# \#security-scanner **URL:** https://discuss.pytorch.kr/tag/security-scanner/4918.md [최신](https://discuss.pytorch.kr/latest.md) · [카테고리](https://discuss.pytorch.kr/categories.md) · [태그](https://discuss.pytorch.kr/tags.md) --- ## [SkillSpector: AI 에이전트 스킬을 설치 전에 검사하는 NVIDIA의 보안 스캐너](https://discuss.pytorch.kr/t/skillspector-ai-nvidia/10986)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\ **댓글:** 0\ **마지막 업데이트:** [6월 30, 2026, 3:30오전 UTC](https://discuss.pytorch.kr/t/skillspector-ai-nvidia/10986 "2026-06-30T03:30:52Z")
SkillSpector 소개 Claude Code, Codex CLI, Gemini CLI 같은 코딩 에이전트는 "스킬(skill)"이라는 형태로 외부 지시문과 스크립트를 가져와 실행합니다. 문제는 이 스킬들이 대체로 암묵적 신뢰를 받으며 거의 검증 없이 설치된다는 점입니다. SkillSpector는 NVIDIA가 공개한 보안 스캐너로, 스킬을 설치하기 전에 "이 스킬을 설치해도 안전한가?"라는 질문에 답하는 것을 목표로 합니다. SkillSpector가 인용하는 연구에 따르면 대규모 마켓플레이스에서 수집한 스킬 가운데 26.1%가 최소 한 개 이상의 취약점을 포함하고, 5.2%는 악의적 의도를 보이는 것으로 나타났습니다. 즉 사용자가 무심코 가져오는 스킬 상당수가 프롬프트 인젝션(Prompt Injection), 자격 증명 탈취, 공급망(Supply Chain) 위험 같은 문제를 안고 있을 수 있습니다. SkillSpector는 이런 스킬을 설치 시점 이전에 정적·의미 분석으로 걸러내는 게이트 역할을 합니다. 설치 대상은 단일 SKILL.md 파일부터 디렉토리, zip 파일, Git 저장소, 원격 URL까지 다양한 형태를 지원합니다. 검사 결과는 0부터 100까지의 위험 점수와 심각도 라벨, 그리고 설치 여부 추천으로 정리되며, 사람이 읽는 터미널 출력뿐 아니라 CI 파이프라인이나 에디터 도구가 그대로 소비할 수 있는 기계 판독 형식으로도 출력됩니다. 본 게시물에서는 SkillSpector가 풀려는 문제, 2단계 검사 파이프라인, 탐지 범주, 설치·통합 방법, 그리고 도구의 신뢰 모델과 한계를 정리합니다. SkillSpector가 다루는 문제: 검증되지 않은 스킬의 위험 SkillSpector의 출발점은 에이전트 스킬 생태계에 대한 실증 연구입니다. 저장소는 Liu 등(2026)의 "Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale" 연구를 근거로 들며… --- ## [Burp AI Agent: Web App의 보안 취약점 점검 및 침투 테스트를 위한 Burp Suite 기반 AI 에이전트](https://discuss.pytorch.kr/t/burp-ai-agent-web-app-burp-suite-ai/9195)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\ **댓글:** 0\ **마지막 업데이트:** [3월 12, 2026, 9:30오전 UTC](https://discuss.pytorch.kr/t/burp-ai-agent-web-app-burp-suite-ai/9195 "2026-03-12T09:30:49Z")
Burp AI Agent 소개 Web Application의 보안 진단 및 모의 해킹(Penetration Testing) 분야에서 Burp Suite는 사실상 업계 표준으로 자리 잡은 도구입니다. 전 세계의 수많은 보안 엔지니어와 버그 바운티 헌터들은 Burp Suite를 활용하여 HTTP 요청을 가로채고, 조작하며, 다양한 취약점을 찾아냅니다. 그러나 갈수록 복잡해지는 최신 웹 애플리케이션 환경에서는 분석해야 할 패킷의 양이 방대해지고, 난독화된 자바스크립트나 복잡한 API 구조를 사람이 일일이 파악하는 데 많은 시간과 노력이 소모됩니다. 이러한 한계를 극복하고 분석 워크플로우를 극대화하기 위해 인공지능을 Burp Suite에 직접 결합하려는 시도가 꾸준히 이어져 왔습니다. 이번에 소개하는 Burp AI Agent는 Burp Suite 환경에 최신 AI 기술을 완벽하게 통합해 주는 강력한 익스텐션(Extension)입니다. 사용자는 이 도구를 통해 번거로운 수동 분석 작업을 AI에게 위임하고, 코드 리뷰, 익스플로잇(Exploit) 코드 초안 작성, 심층적인 취약점 분석 등의 고차원적인 작업에 집중할 수 있습니다. 특히, 로컬에서 구동되는 AI 모델부터 클라우드 기반의 강력한 상용 AI 모델까지 유연하게 선택할 수 있는 구조를 갖추고 있어 개인 보안 연구자부터 엔터프라이즈 환경의 보안 팀까지 폭넓게 활용할 수 있는 것이 특징입니다. Burp AI Agent는 단순한 챗봇 수준을 넘어, 최근 화제가 되고 있는 모델 컨텍스트 프로토콜(MCP, Model Context Protocol) 서버를 내장하고 있습니다. 