한 줄로 말하면
내 웹사이트나 앱에 보안 구멍이 없는지 걱정될 때, 보통은 두 가지 선택지밖에 없었습니다. 비싼 보안 전문가에게 모의해킹을 맡기거나, 아니면 오탐(잘못된 경고)이 넘쳐나는 자동 스캐너를 돌리거나. Strix는 그 사이에 있습니다. AI 에이전트 여러 개가 협력해 실제 해커처럼 앱을 공격해 보고, 진짜 뚫리는 곳만 증거와 함께 보고합니다.
"취약점이 있을 수도 있습니다"가 아니라 "여기가 실제로 이렇게 뚫립니다"를 보여주는 AI 모의해커.
먼저 비용부터 보겠습니다
보안 점검은 그동안 개인 개발자나 작은 팀이 감당하기 어려운 영역이었습니다. 전문 모의해킹 외주는 한 번에 수백만 원이 들고, 결과를 받기까지 몇 주가 걸립니다.
기존 방식과 무엇이 다른가
핵심은 "검증"입니다. 일반 스캐너는 "이 부분이 위험할 수 있다"는 목록을 잔뜩 던져주고, 그중 진짜와 오탐을 걸러내는 건 사람 몫입니다. Strix는 발견한 취약점을 실제로 공격해 보고, 성공한 것만 증거와 함께 보고합니다.
주요 기능
Strix는 정찰(reconnaissance)부터 공격, 검증, 수정 제안까지 모의해킹의 전 과정을 AI 에이전트가 자동으로 수행합니다.
사용 방법
준비물 확인
실행 중인 Docker와 LLM API 키(OpenAI·Anthropic·Google 등)가 필요합니다. AI 에이전트가 격리된 환경에서 안전하게 공격을 실행하기 위한 구성입니다.
설치
터미널에 한 줄이면 됩니다.curl -sSL https://strix.ai/install | bash
사용할 AI 모델 설정
어떤 LLM으로 돌릴지 지정합니다.export STRIX_LLM="anthropic/claude-sonnet-4-6"export LLM_API_KEY="발급받은-키"
내 앱을 대상으로 실행
로컬 코드 폴더나 내 사이트 주소를 지정하면 AI가 점검을 시작합니다.strix --target ./my-app 또는 strix --target https://내-사이트.com
반드시 본인 소유이거나 명시적으로 허가받은 자산만 점검하세요. Strix는 실제 공격을 수행하는 도구입니다. 허락 없이 남의 웹사이트나 서버를 스캔하는 것은 대부분의 국가에서 불법이며, 심각한 법적 책임으로 이어질 수 있습니다. 내가 만든 앱, 내 회사 서비스, 또는 서면 허가를 받은 대상에만 사용해야 합니다.
솔직한 한계
완전 무료는 아닙니다. 도구 자체는 오픈소스로 무료지만, AI 에이전트가 LLM을 호출하므로 스캔 1회마다 API 비용(모델에 따라 보통 몇 달러 수준)이 발생합니다. 큰 앱을 깊게 검사하면 비용이 더 늘 수 있습니다.
인간 전문가를 완전히 대체하지는 않습니다. 복잡한 비즈니스 로직이나 도메인 특유의 취약점은 여전히 숙련된 보안 전문가의 판단이 필요합니다. Strix는 1차 방어선이자 강력한 보조 도구로 보는 게 현실적입니다.
Docker와 약간의 터미널 사용이 필요합니다. 완전한 비개발자용 GUI는 아닙니다. 다만 설치와 실행이 명령어 한두 줄로 끝나 진입장벽은 낮은 편입니다.