Kritt-ai/open-kritt

open·kritt – AI 기반 보안 연구 플랫폼

무엇인가요

• 오픈소스이며 자체 호스팅 가능한 도구로, 보안 연구자가 코드베이스에서 AI 에이전트를 실행하여 실제 취약점을 탐지할 수 있게 해줍니다.
• 전체 리포지토리 스캔을 위한 단일 모델에 의존하는 대신, 워크플로우로 작고 집중된 프롬프트를 병렬로 실행하고, 결과를 병합, 중복 제거, 순위 매기기 합니다.

핵심 기능

기능	제공되는 기능
워크플로우 빌더	스킬이라 불리는 프롬프트 단계를 연결하여 재사용 가능한 보안 플레이북을 만들 수 있습니다.
다중 모델 지원	API 키 또는 Codex 로그인을 통해 Codex, Claude Code, Grok Build 또는 기타 제공자에 연결할 수 있습니다.
자동 스캔	로컬 또는 원격 리포지토리(의존성 포함)를 지정하고 에이전트가 코드를 분석하도록 합니다.
검증 및 PoC 생성	후처리 스크립트로 코드를 컴파일하고, 생성된 PoC를 실행하며, 증거 가능한 공격 또는 검증 스크립트를 생성할 수 있습니다.
결과 내보내기	모든 발견 사항, 구조화된 데이터, 보고서 및 PoC는 명확한 매니페스트와 함께 하나의 ZIP 파일로 패키지화됩니다.
우선순위 지정	사용자 정의 심각도 랭커, 일관된 스키마, 자동 중복 제거를 통해 가장 중요한 문제에 집중할 수 있습니다.
헤드리스 CLI	GUI가 없는 서버에서도 터미널에서 스캔을 실행할 수 있으며, CLI는 웹 UI의 백엔드 로직을 그대로 반영합니다.
자신의 모델 사용	접근 가능한 모든 제공자 사용 가능. 플랫폼은 특정 서비스에 종속되지 않습니다.

작동 방식 (개요 흐름)

1. 설정 – 리포지토리 복제 후 ./kritt setup을 실행하여 Docker, Node, 모델-API 설정을 안내받습니다.
2. 워크플로우 정의 – JSON으로 설명된 단계를 선택하거나 작성하여 LLM에 불안전한 함수 목록, 수정 제안, 테스트 케이스 생성 등을 요청합니다.
3. 스캔 시작 – 백엔드가 각 단계용 일시적인 Docker 컨테이너를 생성하고, 타겟 리포지토리를 복사한 후, 인터넷 접근 권한을 부여하여 에이전트가 실행되게 합니다 (빌드 도구 설치, 컴파일 등 가능).
4. 검증 – 후처리 스크립트로 코드를 컴파일하고, 생성된 PoC를 실행하여 보고된 문제의 실재 여부를 확인합니다.
5. 집계 – 발견 결과는 중복 제거되고, 사용자 정의 심각도 로직에 따라 순위 매겨져 ZIP 번들로 내보냅니다.

빠른 시작 방법

git clone https://github.com/Kritt-ai/open-kritt
cd open-kritt
./kritt setup          # Docker, Node, 모델 자격 증명 설정
./kritt start          # http://localhost:5173 에서 웹 UI 실행

브라우저가 없는 서버에서는 ./kritt-headless를 사용하면 터미널을 통해 동일한 기능을 이용할 수 있습니다.

일반적인 사용 사례

• 재현 가능하고 순위 매겨진 취약성 보고서가 필요한 버그 바운티 연구자.
• CI 파이프라인에 AI 지원 코드 리뷰를 통합하고자 하는 DevSecOps 팀 (헤드리스 CLI를 통해).
• LLM이 정적 분석을 위해 어떻게 프롬프트를 구성할 수 있는지 보여주는 교육용 워크플로우를 만들고자 하는 보안 교육자.

제한 사항 및 주의사항

• 에이전트는 일시 컨테이너 내에서 root 권한으로 실행되며 완전한 인터넷 접근 권한을 가집니다. 격리된 호스트에서 플랫폼을 실행하고 포함된 위협 모델 문서를 읽어보세요.
• 웹 UI에 내장된 인증이 없습니다. 서비스를 방화벽 뒤나 사설 네트워크에 두세요.
• 결과는 프롬프트 품질과 기반 모델에 크게 의존합니다. 오진과 탈진이 발생할 수 있으므로 검증 단계는 필수입니다.

커뮤니티 및 기여

• Harel Rom과 Gabriel Balko가 유지보수 중이며, PR을 통해 기여를 환영합니다.
• 논의, 버그 리포트, 기능 아이디어는 GitHub Discussions 및 Issues에서 진행됩니다.
• 보안 관련 취약성 보고는 SECURITY.md에 설명된 대로 비공개로 보내야 합니다.

라이선스

• GNU Affero General Public License v3.0 (AGPL-3.0) 하에 배포됩니다.

---

open·kritt는 제어되고 재현 가능한 방식으로 LLM을 오케스트레이션하여 코드 취약점을 발견, 검증, 우선순위 지정할 수 있는 진정한 AI 에이전트 기반 보안 연구 플랫폼입니다.