이를 통해 외부의 AI 에이전트(예: Claude Desktop)가 Burp Suite의 기능들을 직접 제어하고, 능동적 혹은 수동적(Active/Passive)으로 트래픽을 스캐닝하여 62가지 이상의 취약점을 자동으로 식별해 냅니다. 보안 엔지니어에게 꼭 필요한 자동화 및 지능화 기능을 제공하면서도, 민감한 데이터의 외부 유출을 막는 정… --- ## [Metis: ARM에서 개발 및 공개한 AI 기반 오픈소스 보안 코드 리뷰 도구](https://discuss.pytorch.kr/t/metis-arm-ai/8435)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\ **댓글:** 0\ **마지막 업데이트:** [12월 17, 2025, 3:30오전 UTC](https://discuss.pytorch.kr/t/metis-arm-ai/8435 "2025-12-17T03:30:18Z")
Metis 소개 Metis는 ARM의 제품 보안(Product Security) 팀이 개발하여 공개한 AI 기반의 오픈소스 보안 코드 리뷰 도구입니다. 그리스 신화 속 '지혜의 여신'인 메티스(Metis)에서 이름을 따온 이 도구는, 기존의 정적 분석 도구(SAST, Static Application Security Testing)가 놓치기 쉬운 설계상의 결함이나 복잡한 논리적 버그를 찾아내는 데 특화되어 있습니다. 전통적인 코드 리뷰 도구들이 단순히 사전에 정의된 규칙(Rule)이나 패턴 매칭에 의존해 코드를 검사했다면, Metis는 대규모 언어 모델(LLM) 과 검색 증강 생성(RAG, Retrieval Augmented Generation) 기술을 활용합니다. 이를 통해 코드의 문맥(Context)과 의도를 파악하고, 마치 숙련된 보안 엔지니어가 리뷰하듯 "왜(Why)" 해당 코드가 취약한지를 설명해 줍니다. 특히 거대하고 오래된 레거시 코드베이스나 복잡한 시스템에서 발생하는 미묘한 취약점을 탐지하는 데 강력한 성능을 발휘합니다. 소프트웨어 보안 분야에서 기존의 정적 분석 도구(Static Analysis Tool)는 높은 오탐지율(False Positive)과 문맥 이해 부족이라는 한계가 있었습니다. Arm은 이러한 문제를 해결하고 내부 보안 검토의 효율성을 높이기 위해 Metis를 개발했으며, 이를 커뮤니티와 공유하기 위해 Apache 2.0 라이선스로 오픈소스로 공개했습니다. Metis는 기존의 정적 분석 도구(SAST)를 대체하는 것이 아니라, 이를 보완하여 더 깊이 있는 분석을 제공하는 것을 목표로 합니다. 주요 차이점을 정리하면 다음과 같습니다: 특징 기존 SAST 도구 Metis 분석 방식 결정론적(Deterministic), 규칙 및 패턴 기반 비결정론적(Non-deterministic), 문맥 인식 및 추론 기반 코드 이해도 구문(Syntax) 수준의 분석 의미(Semantic) 및 아키텍처 수준의 이해 … --- ## [VulnViper: LLM 기반의 Python 코드 보안 스캐너](https://discuss.pytorch.kr/t/vulnviper-llm-python/6986)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\ **댓글:** 0\ **마지막 업데이트:** [5월 23, 2025, 3:30오전 UTC](https://discuss.pytorch.kr/t/vulnviper-llm-python/6986 "2025-05-23T03:30:30Z")
VulnViper 소개 Python 프로젝트를 진행하면서 보안 취약점을 자동으로 탐지하고 싶으신가요? VulnViper는 OpenAI GPT 및 Google Gemini와 같은 대형 언어 모델(LLM)을 활용하여 Python 코드의 보안 취약점을 분석하고, 요약 및 수정 권장 사항을 제공합니다. VulnViper는 Python 코드베이스의 보안 취약점을 식별하고 이해하는 데 도움을 주는 지능형 보안 감사 도구입니다. OpenAI의 GPT 시리즈 및 Google의 Gemini와 같은 대형 언어 모델(LLM)의 기능을 활용하여 코드를 청크 단위로 분석하고, 요약, 잠재적인 보안 문제 식별 및 완화 권장 사항을 제공합니다. CLI와 GUI를 모두 제공하여 빠른 스캔과 자동화, 그리고 더 인터랙티브한 경험을 제공합니다. 기존의 정적 분석 도구(예: Bandit, SonarQube)는 사전 정의된 규칙에 따라 코드를 분석하지만, VulnViper는 LLM을 활용하여 코드의 의미를 이해하고, 더 깊이 있는 보안 분석을 제공합니다. 또한, CLI와 GUI를 모두 지원하여 다양한 사용자의 요구를 충족시킵니다. VulnViper의 주요 기능 LLM 기반 분석: OpenAI GPT 및 Google Gemini를 활용하여 코드의 의미를 이해하고 보안 취약점을 식별합니다. 포괄적인 감사: 특정 CWE에 국한되지 않고 다양한 보안 문제를 식별합니다. 실행 가능한 권장 사항: 식별된 문제에 대한 수정 권장 사항을 제공합니다. 코드 요약: 코드 청크에 대한 요약을 생성하여 이해를 돕습니다. 이중 인터페이스: CLI와 GUI를 모두 제공하여 다양한 사용자의 요구를 충족시킵니다. 유연한 구성: LLM 제공자 및 모델을 선택할 수 있습니다. 로컬 데이터 저장: 스캔 결과를 로컬 SQLite 데이터베이스에 저장합니다. Markdown 보고서: 자세한 감사 보고서를 Markdown 형식으로 생성합니다. 진행 상황 추적: GUI에서는 시각적 진행 표시줄을, CLI에서는 정보 메시지를 …