TL;DR

CyberStrike는 사용자가 보유한 LLM 구독이나 로컬 모델을 인텔리전스 레이어로 감싸 자동화된 침투테스트를 수행하는 오픈소스 플랫폼이다. 도메인별로 내장된 13개 이상의 에이전트와 OWASP·CIS 등 표준화된 검사 절차, 스키마 정규화와 컨텍스트 가드를 통해 어떤 모델을 사용하더라도 일관된 테스트 흐름이 유지된다. 원격 실행을 위한 Bolt와 MCP 생태계로 176개 이상의 외부 툴을 연동해 대규모 스캔을 분산 실행할 수 있으며 결과는 재현 가능한 차이 비교로 확증된다. 설치는 전역 npm 패키지나 제공된 설치 스크립트로 즉시 시작할 수 있고 웹 UI는 로컬 바인딩과 Cloudflare Tunnel을 조합해 안전하게 외부에서 접근할 수 있다.

주요 기능

• 터미널 기반 TUI로 에이전트를 실행하고 LLM 제공자 API 키를 연결해 자동화된 정찰·취약점 탐지·익스플로잇·보고를 순차적으로 수행한다. 각 에이전트는 도메인별 방법론을 내장해 OWASP, CIS, MASTG 같은 표준에 맞춘 검사 절차를 실행한다. 결과는 재현 가능한 요청 차이를 기반으로 확증되어 중복 경보가 억제된다.
• HackBrowser를 통해 브라우저 트래픽을 캡처하고 프록시 파이프라인으로 전송해 수동 브라우징과 크롤링 기반의 세션 컨텍스트를 자동으로 구축한다. 빌트인 캡처 모드는 수동 탐색과 자격증명 기반 자동 크롤링을 모두 지원하며 계정별 접근 범위를 비교해 권한 관련 취약점을 자동으로 검증한다. 캡처된 요청은 8개의 서브 테스터로 병렬 처리되어 다양한 공격 벡터를 동시 검증한다.
• Bolt 원격 도구 서버와 MCP 프로토콜을 통해 nmap, sqlmap, nuclei 같은 툴을 원격 호스트에서 실행하고 실시간으로 결과를 스트리밍으로 회수한다. Ed25519 키 페어로 인증하며 다수의 Bolt 인스턴스를 수평 확장해 대역폭과 네트워크 접근성이 우수한 원격에서 무거운 스캔을 수행한다. 이 구조는 로컬 자원 제약을 피하면서 표적 네트워크 환경에 가까운 조건에서 검사할 수 있게 한다.
• 인텔리전스 레이어가 다양한 LLM 제공자별 응답 형식을 정규화하고 프롬프트 오염을 방지하며 도메인 지식을 주입해 어떤 모델을 사용해도 일관된 보안 논리를 유지한다. 오프라인 환경을 위해 Ollama 또는 LM Studio 같은 로컬 모델도 지원해 데이터가 외부로 유출되지 않도록 구성할 수 있다. 공급자 자동 감지 기능이 있어 설정 변경 없이 모델 전환이 가능하다.

어떻게 동작하는가

CyberStrike는 LLM 호출 전후에 도메인별 컨텍스트를 주입해 모델 응답을 보안 테스트 작업에 맞게 구조화한다. 내부적으로 스키마 정규화, 컨텍스트 가드, 툴 오케스트레이션 모듈이 연계되어 응답을 표준화하고 단계별로 필요한 외부 도구를 호출한다. 원격 실행은 MCP 프로토콜과 Bolt 서버를 통해 이루어지며 결과는 세션 컨텍스트와 함께 집계되어 재현 가능한 결론으로 귀결된다.

해결 문제

수동으로 여러 툴과 브라우저 로그를 오가며 반복적인 정찰 및 초기 취약점 검증을 수행하는 작업 부담을 줄인다. 도메인별 방법론을 내장한 에이전트들이 일관된 절차로 테스트를 실행해 사람의 실수로 인한 누락을 감소시킨다. 원격 Bolt 인스턴스와 MCP 서버를 통해 리소스 제약 없이 표적 네트워크 환경에 근접한 검사 수행이 가능해진다.

지금 주목받는 이유

LLM을 기존 API 구독으로 전환해 자동화된 레드팀 워크플로우로 활용하는 수요가 증가하면서 CyberStrike가 주목을 받고 있다. 오픈소스로서 다양한 LLM 공급자와 로컬 모델을 즉시 연동할 수 있는 점이 관심을 끌고 있다. 또한 원격 도구 실행과 표준화된 검사 절차를 결합한 플랫폼으로서 실무자들의 반복 작업을 줄이는 점이 부각되고 있다.

