ARTEX AI 모의해킹 취약점 점검 — 공격자보다 먼저 점검해 드립니다

해커는 이미 AI로 공격합니다

2026년 10월, 금융당국은 은행·저축은행·카드사 등 금융사 16곳에서 해킹 피해를 확인했고 개인정보 약 10만 건이 유출됐다고 발표했습니다. 수사 과정에서 공격에 AI 자율 침투 도구가 사용된 정황도 확인됐습니다.

관련 기사: 금융사 7곳 해킹서 포착된 ‘ARTEX AI’… 공격 서버서 AI 작업기록 확인

AI 공격 도구는 사람보다 빠르고 지치지 않습니다. 공개된 서버를 찾고, 취약점을 시험하고, 성공한 경로를 이어 붙이는 일을 몇 시간 만에 해냅니다. 규모가 작은 회사도 예외가 아닙니다. 자동화된 공격은 대상을 가리지 않기 때문입니다.

그래서 공격자와 같은 방식으로, 공격자보다 먼저 점검해 드립니다.

누가, 무엇으로 점검하나요

• 정보보호학을 전공했고 정보보안기사(2025.08)를 취득한 전문가가 직접 수행합니다.
• 원본 ARTEX를 그대로 쓰지 않습니다. 고객마다 대상 시스템만 바라볼 수 있는 샌드박스를 따로 구축하고, 이를 위해 JC-Lab이 수정·개발한 artex-plane을 사용합니다.

artex-plane은 Management Plane과 Execution Plane을 분리해, 격리된 환경에서 Execution Agent의 네트워크를 통제하고 감시할 수 있도록 만든 JC-Lab의 오픈소스입니다.

이렇게 점검합니다

AI 자율 침투 시스템 ARTEX의 LLM 에이전트들이 정찰부터 공격 검증까지 스스로 계획하고 실행합니다. 발견된 결과는 보안 전문가가 하나하나 직접 재현해 오탐을 걸러낸 뒤 보고서로 전달합니다.

1. 정찰 — 서브도메인, 열린 포트, 사용 기술, 노출된 관리 페이지와 API를 수집합니다.
2. 취약점 탐색 — 웹은 OWASP Top 10을 기준으로 SQL 인젝션, XSS, 인증·인가 우회(IDOR), 파일 업로드, 기본 계정, 취약한 JWT 등을 시험합니다. 서버는 포트 스캔 후 열린 서비스들의 취약점을 시험합니다.
3. 공격 경로 검증 — 개별 취약점을 이어서 실제로 어디까지 침투할 수 있는지 확인합니다.
4. 전문가 검증 — 모든 결과를 사람이 직접 재현하고, 실제 위험도를 다시 매깁니다.
5. 보고 — 위험도별 결과, 재현 절차, 증적(요청·응답), 간략한 조치 방법을 정리해 드립니다.

패키지

패키지	점검 범위	재점검	가격
STANDARD 웹/서버 기본 점검	웹사이트 또는 서버 1개의 외부 노출 영역 (비로그인)	—	75,000원
DELUXE 웹·API 심화 점검	웹 서비스 1개의 외부 노출 영역 + 로그인 후 영역과 API	1회	200,000원
PREMIUM 외부 공격 표면 전체 점검	웹사이트·서버 IP 합계 10개까지 (범위는 DELUXE와 동일)	1회	500,000원

• STANDARD는 웹 또는 서버 1개 기준입니다. 웹과 서버를 함께 점검하면 135,000원입니다(10% 할인).
• 세금계산서 발행이 가능합니다.
• 컨설팅(유료)을 요청하시면 5영업일 동안 온라인으로 세부 개선 방안을 함께 논의합니다. 취약점 개수·난이도·소스 검토 여부에 따라 500,000원부터 시작합니다.

진행 절차

1. 상담 — 점검 대상(도메인, 서버, API)과 원하는 패키지를 알려 주세요. 규모가 패키지 범위를 넘으면 맞춤 견적을 드립니다.
2. 결제 및 범위 확정 — 점검 대상 목록, 점검 일정, 제외할 기능을 확정합니다.
3. 권한 확인 — 대상 소유 확인 자료와 점검 동의서를 받습니다.
4. AI 자동 점검 — 합의한 시간대에 ARTEX가 정찰과 취약점 탐색, 공격 경로 검증을 수행합니다. 진행 중 심각한 취약점이 발견되면 보고서를 기다리지 않고 바로 알려 드립니다.
5. 전문가 검증 — 자동 점검 결과를 직접 재현해 오탐을 제거하고 위험도를 확정합니다.
6. 보고서 전달 — 결과 보고서(PDF)를 전달합니다. 간략한 조치 가이드가 포함됩니다.
7. 재점검 (DELUXE · PREMIUM) — 조치를 마치고 알려 주시면 해당 취약점이 해결됐는지 다시 확인하고 결과를 보고서에 반영합니다. 보고서 전달 후 30일 안에 요청해 주세요.

