먼저 환경 전체를 그래프로 만듭니다. 나머지는 모두 그다음입니다.

다섯 가지 발견 사항, 그리고 실제로 이어지는 조치

아무도 적용하지 않는 해결책은 수정이 아닙니다. 수정이 코드라면 저희가 작성하여 귀사 저장소에 초안 풀 리퀘스트를 엽니다. 수정이 클라우드 구성이라면 저희는 절대 건드리지 않습니다. 조치 사항에 서명하여 귀사가 소유한 자동화에 넘깁니다.

저희가 결코 하지 않는 일.

기본은 에이전트 없는 방식. 클라우드를 연결해도 서버에는 아무것도 설치되지 않습니다. 커널 수준 가시성이 필요한 팀을 위해 선택형 eBPF 런타임 센서를 제공합니다. 직접 켜지 않는 한 꺼져 있으며, 차단하지 않고 탐지만 합니다. 대부분의 고객은 이 센서가 필요하지 않습니다.

보유한 것을 파악하세요. 도달 가능한 것을 입증하세요. 근원에서 수정하세요.

여섯 개의 제품 영역, 세 가지 역할. 각 영역은 자신의 컨텍스트를 다음 영역으로 넘깁니다. 그래프가 존재하는 이유가 바로 이것입니다.

공격자는 하나의 그래프를 봅니다. 이제 귀사도 볼 수 있습니다.

공격자는 결코 사일로 단위로 생각하지 않습니다. 관계를 따라갑니다. 이 에이전트가 저 권한을 갖고 있고, 그 권한은 저 버킷에 닿는 식입니다. 보안 도구는 목록 단위로 생각하기 때문에, 여러 계층에 걸친 위험은 아무도 보지 못합니다. Redthread 는 AI 에이전트, 소스 코드, 클라우드, 인프라를 공격자가 손으로 그려 내는 것과 같은 하나의 그림으로 연결한 뒤, 자율 에이전트를 보내 그 그림을 따라가며 실제 진입점을 찾아냅니다.

“도달할 수 있다”는 추측입니다. “익스플로잇했다”는 사실입니다.

다른 모든 플랫폼은 이 문장의 앞부분에서 끝납니다. 구성을 읽고, 한 대상이 다른 대상에 도달할 가능성 이 있다고 계산한 뒤, 정리할 목록을 건넵니다. 저희는 실제로 공격을 실행합니다. 그 결과는 더 높은 신뢰도 점수가 아니라, 전혀 다른 종류의 사실입니다.

같은 두 자산입니다. 하지만 우선순위 목록에서는 완전히 다른 대상입니다. 하나는 계산이고, 다른 하나에는 요청, 응답, 다시 실행할 수 있는 증명이 첨부되어 있습니다.

수백 개의 Critical은 우선순위 목록이 아니며, 발견 사항은 곧 위험이 아닙니다. 실제 프로덕션 계정에서 이 방식은 17개의 발견 사항을 단 하나로 줄였습니다 — 나머지 16개도 사실이었지만, 도달할 수 없었습니다.

감사인도, 고객사 보안팀도 귀사의 말만 믿지 않습니다.

모든 평가는 세 가지 산출물을 만들어 냅니다. 테스트했다는 증거가 필요한 사람이 저희가 어떻게 침투했는지 볼 수 있는 사람인 경우는 드물기 때문입니다.

발견 사항 매핑 대상: SOC 2, ISO 27001, ISO 42001, PCI DSS, HIPAA, NIST AI RMF, NIST CSF 2.0, EU AI Act, GDPR 제25조 및 제32조. 이 매핑은 통제 항목에 대한 증거로 제시될 뿐, 결코 통과 판정이 아닙니다. 저희는 귀사의 감사인이 아니며, 귀사를 인증했다고 말하는 벤더는 사실이 아닌 말을 한 것입니다.