CJ AI Security Wave 최종 프로젝트(AI를 활용한 침투테스트)

같은 지침을 줘도 판단이 달랐다

처음에는 지침과 실행 절차를 정해 두면 누가 작업해도 비슷한 결과가 나올 줄 알았다. 공개 CVE 한 건을 분석하는 도구를 만들고, 다섯 명이 함께 쓸 수 있도록 넓혔다.

규칙을 정하니 실행을 제한하고 결과를 모으기는 편해졌다. 하지만 이전 대화가 달라지면 같은 에이전트도 다른 경로를 제안했다. 이미 실패한 방법을 다시 꺼내는 일도 있었다.

다섯 명의 결과를 한곳에서 관리했다

나는 공격 과정에서 사용한 하네스를 설계하고, 팀원들의 공격 진행 상황과 결과를 종합해 다음 방향을 제시했다. 중간·최종 발표도 맡았다. 하네스는 AI의 제안을 사람이 검토한 뒤 실행하고, 그 결과를 기록하는 도구였다. 팀원들의 검사 결과를 모아 다음 행동을 논의하는 데 썼다.

중앙 기록은 관리 역할 하나만 수정하게 했다. 다른 역할은 결과를 보내고, 검토를 거친 뒤 다음 작업을 받았다. 확인하지 않은 추측이 다른 팀원의 작업에 그대로 넘어가지 않게 하려는 구조였다.

랩에서 드러난 한계

회사 측에서 제공한 랩에서 실습을 진행했다. 주 랩은 최종 학습 목표까지 갔지만, 여러 사람이 요청과 재시도를 보내던 중 서비스가 멈추기도 했다. 개인별 요청 제한은 있었어도 팀 전체 요청량을 세는 기능은 없었다. 장애의 직접 원인은 전체 인프라 로그가 없어 특정하지 못했다.

3주 동안 도구를 다듬는 데 시간을 많이 썼다. 정작 공격 원리를 충분히 공부하지 못한 점이 아쉽다. 하네스 개발과 랩 실습, 발표 준비에서 겪은 일은 아래 개발일지에 나눠 적었다.

설계와 구현, 문서 작성에 AI 에이전트를 사용했다. 답변은 실행 로그와 저장소 이력으로 다시 확인했고, 개인 회고는 직접 썼다.