 일
9월 28일부터 10월 3일 사이, 최소 6개 은행에서 공통된 공격 흔적이 확인됐어요. 글로벌 보안사 분석은 공격자를 20대 개인 1명으로 추정하고, 당국은 AI를 활용한 대량·자동화 공격 가능성을 조사 중입니다.
은행 여러 곳에서 비정상 경로 접근과 고객 정보 유출이 확인됐어요.
공격 접속 서버에서 중국어 AI 자율 침투 콘솔(ARTEX)의 흔적이 공개됐어요. 금융위 긴급 대응회의.
은행·보험·증권·여신·저축은행·핀테크 등 전 업권이 소집됐어요.
정보통신망법 위반 입건, 사이버테러수사대 28명 전담팀이 꾸려졌어요.
글로벌 보안사 분석이 공격자를 20대 개인 1명으로 추정했어요. 실력은 아마추어급으로 평가됐지만, AI가 그 격차를 메웠어요.
악용 논란 끝에 ARTEX 개발자가 공개 개발을 중단한다고 밝혔어요. 이미 퍼진 도구는 회수되지 않아요.
공격은 아무나 할 수 있게 됐는데,
모의 해킹은 일 년에 한 번 합니다.
보도된 공격자는 전문가가 아니라 보안 관리가 허술했던 20대 개인으로 추정돼요. AI가 정찰·계획·공격을 대신하니 실력 차가 무의해진 거예요. 뚫린 곳도 정문이 아니라 점검 목록에서 빠져 있던 직원용·영업·업무지원 시스템이었고요. 방어도 공격과 같은 AI로, 같은 속도로 돼야 이길 수 있습니다.
韓 금융권 해킹에 쓰인 AI 도구 아르텍스, 결국 공개 중단
개발자는 “도구의 잘못된 사용을 고려해 더 이상 업데이트되지 않고 비공개 소스로 전환할 것”이라고 밝혔어요. 다만 이미 배포된 프로그램은 회수할 수 없어요.
원문 보기 ↗해킹범은 中 광둥성 거주 26세?… 클로드에 이력서 쓰다 흔적
공격자 추정 인물이 AI에 이력서 작성을 요청하며 이름·연령·거주지를 입력해 추적 단서가 됐다는 보도. 실력은 아마추어급으로 평가됐어요. 수사 중이라 확정은 아니에요.
원문 보기 ↗[종합] 금융권 ‘AI 해킹’ 연쇄 공격…경찰 28명 전담수사팀 지정, 증권사까지 ‘비상’
국가수사본부가 입건하고 정식 수사로 전환했다. 증권사들은 연휴 중 비상체계를 가동했고, 한 증권사는 AI 모의해킹 활용을 검토 중이라고 전해졌다.
원문 보기 ↗아르텍스 ‘해킹’ 가상실험 해보니…“명령 한줄로 6분만에 개인정보 100건 탈취”
숭실대 AI안전성연구센터가 가상 은행 환경에서 재현한 실험. 실제 금융기관과는 무관하지만 자동화 공격의 속도를 보여 준다.
원문 보기 ↗위 내용은 2026년 10월 4~10일자 언론 보도를 요약한 것으로, 사건은 수사 중이며 수치·용의자 추정은 바뀔 수 있어요. 공격자 추정은 보안사 분석 기준이고 실제 사용 여부·동일인 여부는 공식 확인 전이에요. 기사 제목은 원문 그대로 인용했고 카드 디자인은 Redme가 만든 것으로 각 언론사와 무관합니다. 전체 타임라인과 출처 보기
AI 시대에는 한 번 털리면
끝장입니다.
예전엔 침입을 당해도 대응할 시간이 있었어요. 지금은 정찰부터 침투까지 기계가 쉬지 않고 이어 갑니다. 그리고 한 번 빠져나간 정보는 되돌릴 방법이 없어요.
유출된 정보는
회수되지 않습니다
주민등록번호와 CI는 비밀번호처럼 바꿀 수 없어요. 이번 사건에서도 일부 고객의 주민번호·CI가 유출된 것으로 보도됐습니다. 사과문은 정보를 되돌려 주지 않아요.
⟲ 되돌리기 불가AI는 지치지 않고,
이름도 남기지 않습니다
공격자는 IP를 바꿔 가며 찾아오고, 당국도 동일 조직이라 단정하지 못합니다. 누가 쏘는지도 모른 채 당하는 구조예요. 밤이든 연휴든 시도는 멈추지 않습니다.
⟲ 공격자 불명이제 누구나 쓰는
공격 도구가 됐습니다
이번 사건에서 거론된 AI 침투 플랫폼은 오픈소스로 공개돼 있고, 한국어판 프로젝트까지 올라왔다는 보도가 나왔어요. 공격 기술의 진입장벽이 사라졌습니다.
