FAQ
일반
-
Hacktron은 무엇인가요?
보안 연구원들이 만든 AI 네이티브 공격형 보안 회사입니다. Red는 조직 전체를 테스트하고, Whitebox는 애플리케이션 하나를 깊이 있게 침투 테스트하며, Review는 모든 풀 리퀘스트를 검사합니다.
-
Hacktron은 스캐너와 무엇이 다른가요?
스캐너는 잘못되었을 수 있는 패턴을 표시합니다. Hacktron은 공격자가 코드를 어떻게 악용할지 추론하고, 악용 가능하다고 입증할 수 있는 것만 보고합니다.
-
Hacktron은 어떤 취약점을 찾았나요?
PHP, Node.js, Metabase Cloud의 원격 코드 실행, OpenAI 내부 저장소로 들어가는 경로, 업스트림 Bash 저장소에 코드를 푸시하는 방법 등이 있습니다. 연구 글 읽기.
-
Hacktron은 어떤 언어를 지원하나요?
모든 언어를 지원합니다. 아래 언어는 언어별로 더 깊이 있는 분석을 받습니다. 목록에 없나요? 데모를 예약하시면 지원 범위를 확인해 드립니다.
- Python
- JavaScript
- TypeScript
- Go
- Java
- Ruby
- PHP
- Rust
- C
- C++
- C#
- Kotlin
- Swift
- Scala
- Elixir
- Solidity
Red
-
Hacktron의 레드팀 테스트는 무엇을 다루나요?
조직의 전체 공격 표면을 지속적으로 다룹니다. Hacktron은 외부 서비스, 인증, SaaS 제공업체, 공급망, 기능, 구성 요소에 대한 살아 있는 모델을 유지하고, 새로운 자산이 나타나는 즉시 테스트합니다.
-
침투 테스트와 무엇이 다른가요?
침투 테스트는 고정된 범위를 한 번 테스트합니다. 레드팀 테스트는 상시 실행되므로, 새로운 자산과 새로 공개된 취약점이 나타나는 즉시 테스트됩니다.
-
테스트는 안전한가요?
네. 파괴적인 작업은 금지되며, 연구원이 에이전트를 모니터링하고, 테스트가 가용성에 영향을 줄 수 있으면 중단하고 연락드립니다.
-
수정이 효과가 있는지 확인하나요?
네. Hacktron은 공격을 다시 실행해 경로가 차단되었는지 확인합니다.
-
버그 바운티와 무엇이 다른가요?
버그 바운티는 외부 연구원이 보고하는 것이면 무엇이든 비용을 지불합니다. Red는 완전한 공격 경로가 사고나 포상금 지급으로 이어지기 전에 지속적으로 입증합니다.
Whitebox
-
화이트박스 침투 테스트에는 무엇이 포함되나요?
소스 코드를 기반으로 애플리케이션 하나를 침투 테스트하며, 동적 테스트는 선택 사항입니다. 연구원이 모든 발견 사항을 검증하고, 기술 보고서와 경영진 보고서, 수정 가이드, 확인서, 무료 재테스트 1회를 제공합니다.
-
보고서를 SOC 2 또는 ISO 27001에 활용할 수 있나요?
네. SOC 2, ISO 27001, 고객 보안 심사를 위한 침투 테스트 증빙으로 사용할 수 있습니다.
Review
-
Hacktron은 풀 리퀘스트를 어떻게 리뷰하나요?
각 풀 리퀘스트 또는 머지 리퀘스트에 보안 검사를 게시하고, 영향을 받는 줄에 댓글을 남깁니다.
