RedmeAI 레드팀은
이렇게 공격합니다
공격자와 같은 순서로, 단 허가받은 범위 안에서만 움직여요. 정찰하고, 약점을 찾고, 결과를 보고 다음 수를 고르고, 마지막에 증거로 확정합니다. 무엇을 하고 무엇을 하지 않는지 숨기지 않고 보여 드려요.
정찰에서 증거 확정까지
한 번의 점검은 아래 순서를 AI가 판단하며 오가는 과정이에요. 앞 단계 결과에 따라 어디를 더 깊이 볼지가 달라져요.
정찰
공개 인증서 기록과 DNS로 서브도메인을 열거해요. 이 단계에서는 대상에 직접 요청을 보내지 않아요.
crt.shDNS공격면 지도
살아 있는 호스트, 상태코드, 웹 서버와 기술 스택·버전을 조사해 어디가 열려 있는지 그려요.
httpx취약점 매칭
알려진 CVE, 노출된 설정·관리자 페이지, 보안 설정 오류를 번들 템플릿으로 확인해요.
nuclei웹 점검
쿠키·헤더·세션을 수동 방식으로 보고, 내장된 작은 목록으로 숨은 경로를 확인해요.
zapffufcurl인젝션 탐지
SQL 인젝션이 있는지만 탐지해요. URL 하나씩 확인하고 데이터는 꺼내지 않아요.
sqlmap(탐지 전용)AI 검증·보고
위양성을 걸러 내고 증거를 확정해요. 발견마다 고치는 방법을 붙여 리포트로 정리해요.
AI 오케스트레이터AI는 제안하고,
코드가 허락한 것만 실행돼요
자율 침투의 핵심은 결과를 보고 다음 수를 고르는 반복이에요. Redme도 같은 루프를 쓰되, AI가 명령을 직접 실행하지 못하게 사이에 검증기를 끼웠어요.
관찰
지금까지의 도구 결과와 발견 내용을 읽어요.
판단
다음에 어느 호스트에 무엇을 칠지 정해요. 점검 목록에 없던 호스트가 눈에 띄면 우선순위를 올려요.
제안
AI는 “이 도구를 이 호스트에 쓰겠다”고 제안만 할 수 있어요. 셸 실행 권한이 없어요.
검증기 허가
코드가 호스트가 범위 안인지, 인자가 안전한지, 속도 상한을 넘지 않는지 확인해 허가하거나 거부해요.
실행·기록
격리된 샌드박스에서 실행하고, 모든 조치와 판정을 감사 로그에 남겨요. 그리고 다시 관찰로 돌아가요.
- 샌드박스에는 비밀키가 없어요. AI 호출·결제·메일 같은 키는 서버에만 있고, 공격 도구가 도는 격리 환경에는 하나도 들어가지 않아요.
- 모든 실행은 같은 관문을 지나요. 주소 확인 → 사설 IP 차단 → 주소 고정 → 실행 → 기록. 도구마다 분당 호출 상한도 따로 있어요.
- 스텝·시간·비용 상한이 있어요. 한 번의 점검은 정해진 시간(최대 7시간)과 AI 비용을 넘지 못해요. 한도에 가까워지면 AI에게 마무리를 시키고, 넘으면 지금까지 찾은 결과를 드려요.
같은 방식, 반대의 목적
| 항목 | 자율 침투형 공격(보도에서 거론) | Redme AI 레드팀 |
|---|---|---|
| 정찰 | 외부에 노출된 자산을 찾아요 | 같아요. 승인된 도메인의 서브도메인·호스트만 찾아요 |
| 판단 | 결과를 보고 다음 수를 골라요 | 같아요. AI 오케스트레이터가 다음 도구를 제안해요 |
| 실행 | 제한이 없어요 | 코드 검증기가 허가한 것만, 속도 상한 안에서만 실행돼요 |
| 범위 | 어디든 | 시작 시점에 고정된 목록. 목록 밖으로는 연결 자체가 막혀요 |
| 목적 | 정보 탈취 | 증거와 해결책. 데이터 추출과 서비스 거부는 금지예요 |
| 기록 | 남기지 않아요 | 모든 조치와 판정을 감사 로그로 남겨요 |
얼마나 깊게 볼지 고르세요
깊을수록 더 오래 걸리고 크레딧을 더 써요. 예상 시간은 사이트의 크기와 구조에 따라 달라지고, 최대 시간을 넘기지 않아요.
빠른 점검
크레딧 1개 · 150,000원위 6단계를 한 번 도는 기본 점검이에요. 가장 빠르고 가벼워서 처음 시작하거나 정기적으로 확인할 때 알맞아요. 로그인 상태 점검은 이 점검에서 쓸 수 있어요.
예상 10~30분 · 최대 1시간 30분
예측 가능한 기본 점검 — 도구와 규칙 중심으로 정해진 항목을 돌아요.
외주 모의해킹(건당 수백만 원) 대비 10분의 1 수준의 가격이에요.
꼼꼼한 점검 추천
크레딧 2개 · 300,000원AI 침투 엔진이 더 깊이 자율 탐색해요. 의심스러운 곳을 더 많은 단계로 파고들어서, 빠른 점검이 놓칠 수 있는 연결 고리를 찾아봐요. 처음이라면 이걸 권해요.
예상 30~90분 · 최대 4시간
AI가 스코프를 보고 스스로 계획을 세워 의심 지점을 되돌아가며 파고들어요. 판단 상한 400단계.
외주 모의해킹(건당 수백만 원) 대비 10분의 1 수준의 가격이에요.
심층 점검
크레딧 3개 · 450,000원AI 침투 엔진이 가장 깊게 탐색하는 모드예요. 중요한 서비스를 출시하기 전이나 큰 변경 뒤에 권해요.
예상 1~3시간 · 최대 7시간
같은 AI가 단계 상한을 800으로 두 배 — 시간이 남을 때마다 더 깊은 경로(인증 우회·논리 결함·연쇄 이용)를 다시 확인해요. 심층은 「같은 점검을 더 오래」가 아니라 「못 다 본 것까지 보는」 점검이에요.
외주 모의해킹(건당 수백만 원) 대비 10분의 1 수준의 가격이에요.