⟲ 진입장벽 없음AI 해킹은 대중화 되었는데,
모의 해킹은 일 년에 한 번 합니다.
공격하는 쪽
명령 한 줄, 몇 분,
몇 번이든
- 정찰·약점 탐색·다음 수 선택까지 AI가 스스로 이어 갑니다
- 오픈소스로 공개돼 누구나 내려받아 쓸 수 있어요
- IP를 바꿔 가며 24시간 시도해요
- 점검 목록에 없는 직원용·영업 시스템부터 노려요
방어하는 쪽
보통 연 1~2회,
사람이, 목록 안에서만
- 정기 모의해킹은 일정을 잡고 몇 주에 걸쳐 사람 손으로 합니다
- 공식 점검 대상에서 빠진 시스템은 자율점검에 맡겨져 있어요
- 새 취약점이 공개돼도 다음 점검까지 알 수 없어요
- 방어용 AI는 선별된 소수 정부·기업에만 열려 있습니다
취약점 1만 건을 찾은 AI는 대중에게 열리지 않았어요
Anthropic은 2026년 4월 Project Glasswing을 시작했고, 파트너들이 Mythos Preview로 핵심 소프트웨어에서 1만 건이 넘는 취약점을 찾았다고 밝혔어요(5월 갱신 기준). 오남용을 막을 안전장치가 아직 없다는 이유로, 접근은 파트너와 검증을 통과한 소수 조직으로 제한돼 있습니다.
방어용 사이버 AI도 ‘검증된 신원’에게만 열립니다
OpenAI는 방어용으로 조정한 GPT-5.4-Cyber를 신원 검증을 통과한 방어자와 팀에게 단계적으로 제공해요. 개인 접근에는 유료 플랜과 하드웨어 보안키(FIDO2)까지 요구하고, 기존 사용자도 10월 1일까지 요건을 맞춰야 했어요.
출처 · OpenAI Help Center · CyberScoop
방어 도구는 선별된 소수 정부·기업에만 줍니다.
당신의 기업은 그 안에 들어 있나요?
AI의 공격은
AI 수준으로 먼저 대비하세요.
Redme는 보도에서 거론되는 자율 침투 방식, 곧 정찰·약점 탐색·다음 수 선택·검증을 스스로 반복하는 AI 레드팀이에요. 이 레드팀이 승인된 내 서비스만 먼저 공격해서, 공격자가 오기 전에 구멍과 증거와 해결책을 리포트로 드립니다.
대한민국 1위 기업용 AI 웍스AI를 만든 AI3가
한국 기업·공공의 AI 해킹 안전을 위해 직접 만들었어요.
- 선택받길 기다리지 않아도 돼요. 한국어 리포트, 한국 기업 환경에 맞춘 점검으로 지금 바로 시작해요.
- 점검 목록에 없던 곳까지. 서브도메인 정찰로 잊힌 호스트와 사내·영업용 시스템부터 찾아요.
- 허가받은 범위 안에서만. 소유권·동의서·결제·네트워크 고정, 4중 관문을 모두 통과해야 움직여요.
가상 도메인으로 그린 예시예요. 빨간 점은 점검 목록에서 빠지기 쉬운 호스트.
가입부터 리포트까지, 4단계
내 도메인 등록
점검할 도메인과 동의서를 받을 메일만 적어요. 서브도메인 정찰은 자동입니다.
약 30초내 것임을 증명
DNS에 TXT 한 줄을 넣고, 도메인 메일로 온 동의서에 서명해요. Cloudflare를 쓰면 클릭 한 번으로 끝나요.
몇 분 (DNS 반영에 따라)AI 레드팀 출동
승인된 범위만 열린 격리 환경에서 정찰하고, 공격하고, 검증해요. 창을 닫아도 계속되고, AI 추론 전 과정은 국내에서만 처리돼요.
최대 약 7시간증거·해결책 리포트
발견마다 증거와 고치는 방법을 담아 드려요. 인쇄·PDF 저장과 메일 전달을 지원해요.
끝나면 바로공격자가 쓰는 바로 그 도구들,
AI가 지휘합니다
Redme의 점검 엔진은 공개 도구 7종과 자체 개발 AI 지휘관으로 이뤄져요. 공개 도구는 전 세계 보안 전문가와 공격자가 실제로 쓰고, GitHub 별만 합쳐도 19.5만+예요. 도구 하나하나가 이미 강력한데, 여기에 결과를 읽고 다음 수를 고르는 AI 지휘관이 붙어요. 우리는 그 힘을 허가받은 범위 안에 묶어서 씁니다.
결과를 읽고 다음에 무엇을 칠지 정하는 지휘관이에요. AI는 제안만 하고, 실행은 코드 검증기가 허락한 것만 이뤄져요.
