AI 에이전트가 해킹하는 시대
사이트 주소만 등록하면 약 2분 만에 점검하고,
AI가 무엇이 위험하고 어떻게 고치는지 정리해 드립니다.
DB 비밀번호가 담긴 설정 파일이 공개돼 있습니다
example.co.kr/.env — 누구나 주소만 알면 열람 → 즉시 접근을 막고 DB 비밀번호를 바꾸세요게시판 버전에 공개된 SQL 인젝션 취약점
회원 DB를 통째로 빼낼 수 있는 유형 · CVSS 9.8 → 최신 버전으로 업데이트하세요관리자 계정 이름이 외부에 노출됩니다
비밀번호 대입 공격의 첫 번째 표적이 됩니다최근 금융권 사고
AI 해킹 도구를 쓴 것으로 의심되는 공격이 여러 은행의 웹서비스를 잇달아 노렸습니다.
본인 확인을 건너뛰고 입력값을 조작한 공격에 고객 정보 수만 건이 유출됐습니다.
같은 유형의 공격을 받았지만, 노린 취약점이 없어 피해로 이어지지 않았습니다.
차이는 단 하나, 빈틈이 있었느냐입니다.
2026년 10월 언론 보도·금융보안원 조사 내용 기준
“업데이트, 마지막으로 언제 했더라?”
오래된 CMS·게시판·플러그인에는 이미 공개된 공격 방법이 있습니다. AI 에이전트는 버전만 보고 수천 개 사이트를 순식간에 훑습니다.
“설정 파일이 밖에서 보이나?”
.env, .git, 로그 파일처럼 비밀번호가 담긴 파일이 주소 하나로 열리는 경우가 생각보다 흔합니다.
“개발자가 다 알아서 했겠지”
바이브 코딩·외주로 만든 사이트는 보안 헤더, 쿠키 설정, 에러 노출 같은 기본기가 빠져 있기 쉽습니다.
점검 항목
자체 점검 엔진과 검증된 보안 엔진 여러 개를 동시에 돌리고, 결과를 하나로 합쳐 AI가 분석합니다.
사이트에 쓰인 소프트웨어와 플러그인의 버전을 찾아 공개된 취약점(CVE)과 대조합니다.
설정·소스·로그 파일이 외부에서 열리는지 확인합니다.
인증서 만료, 오래된 암호화 방식, 취약한 TLS 설정을 정밀 점검합니다.
CSP, HSTS, 클릭재킹 방지, 쿠키 보안 속성 등 기본 방어 설정을 봅니다.
서버 종류·버전, 에러 메시지, 관리자 페이지, 사용자 목록 노출을 찾습니다.
사이트를 둘러보며(크롤링) 각 페이지의 설정 문제와 정보 노출을 확인합니다.
이용 방법
점검할 사이트 주소를 입력합니다.
발급된 antihack.txt 파일을 사이트에 올립니다. 내 사이트만 점검할 수 있게 하는 장치입니다.
약 2분 뒤, 위험한 순서대로 정리된 리포트와 조치 방법을 받습니다.
AI 분석 리포트
점검 결과를 AI가 분석해 전문 용어 대신 운영자 눈높이로 정리합니다.
소유권을 확인한 사이트만 점검합니다. 남의 사이트는 등록할 수 없습니다.
기본 점검은 공격하지 않고 확인만 합니다. 데이터를 바꾸거나 지우지 않습니다.
요청 속도를 제한해 작은 서버도 느려지지 않게 점검합니다.
FAQ
아니요. 소유권 확인용 antihack.txt 파일 하나만 올리면 됩니다. 점검은 외부에서 방문자처럼 접속해 진행합니다.
기본 점검은 공격 요청을 보내지 않고, 초당 요청 수를 제한해 작은 호스팅에서도 부담이 없도록 설계했습니다.
쇼핑몰, 커뮤니티, 기업 홈페이지, 직접 개발한 서비스까지 웹사이트라면 모두 가능합니다. 널리 쓰이는 CMS·게시판은 버전을 확인해 알려진 취약점까지 찾아냅니다.
사이트를 등록한 본인만 볼 수 있습니다. 전문가에게 보여줄 때는 민감한 내용을 뺀 공유용 요약본을 쓸 수 있습니다.