차별점

• 인텔리전스 레이어가 단순 프롬프트 래핑을 넘어서 응답의 스키마 정규화와 컨텍스트 격리를 수행한다. 이로 인해 서로 다른 LLM 제공자에서 반환되는 포맷 차이를 흡수하고 동일한 검증 루틴으로 후처리할 수 있다. 결과적으로 모델 교체 시 재구성이 최소화되어 공급자 종속성이 낮아진다.
• 전문화된 에이전트 집합과 8개 병렬 프록시 서브테스터가 결합되어 도메인별 표준(WSTG, MASTG, CIS 등)에 맞춘 테스트를 자동으로 수행한다. 각 테스터는 3-게이트 확인 프로토콜로 증거 기반 보고를 생성하며 중복 결과는 세션 레벨에서 자동 억제된다. 이 접근은 단순 취약점 스캐닝보다 오탐을 줄이고 재현 가능한 PoC를 확보하는 데 초점을 둔다.
• Bolt 및 MCP 생태계를 통해 176개 이상의 외부 툴과 연동할 수 있어 로컬 환경 한계를 우회하고 네트워크 위치별 도구를 분산 실행할 수 있다. Ed25519 기반 인증으로 원격 실행의 노출면을 최소화하며 실시간 스트리밍으로 결과를 로컬 TUI에 전달한다. 이러한 설계는 스케일링과 네트워크 절차적 제약을 동시에 해결한다.

사용 사례

• 정형화된 OWASP 기반 웹 애플리케이션 검사를 자동화해 초기 정찰과 취약점 증명 과정을 단축한다. 에이전트가 엔드포인트 매핑과 권한별 차이를 자동 비교해 재현 가능한 증거와 HackerOne 양식 보고를 생성한다. 이 과정은 수동 반복 업무를 줄여 인적 자원을 보다 창의적 공격 시나리오에 배분하게 한다.
• 버그 바운티 루틴에서 다수 도메인과 계정을 대상으로 빠르게 크롤링하고 세션 간 권한 경계를 검사해 낮은 확률의 논리적 결함을 더 넓은 범위에서 탐지한다. HackBrowser의 자동 및 수동 캡처 모드를 결합해 로그인 세션을 재현하고 토큰별 접근권한 차이를 자동으로 검증한다. 발견 결과는 중복 억제와 근거 기반 차이 비교를 통해 신뢰도를 높인다.
• 보안 팀이 규정 준수 점검(CIS, NIST 등)을 반복적으로 수행할 때 표준화된 체크리스트를 에이전트에 맡겨 일관된 결과를 산출하게 한다. MCP 서버의 클라우드 감사 툴셋을 통해 계정·권한·설정 검사를 외부에서 실행해 환경별 차이를 분리할 수 있다. 이로 인해 규정 보고와 추적 가능한 증거 수집이 용이해진다.
• 연구자와 툴 개발자는 플러그인 SDK와 MCP 프로토콜을 활용해 커스텀 에이전트와 도구를 추가하고 플랫폼 전체의 자동화 파이프라인에 통합할 수 있다. 오픈소스 구성요소를 조합해 특정 공격 시나리오를 재현할 수 있으며 원격 Bolt 인스턴스로 대규모 실험을 수행할 수 있다. 결과는 세션 컨텍스트와 연동되어 재현 가능한 실험 데이터를 생성한다.

시작하기

공식 Quick Start는 전역 설치 후 cyberstrike 실행 한 줄로 TUI를 기동하는 방식이다. 웹 인터페이스는 cyberstrike web 명령으로 띄우고 Cloudflare Tunnel을 통해 외부 접속을 연결하며 로컬 포트는 기본적으로 4096으로 바인딩된다. 로컬 모델로 완전 오프라인 모드를 구성하려면 Ollama 또는 LM Studio와 연동해 공급자 설정을 로컬 엔드포인트로 지정하면 된다.

요구사항

• Node.js 및 npm 환경에서 동작하는 TypeScript 기반 패키지로서 전역 설치를 권장한다. LLM 연동을 위해 사용자가 보유한 OpenAI, Anthropic 등 API 키 또는 로컬 Ollama/LM Studio 엔드포인트가 필요하다. Bolt나 MCP 서버를 원격으로 운영하려면 원격 호스트에 Docker 또는 Linux 기반 실행 환경과 Ed25519 키 페어 구성이 요구된다.