앱의 취약점을 스스로 찾아내고 패치까지 제안하는 자율형 보안 테스트 에이전트
코드베이스나 배포된 웹앱 주소를 지정하면, 실제 해커처럼 동작하는 AI 에이전트들이 공격 표면을 정찰하고 취약점을 찾아내며 이를 증명하는 개념 증명(PoC)을 생성합니다. 수동으로 진행해야 하는 번거로운 침투 테스트나 정적 분석 도구의 오탐 문제를 줄이고, 개발자가 바로 적용할 수 있는 수정 가이드와 함께 결과를 제공합니다. 이는 Python으로 작성된 오픈소스 도구로, Docker 환경에서 실행되며 다양한 LLM API 키를 지원합니다.
PR 단계에서 취약점 차단
Strix는 GitHub Actions 및 CI/CD 파이프라인과 자연스럽게 통합됩니다. 모든 풀 리퀘스트마다 자동으로 취약점을 스캔하고, 보안에 문제가 있는 코드가 프로덕션 환경으로 올라가는 것을 막을 수 있습니다. 별도의 복잡한 설정 없이 바로 시작할 수 있으며, CI 환경에서는 변경된 파일에만 초점을 맞춰 빠른 리뷰를 수행합니다. 이를 통해 개발 과정에서 보안 문제를 조기에 발견하고 수정하는 워크플로우를 구축할 수 있습니다.
다중 에이전트 협업 구조
Strix는 단일 에이전트가 아닌, 정찰, 악용, 후속 공격 등 전문화된 역할을 분담한 AI 에이전트 팀으로 구성됩니다. 이 에이전트들은 서로 발견한 정보를 공유하고 취약점을 체인링하여 실제 레드 팀처럼 협업합니다. HTTP 인터셉션 프록시, 브라우저 자동화, 셸 명령 실행, Python 샌드박스 등 전문 침투 테스트 도구를 내장하고 있어, OWASP Top 10을 포함한 다양한 취약점을 동적으로 검증합니다. 정적 분석 도구가 놓치기 쉬운 비즈니스 로직 오류나 인증 우회 같은 문제를 실제 실행을 통해 확인합니다.
설치 및 실행 방법
Docker가 실행 중이고, OpenAI, Anthropic, Google 등 지원되는 LLM 제공자의 API 키가 있어야 합니다. curl -sSL https://strix.ai/install | bash 명령으로 설치한 후, STRIX_LLM과 LLM_API_KEY 환경 변수를 설정합니다. 첫 실행 시 샌드박스 Docker 이미지가 자동으로 다운로드되며, 결과는 strix_runs 폴더에 저장됩니다.
사용 전 확인 사항
Strix는 지정된 타겟에 대해 능동적으로 테스트를 수행하므로, 소유하거나 명시적인 서면 허가를 받은 시스템에만 실행해야 합니다. 무단 테스트는 대부분의 지역에서 불법이며, 사용자는 법적 준수와 권한 확보에 대한 책임을 집니다. 도구는 '있는 그대로' 제공되며, 오용에 대한 보증이나 책임은 없습니다. 또한, LLM API 비용이 발생할 수 있으므로 예산을 고려해야 하며, 민감한 데이터가 포함된 환경에서는 데이터 유출 가능성을 점검해야 합니다. 기업용 배포나 SSO가 필요하면 클라우드 또는 엔터프라이즈 플랜을 검토하는 것이 좋습니다.
