Redme의 점검 엔진은 연구실에서 만든 장난감이 아니에요. 전 세계 보안 전문가와 공격자가 실제로 쓰는 공개 도구들이고, 여기에 결과를 읽고 다음 수를 고르는 AI 지휘관을 붙였어요. 그래서 강력하고, 그래서 우리는 가장 먼저 묶는 장치부터 만들었습니다.
공격자가 쓰면 구멍을 ‘찾는 데’서 끝나지 않고 곧바로 침투로 이어져요.
Redme는 이 도구들을 찾는 데까지만 쓰도록 묶었습니다.
같은 도구가 공격자의 손에서는 침투 수단이고, 방어자의 손에서는 점검 수단이에요. 차이는 누가, 어디까지 쓰게 하느냐입니다. 각 도구의 공식 소개와 공개 수치를 그대로 옮기고, Redme가 거는 제약을 옆에 붙였어요.
지금까지의 도구 결과와 발견 내용을 읽고, 다음에 어느 호스트에 무엇을 칠지 정해요. 위양성을 걸러 내고 증거를 확정하는 것도 이 단계예요.
결과를 보고 다음 수를 고르는 반복. 이번 금융권 사건에서 거론된 자율 침투 도구가 사람 손을 대신하는 부분이 바로 이 판단 루프예요.
AI는 도구 호출을 제안만 해요. 셸 실행 권한이 없고, 모든 호출은 코드 검증기가 호스트 범위·인자·속도를 확인해 허가해야 실행돼요.
AI 에이전트가 스스로 앱을 탐색하고 취약점을 검증하는 오픈소스 도구예요.Open-source AI penetration testing tool to find and fix your app’s vulnerabilities.
사람이 시키지 않아도 정찰하고, 공격하고, 결과에 따라 다음 수를 고르는 방식이에요. 이번 사건에서 거론된 도구와 같은 ‘자율 침투 에이전트’ 계열의 접근입니다.
꼼꼼·심층 점검에서 일해요. 4중 관문·스코프 동결·마스킹·비용 상한은 Redme 것을 그대로 유지하고, Strix가 낸 결과도 그대로 믿지 않고 Redme의 규칙으로 변환해 증거를 확정해요.
전 세계 보안 커뮤니티가 만든 YAML 템플릿으로 동작해요. 공식 소개는 템플릿이 수천 명의 보안 전문가 기여로 채워진다고 해요.fast, customizable vulnerability scanner powered by the global security community
화제가 된 취약점의 템플릿이 커뮤니티를 통해 빠르게 공유돼요. 그 템플릿은 방어자에게도, 공격자에게도 똑같이 열려 있어서 수많은 호스트를 한꺼번에 훑는 데 쓰여요.
번들 템플릿으로 알려진 CVE·노출된 설정·관리자 페이지를 확인해요. 서비스 거부·무차별 대입·퍼징 계열 템플릿은 실행 때 제외해요.
공식 소개는 5가지 SQL 인젝션 기법과 40종이 넘는 데이터베이스를 지원한다고 해요.Open-source automation for detecting and exploiting SQL injection flaws — and taking over the databases behind them.
공식 소개 그대로, 취약점을 악용해 데이터베이스를 장악해요. 백엔드가 허용하면 파일 시스템을 읽고 쓰고 운영체제 명령까지 실행할 수 있다고 안내해요.
SQL 인젝션이 있는지만 탐지해요. URL 하나씩만 보고, 데이터 덤프·셸 획득 옵션은 검증기가 실행 전에 거부해요.
프로젝트가 스스로 내건 소개는 이래요. 현재 공식 표기는 ‘ZAP by Checkmarx’예요.The world’s most widely used web app scanner.
웹 앱의 쿠키·헤더·세션 같은 약점을 자동으로 훑고, 능동 모드에서는 직접 공격 요청까지 보내요.
패시브(수동) 기본 점검만 써요. 오가는 응답을 관찰해 약점을 찾고, 스코프 밖 URL은 따라가지 않아요.
여러 가지 조사(probe)를 한 번에 돌리는 빠른 다목적 HTTP 도구예요.fast and multi-purpose HTTP toolkit
수천 개 호스트 중 어디가 살아 있고 어떤 소프트웨어가 도는지 순식간에 가려내는 정찰 도구예요.
살아 있는 호스트와 웹 서버·기술 스택·버전만 조사해 공격면 지도를 그려요. 파괴적인 요청은 하지 않아요.
공개된 소스만 이용해 서브도메인을 모으는 도구예요.Fast passive subdomain enumeration tool.
목표 회사의 잊힌 서브도메인을 찾는 일은 정찰의 출발점이에요. 이번 금융권 사건에서도 점검 목록 밖 시스템이 뚫렸다고 보도됐어요.
승인된 도메인의 스윕 범위 안에서만 수집해요. 공개 인증서 기록(crt.sh)·DNS 열거와 함께 ‘내가 잊고 있던 호스트’를 먼저 찾아요.
Go로 만든 빠른 웹 퍼저예요.Fast web fuzzer written in Go
숨겨진 관리자 페이지와 백업 파일 경로를 사전 목록으로 빠르게 두드려 찾아내요.
Redme에 내장된 작은 목록만 쓰고, 재귀·대규모 탐색은 차단돼요. 도구마다 분당 호출 상한도 따로 있어요.
각 도구는 해당 프로젝트의 소유이며 Redme와 제휴·보증 관계가 없어요. 인용한 소개 문구는 각 프로젝트의 공식 사이트·저장소 설명이고, GitHub 별 수는 2026-10-07에 GitHub API로 받은 값을 반올림해 보여 줘요. 별 수가 곧 성능이나 안전을 뜻하지는 않아요.
도구 하나하나는 몇 년 전부터 있었어요. 달라진 건 결과를 읽고, 다음 도구를 고르고, 멈추지 않고 반복하는 AI 지휘관이 붙었다는 점이에요. 숭실대 AI안전성연구센터의 가상 은행 재현 실험에서 AI가 개인정보 100건에 닿기까지 6분이 걸렸다고 보도됐어요(실제 금융기관과 무관).
Redme