kkebi
내 코드의 보안 구멍,
AI가 찾아서 고쳐요
위험한 곳을 쉬운 말로 알려 주고 고칠 코드를 제안해요.
고친 뒤에는 정말 막혔는지 다시 확인해요.
설문에 참여한 분만 베타테스트를 신청할 수 있어요.
- 개발 전문가가 아니어도 읽을 수 있어요
- 초대받은 분만 사용(Windows)
- 측정한 숫자만 공개해요
예시 화면이에요. 실제 앱 화면과 조금 다를 수 있어요.
IN THIS BETA
베타에서 이런 걸 써 볼 수 있어요
코드 점검
내 폴더나 GitHub 공개 저장소를 올리면 위험한 곳을 찾아요.
고칠 코드 제안
왜 위험한지 설명하고, 고친 코드를 바로 적용해요.
실제 공격 체험
연습용 표적에 진짜 공격을 보내 뚫리는지 확인해요.
써 보다가 안 되는 곳이 있으면 ttogle918@gmail.com 으로 알려 주세요.
한 번에 네 가지를 해요
점검하고, 고칠 코드를 제안하고, 격리된 연습장에서 정말 뚫리는지 시험한 뒤, 고친 다음 다시 확인해요.
전문 용어로는 1번 = SAST(코드 정적 분석), 3~4번 = DAST(실행 중인 앱을 공격해 보는 검사)와 패치 검증이에요. 3번은 인터넷과 분리된 샌드박스 안에서만 일어나요.
위험도를 네 단계로 나눠 보여 줘요
색을 구분하지 못해도 알 수 있게 모양과 글자를 같이 써요.
- 심각지금 바로 고쳐야 해요.
- 높음빨리 고치는 게 좋아요.
- 보통시간 날 때 고쳐요.
- 낮음참고만 해도 돼요.
이런 점이 달라요
- "찾았다"에서 끝나지 않고 고치는 코드까지 줘요.
- 찾은 문제가 정말 위험한지 실제로 시험해 봐요(연습용 표적).
- 고친 코드도 다시 시험해서 막혔는지 확인해요.
- 설명은 "남의 명령을 내 서버에서 실행할 수 있어요"처럼 무슨 일이 생기는지로 써요.
측정한 숫자만 보여 드려요
아래는 우리가 직접 돌려 본 평가 결과예요. 숫자마다 어떤 조건에서 쟀는지 같이 적었어요. 실제 내 코드에서는 다를 수 있어요.
Python · Claude Sonnet 5.5
2026-10-30
나머지는 오탐(가짜 경고)이에요
Claude Sonnet 5.5 · 2026-10-30
언어별로 보기 (언어마다 실력이 달라요)
| 언어 | 찾은 비율 | 진짜인 비율 | 데이터 |
|---|---|---|---|
| Python | 87.1% | 67.7% | 기준 코드 176개 |
| TypeScript | 73.6% | 27.7% | RealVuln 118개 |
| JavaScript | 55.2% | 26.6% | RealVuln 39개 |
| PHP | 49.9% | 41.3% | SastBench 155개 |
| Go | 21.6% | 8.2% | SastBench 62개 |
그래서 베타에서는 Python을 가장 잘 봐요. 다른 언어는 아직 놓치거나 가짜 경고가 많을 수 있어요.
실제로 뚫리는지 확인
연습용으로 만든 취약한 앱에서, 점검이 찾은 문제 중 XSS(남의 스크립트 실행)와 SQL 인젝션(데이터베이스 조작) 한 곳씩을 샌드박스에서 실제로 재현해 확인했어요. 나머지는 "확인 못 함"으로 표시해요. (연습 표적 1종 · Sprint 52 검증 기록)
고치는 방법의 품질 베타에서 측정 중
제안한 패치가 실제로 문제를 막고 코드를 망가뜨리지 않는지의 비율은 아직 공개할 만큼 모으지 못했어요. 베타 15일 동안 측정해서 알려 드릴게요. 비용·속도 수치도 같아요.
안전하게 쓰도록 만든 장치
인터넷과 분리된 샌드박스
공격 시험은 외부와 연결이 끊긴 전용 네트워크 안에서만 해요. 샌드박스 서버에는 비밀번호·API 키를 두지 않고, 끝나면 지워요.
내가 확인한 것만 실행
분석을 시작하기 전에 계획을 보여 주고 확인을 받아요. 공격 시험도 동의 체크를 해야 시작돼요.
비밀값은 로그에 남기지 않아요
토큰·비밀번호·키는 기록(로그)에 쓰지 않는 것을 개발 규칙으로 정해 두고 지켜요.