준비해 주실 것

공통

• 점검 대상 목록: 도메인/URL, 공인 IP, API 주소
• 점검 동의서: 회사명, 대상 목록, 점검 기간이 들어간 동의서에 대상 자산 책임자의 서명 (양식은 제공해 드립니다)
• 소유 확인 자료 (상황에 따라 조정 가능)
  • 도메인: 지정해 드리는 TXT 레코드를 DNS에 추가
  • IP: DNS PTR 레코드와, 식별된 도메인에 TXT 레코드 추가
  • 웹: 웹 루트에 확인용 파일 업로드
• 점검 가능한 시간대와 제외할 기능
• 점검 중 긴급 연락을 받을 담당자
• 방화벽·WAF·Cloudflare를 쓰고 있다면 점검 효율을 위해 점검 IP를 허용해 주세요.

DELUXE · PREMIUM 추가

• SaaS나 멀티테넌트 서비스에 적합합니다.
• 점검용 테스트 계정: 권한이 다른 계정 2개 이상 (예: 일반 회원·관리자). 실제 고객 데이터가 없는 계정을 권장합니다.
• API 문서(Swagger/OpenAPI 등)가 있다면 함께 전달해 주세요.
• 의도치 않은 손상을 막기 위해, 가능하다면 운영 환경과 같은 구성의 스테이징 환경을 제공해 주세요.

클라우드·호스팅·외주 업체가 서버를 관리한다면 해당 업체에 사전 신고나 동의가 필요합니다.

가능한 한 안전하게 진행합니다

• 권한 확인 후에만 점검합니다. 대상 자산의 소유 또는 점검 권한을 확인하고 점검 동의서를 받은 뒤에만 시작합니다. 권한이 확인되지 않으면 진행하지 않습니다.
• 합의한 범위와 시간 안에서만 공격합니다. 범위 밖 자산은 AI 에이전트가 접근하지 못하도록 샌드박스의 차단 정책으로 막습니다.
• 데이터는 최소한으로 다룹니다. 개인정보가 노출된 것이 확인되면 필요한 증적만 가린 채로 남기고 즉시 알려 드립니다. 샌드박스, 점검 데이터, 보고서는 납품 후 합의한 기간이 지나면 파기합니다.

꼭 확인해 주세요

• 소유하지 않았거나 점검 권한이 없는 시스템은 의뢰받지 않습니다.
• 이 서비스는 전자금융기반시설·주요정보통신기반시설 취약점 분석·평가 등 법정 평가나 ISMS-P 인증 심사를 대체하지 않습니다.
• 자동화와 전문가 검증을 함께 하더라도 모든 취약점을 찾아낸다고 보장할 수는 없습니다. 보고서는 점검 기간 동안 확인된 결과입니다.
• 사회공학(피싱 메일 등), 물리 보안, 부하 테스트는 범위에 포함되지 않습니다.
• 의도치 않은 피해에 대해서는 책임지지 않습니다. 취약점 종류에 따라 서버 crash나 서비스 재시작 같은 의도치 않은 영향이 생길 수 있습니다.

자주 묻는 질문

Q. 어떤 LLM 모델을 사용하나요?

Cyber Security / Exploit Gym 등에서 높은 성능을 보이는 LLM 모델들을 사용합니다. OpenRouter API를 통해 호출하며, 고객 정보 보호를 위해 프롬프트 데이터를 학습·보관하지 않고 중국 본사가 아닌 Provider만 사용합니다.

문의

점검 대상(도메인, 서버, API)과 원하는 패키지를 joseph@jc-lab.net으로 보내 주세요. 규모가 패키지 범위를 넘으면 맞춤 견적을 드립니다.

 

https://jclab-product.github.io/project-proposal/ai-pentest/register/ 에서 고객등록 및 자산을 등록하신 뒤 고객ID 을 알려주시면 더 신속하게 진행 가능합니다. (자동 자산 검증이 이루어 집니다).