@hacktron review라고 댓글을 달면 다시 실행되며, 스레드에서 발견 사항을 분류할 수 있습니다.pkg/middleware/healthcheck.go
func isHealthCheckRequest(paths, userAgents map[string]struct{}, req *http.Request) bool {if _, ok := paths[req.URL.EscapedPath()]; ok {return true}if _, ok := userAgents[req.Header.Get("User-Agent")]; ok {return true}return false}hacktron-app Bot
High Authentication Bypass via Spoofable User-Agent Header in Health Check Middleware
The health check middleware in
oauth2-proxydetermines if a request should bypass authentication by checking if theUser-Agentheader matches a configured value (ping-user-agent). Since theUser-Agentheader is entirely controlled by the client, an attacker can spoof this header to match the configured value, thereby bypassing authentication for any arbitrary path. This allows unauthenticated access to the protected upstream service.Triage: Reply
!fp(false positive),!valid(confirmed), or!accepted_risk. Any other reply is saved as a triage note. -
Hacktron이 코드를 수정해 줄 수 있나요?
요청할 때만 수정합니다. Hacktron이 수정 코드를 작성하고 테스트를 실행한 뒤, 팀이 리뷰할 풀 리퀘스트를 엽니다. 병합은 절대 하지 않습니다.
-
어떤 소스 관리 플랫폼을 지원하나요?
GitHub(GitHub Enterprise Server 포함), GitLab, Azure DevOps, Bitbucket을 지원합니다.
-
코드베이스에 관한 컨텍스트를 Hacktron에 제공할 수 있나요?
네.
.hacktron/rules.md파일을 추가하거나 컨텍스트 문서를 업로드하세요. 분류 피드백으로도 학습합니다.
연동
-
Hacktron은 어떤 도구와 함께 작동하나요?
Slack에서는 알림, 분류, 스레드 내 질문을 처리합니다. @Hacktron AI를 멘션해 변경 사항에 대해 묻거나, 저장소가 특정 CVE의 영향을 받는지 확인하거나, 침투 테스트를 설정할 수 있습니다. 티켓은 Jira와 Linear로 관리합니다.
-
API가 있나요?
네. 조직 범위 키를 사용하는 REST API와 함께 MCP 서버, Slack 어시스턴트를 제공합니다.
-
발견 사항을 내보낼 수 있나요?
네. 경영진 보고서와 기술 보고서를 다운로드하거나, 발견 사항을 CSV, SARIF, JSON으로 내보낼 수 있습니다.
배포 및 접근
-
Hacktron을 온프레미스로 실행할 수 있나요?
네. 온프레미스 에디션은 에어갭 환경을 포함해 전적으로 고객의 인프라에서 실행됩니다.
-
Hacktron은 소스 코드에 어떻게 접근하나요?
클라우드 스캔은 저장소를 격리된 환경에 복제하고, 발견 사항을 관련 코드 스니펫과 함께 계정에 저장합니다. 온프레미스 에디션은 코드를 고객 환경 안에 둡니다.
-
제 코드가 AI 모델 학습에 사용되나요?
아닙니다. Hacktron의 AI 제공업체인 OpenAI, Anthropic, Google은 Hacktron의 데이터로 학습할 수 없으며, 데이터 무보존 계약에 따라 데이터를 저장하지도 않습니다.
-
어떻게 로그인하나요?
이메일과 비밀번호 또는 SAML 싱글 사인온으로 로그인합니다. 관리자는 조직의 모든 사용자에게 MFA를 요구할 수 있습니다.
-
Hacktron은 SOC 2를 준수하나요?
네. Hacktron은 Insight Assurance로부터 SOC 2 Type 1 및 Type 2 보고서를 받았습니다. 트러스트 센터에서 접근을 요청하세요.
가격
-
무료 체험이 있나요?
네. Review는 14일 무료 체험을 제공합니다.
-
Hacktron의 가격은 어떻게 책정되나요?
Review는 개발자당 월 단위, Whitebox는 코드 규모에 따라 침투 테스트당, Red는 조직 단위로 책정됩니다. 가격을 확인하세요.
-
Hacktron은 오픈 소스에 무료인가요?
네. 요건을 충족하는 공개 저장소는 Review를 무료로 사용할 수 있습니다. 오픈 소스 페이지에서 신청하세요.
문의
데모를 예약하거나 무료로 시작하세요.