자세히 보기 →전 세계 보안 커뮤니티가 만든 템플릿으로 알려진 CVE와 노출된 설정을 훑어요. 서비스 거부·무차별 대입 템플릿은 제외해요.
자세히 보기 →원래 어떤 도구인지, 공식 소개와 공개 수치, Redme가 거는 제약을 나란히 보여 드려요.
점검 엔진 소개 →sqlmap의 공식 소개는 이래요. “취약점을 악용해 데이터베이스를 장악.”
Redme는 그중 탐지만 허락합니다.
GitHub 별 수는 2026-10-07 기준 공개 수치를 반올림한 값이고, 각 도구는 해당 프로젝트의 소유로 Redme와 제휴 관계가 없어요. 꼼꼼·심층 점검은 Strix가 더 깊이 자율 탐색해요. 공격 방식 자세히
스캔 한 번에 이런 구멍을 확인해요
노출된 관리자·백업·설정 파일
/admin /backup/ .env 같은 곳이 인터넷에 그대로 열려 있는지 확인해요.
금융권·대기업 컴포넌트의 원격 실행 취약점
웹로직·Struts·Spring·Log4j처럼 한국 대형 시스템이 많이 쓰는 서버 소프트웨어의 알려진 RCE 취약점을 이름으로 지정해 확인해요.
잊힌 서브도메인·테이크오버 위험
점검 목록에서 빠진 개발·영업·파트너용 호스트와 주인 없는 서브도메인을 찾아요.
SQL 인젝션 가능성
입력값이 쿼리로 새는지 탐지만 해요. 데이터를 꺼내거나 바꾸지 않아요.
인증·세션 설정 결함
쿠키 HttpOnly·Secure 누락, 기본 설정 노출, 약한 세션 처리를 확인해요.
보안 헤더·TLS·정보 노출
CSP·HSTS 같은 헤더, 인증서와 암호 설정, 배너·에러 메시지로 새는 정보를 봐요.
한국 대기업/금융권 솔루션을 콕 찍어 점검합니다.
모든 하위 도메인까지 알아서 파고 들어가서.
이번 금융권 공격은 “금융권 내 오라클 웹로직 자산을 스캔하라”는 AI 지시로 시작됐어요. Redme는 지문 조사에서 이런 컴포넌트가 보이면, 각 제품의 알려진 원격 실행 취약점(CVE)을 이름으로 지정해 확인해요.
- 빠른 점검에서는 AI에게 맡기지 않고, 시작하자마자 코드가 모든 컴포넌트를 자동으로 한 번 훑어요. 켜야 하는 옵션이 아니라 예외 없이 돕니다.
- 꼼꼼·심층 점검은 스스로 판단하는 AI 침투 엔진이 도는데, 시작할 때 이 컴포넌트들을 자동으로 한 번 확인한 뒤 그 결과를 이어받아 먼저·더 깊이 파고들어요.
이 컴포넌트들의 알려진 원격 실행 취약점 CVE 44종을 이름으로 지정해 확인해요. 무엇을 보는지 전부 →
당신의 서버에 이 컴포넌트가 남아 있다면,
공격자도 그걸 먼저 찾습니다.
노출·버전 확인까지만 하고, 원격 셸 획득이나 데이터 추출로 이어지는 실제 침투는 하지 않아요. 각 취약점의 영향 여부는 제조사 보안 공지로 최종 확인해야 해요.
이런 리포트를 받아요
발견마다 증거와 고치는 방법이 붙어요.
AI가 덧붙인 설명은 따로 표시해서 사실과 해석을 구분해 볼 수 있어요.
“남의 사이트도 공격할 수 있나요?”
아니요. 코드가 막아요.
강력한 레드팀일수록 허가 없이는 한 패킷도 나가지 않아야 해요. 스캔을 시작할 때마다 네 개의 관문을 전부 다시 확인하고, 모든 조치를 감사 로그로 남깁니다.
① 소유권 증명
DNS TXT 레코드로 이 도메인이 내 것임을 증명해요. 스캔마다 라이브 조회로 다시 확인해요.
② 도메인 메일 동의서
그 도메인의 메일로 보낸 동의서에 서명해야 해요. 서명은 도메인·사용자와 묶여 있어요.
③ 결제 확인
크레딧이나 구독이 확인돼야 시작해요. 시작 시점에 확정되고, 실패하면 환불돼요.
④ 네트워크 고정
점검 가능한 주소 목록을 시작 시점에 고정해요. 목록 밖으로는 연결 자체가 막혀요.