초대 전용 · 15일 뒤 폐기
초대한 분만 가입할 수 있어요. 베타가 끝나면 서버·저장된 데이터·베타용 키를 통째로 지워요.
이렇게 써요
처음부터 끝까지 네 단계예요.
설치해요
아래에서 설치 파일을 받아 실행해요. Windows 경고가 뜨면 안내대로 진행해요.
로그인해요
초대받은 계정으로 로그인해요. 초대받지 않은 계정은 가입할 수 없어요.
코드를 알려 줘요
공개 GitHub 저장소 주소를 넣거나, 내 컴퓨터의 폴더를 열어요. 그다음 [분석 시작]을 눌러요.
보고 고쳐요
위험한 순서로 나온 목록에서 하나 골라 "왜 위험한지"와 "고치는 코드"를 보고 적용해요.
베타 전에 알아 두세요
클로즈드 베타라서 아직 제한이 있어요. 아래 내용에 동의하는 분만 사용해 주세요.
- 초대 전용이에요. 초대받은 계정만 가입·로그인할 수 있어요.
- 15일 뒤 데이터를 모두 폐기해요. 올린 코드, 분석 결과, 계정 정보가 베타 서버와 함께 지워져요. 필요한 결과는 미리 저장해 두세요.
- 코드 일부가 AI 제공자로 전송돼요. 분석하려면 코드 조각을 AI 서비스(Anthropic 등)에 보내야 해요. 민감한 코드는 올리지 마세요.
- 무료 모델을 고르면 그 무료 API의 약관이 적용돼요. 입력한 내용이 해당 제공자의 정책에 따라 처리될 수 있어요.
- 공격 시험(DAST)은 연습용 표적으로 체험해요. 내 서비스 주소를 검사하는 기능은 베타 중에 추가할 예정이에요.
- 패치 검증을 켜면 고친 코드 조각이 격리된 샌드박스 서버에서 실행돼요. 끝나면 지워요.
베타 다운로드 (Windows) 베타 참여자용
이 섹션은 베타 참여자용이에요. 설문 후 베타테스트에 신청해 초대받은 분만 로그인할 수 있어요. 설치 파일은 GitHub 릴리스에서 받아요.
- 파일 이름
- kkebi_0.1.0-beta.1_x64-setup.exe
- 버전
- 0.1.0-beta.1 (약 1.6MB)
- SHA-256
- 86E91F93F0C54FDFD977FC2892EE734C506825F2988363202C9FBF4288B1F17A
받은 파일이 맞는지 확인하려면 PowerShell에서 Get-FileHash .\파일이름 -Algorithm SHA256 를 실행해 위 값과 같은지 비교하세요.
베타 앱은 아직 유료 코드 서명 인증서가 없어서 처음 실행할 때 경고가 나와요. 위 SHA-256 값이 같은지 확인한 뒤에만 진행하세요.
- "추가 정보"를 눌러요.
- "실행"을 눌러요.
자주 묻는 질문
베타테스트는 어떻게 신청하나요?
먼저 설문에 참여해 주세요. 설문을 해야만 베타테스트를 신청할 수 있어요.
누구나 쓸 수 있나요?
아직 아니에요. 초대받은 분만 가입해서 쓸 수 있는 클로즈드 베타예요.
코딩을 몰라도 쓸 수 있나요?
네. 결과를 "무슨 일이 생기는지"로 설명하고 고치는 코드를 같이 보여 줘요. 다만 코드를 적용하기 전에 내용을 한번 읽어 보는 걸 권해요.
내 코드는 어디로 가나요?
분석할 때 코드 조각이 AI 제공자(Anthropic 등)로 전송돼요. 베타 서버의 데이터는 15일 뒤 모두 폐기해요. 비밀번호·키가 들어 있는 파일은 올리지 마세요.
"실제로 뚫리는지 확인"은 내 서비스를 공격하는 건가요?
아니에요. 베타에서는 연습용으로 만든 표적에서만 시험해요. 내 서비스 주소를 검사하는 기능은 베타 중에 추가할 예정이고, 그때도 내 소유임을 확인한 주소만 허용할 계획이에요.
찾은 문제를 다 믿어도 되나요?
아니에요. 측정에서 찾은 문제의 약 3분의 1은 가짜 경고였어요. 위치와 이유를 보고 직접 판단해 주세요.
왜 Windows 경고가 뜨나요?
코드 서명을 하지 않은 베타 앱이라서 그래요. 안내대로 SHA-256 값을 확인한 뒤 실행해 주세요.
먼저 설문에 참여해 주세요
설문에 참여하면 베타테스트를 신청할 수 있어요. 여러분의 답이 kkebi를 만드는 데 도움이 돼요.
설문에 참여하면 베타테스트를 신청할 수 있어요.