TL;DR

Zen-AI-Pentest는 Python 기반의 독립형 AI Penetration Testing Framework입니다. ReAct Agent와 11개 전문 Persona가 72개 이상의 보안 도구를 호출하고, Guardrails와 위험도 0~3 제어로 실행 범위를 제한합니다. Docker Compose, CLI, REST API, WebSocket, React UI, 8개 MCP Server를 제공하며 증거 수집부터 PDF·HTML·DOCX·JSON 보고서와 Compliance Mapping까지 연결합니다. 다만 외부 보안 도구와 여러 서비스 구성이 필요하고 README 기준 테스트 Coverage가 약 10%이므로 운영 투입 전 격리 환경 검증이 필요합니다.

핵심 포인트

• Zen-AI-Pentest는 독립 실행형 Python Framework로 분류되며, 72개 이상의 보안 도구를 AI 기반 침투 테스트 흐름에 연결합니다. ReAct 패턴과 상태 머신이 계획, 실행, 관찰, 성찰 단계를 순환하고 11개 전문 Agent Persona가 작업을 나눕니다. OpenCode의 MCP Server 8개와 Hermes 호환 Skills 95개를 함께 사용하는 구조라 단일 스캐너보다 통합 자동화에 적합합니다.
• 사용자는 Docker Compose, Python CLI, REST API, WebSocket, React Web UI 중 원하는 진입점을 선택합니다. 요청은 JWT와 RBAC 인증을 거쳐 Guardrails, 작업 큐, 위험도 0~3, 상태 머신을 통과한 뒤 Agent Pool과 외부 도구로 전달됩니다. 결과는 증거 수집, Attack Path, CVSS·EPSS Risk Scoring을 거쳐 PDF, HTML, DOCX, JSON 보고서와 ISO 27001·PCI DSS·NIST 매핑으로 이어집니다.
• 보호 장치에는 사설 IP와 Loopback 차단, .local·.internal·localhost 필터, 위험도별 도구 제한, Rate Limiting, Docker 격리 실행이 포함됩니다. SAFE 레벨은 whois와 DNS 같은 정찰에 머물고 AGGRESSIVE 레벨은 Pivot과 Lateral Movement까지 허용하는 방식입니다. 다만 README의 테스트 Coverage는 약 10%로 목표 80%보다 낮으므로 실제 대상에 적용하기 전 격리 환경과 권한 범위를 별도로 검증해야 합니다.
• 대규모 보안 도구 통합과 자동 보고가 필요한 보안팀, Bug Bounty 연구자, Enterprise Red Team에 맞습니다. Python API에서 ReActAgentConfig의 max_iterations와 use_vm을 설정하고 대상과 평가 목적을 넘기는 방식으로 직접 실행할 수 있습니다. 특정 스캐너 하나만 필요하거나 외부 도구 설치와 AI·PostgreSQL·Redis·Docker 의존성을 감당하기 어려운 경우에는 과한 선택입니다.

벤치마크