공격에 쓰인다는 그 모델로,
대한민국 안에서만 점검합니다
금융권 사건 보도가 보여 주듯, 실제 공격은 해커가 고른 AI 모델이 움직였어요. Redme는 해커들이 실제 공격에 가장 많이 쓰는 오픈웨이트 모델(GLM·DeepSeek·Qwen 계열)의 최신 버전으로 점검하고, 이 모델들의 가중치를 광주 국가 AI 데이터센터의 자체 GPU에 올려 직접 서빙해요. 점검 데이터의 이동·추론·기록 전 구간이 대한민국 안에서 끝납니다.
정찰·취약점 탐색·검증까지, 점검의 모든 AI 처리가 국내에서 이뤄져요.
점검 요청·응답·로그가 해외로 나가는 구간이 없어요. 방화벽 안에서 모든 게 끝납니다.
찾아낸 취약점·증거·리포트도 전부 국내에 머물러요. 개발사 서버로 전송되지 않아요.
추론 노드는 무보관(ZDR). 남는 건 국내 감사 로그뿐이고, 저장 여부는 조직이 정해요.
AI 추론 경로는 BizRouter K-OpenWeight 국내 서빙 기준이에요. 경로·설비·검증 수단 공개 문서에서 확인할 수 있어요. 금융권 사건에서 실제 어떤 도구·모델이 쓰였는지는 수사와 공식 확인이 끝나야 알 수 있어요.
털리고 후회하는 비용보다
훨씬 가볍게 시작해요
크레딧 1개로 먼저 해 보고, 마음에 들면 주기마다 자동으로 다시 점검하는 구독으로 옮기세요. 구독은 첫 구독의 첫 달 50% 할인이고 언제든 해지할 수 있어요.
크레딧 구매
- 빠른 점검 1개 · 꼼꼼한 점검 2개 · 심층 점검 3개
- 예상 시간 빠른 점검 10~30분 · 꼼꼼한 점검 30~90분 · 심층 점검 1~3시간
- 증거와 해결책이 담긴 리포트
- 누적 5개 이상 구매하면 서브도메인 점검 최대 50개
- 카드 등록은 결제 단계에서
스타터첫 달 50% 할인
- 주 1회 자동 재점검 — 누르지 않아도 돼요
- 매달 꼼꼼한 점검 1회분 크레딧 2개 포함
- 사이트(도메인) 최대 1개
- 서브도메인 점검 최대 1개
- 신규·해결·미해결 diff 리포트
- 메일 리포트 발송
- 언제든 해지
그로스첫 달 50% 할인
- 주 1회 자동 재점검 — 누르지 않아도 돼요
- 매달 꼼꼼한 점검 2회분 크레딧 4개 포함
- 사이트(도메인) 최대 5개
- 서브도메인 점검 최대 25개
- 신규·해결·미해결 diff 리포트
- 메일 리포트 발송
- 언제든 해지
스케일첫 달 50% 할인
- 주 2회 자동 재점검 — 누르지 않아도 돼요
- 매달 꼼꼼한 점검 4회분 크레딧 8개 포함
- 사이트(도메인) 최대 15개
- 서브도메인 점검 최대 50개
- 신규·해결·미해결 diff 리포트
- 메일 리포트 발송
- 언제든 해지
크레딧 정기구독첫 달 50% 할인
- 매달 크레딧 5개 자동 충전
- 크레딧당 110,000원 — 단건보다 27% 저렴 (첫 달은 크레딧당 55,000원 · 63% 저렴)
- 사이트(도메인) 최대 1개 · 서브도메인 최대 25개
- 수동으로 원할 때 점검
- 언제든 해지
기업·공공 도입
- 조직 계정: 멤버 초대와 역할 권한
- 2단계 인증 필수 정책 · 허용 IP
- 감사 로그(CSV) · API 키
- 보안 요건·도입 절차 상담
카드 등록은 결제 단계에서 토스페이먼츠로 진행해요 · 해지해도 기간이 끝날 때까지 스캔이 계속돼요 · 결제 전에 체험으로 결과물을 먼저 볼 수 있어요.
결제 시 이용약관의 요금·환불 규정이 적용돼요.
시작하기 전에 궁금한 점
남의 도메인도 점검할 수 있나요?
이번 금융권 사건에 쓰인 것과 같은 도구인가요?
Redme를 쓰면 안전이 보장되나요?
점검하다가 내 서비스가 느려지거나 멈추지 않나요?
점검 데이터가 해외로 나가나요?
점검 중 개인정보가 보이면 어떻게 되나요?
클라우드·호스팅을 쓰고 있어도 되나요?
AI가 찾은 결과를 그대로 믿어도 되나요?
비용은 얼마인가요?
기업·공공기관 도입은 어떻게 하나요?
공격자보다 먼저,
내 서비스를 두드려 보세요.
소 잃고 외양간 고치기엔 AI가 너무 빨라요.
오늘 스캔 한 번이, 내일의 헤드라인이 되지 않게 해 줍니다.