OWASP API Top 10 테스트 에이전트

기능

• 파일read_file, write_file, edit_file, grep, list_dir은 채팅 폴더 내 프로젝트 파일을 관리합니다.
• Shell린터나 테스트와 같은 터미널 명령을 실행하며, 성공 여부를 위해 실제 종료 코드를 보고합니다.
• 웹web_search와 http_get을 사용해 인터넷에서 공식 문서 페이지를 읽습니다.
• 스크린샷 및 이미지gen_image는 실제 파일을 저장하고 ocr은 스크린샷에서 텍스트를 읽습니다.
• 오케스트레이션task는 병렬 하위 에이전트를 실행하고 skill은 일반적인 작업을 위한 재사용 가능한 플레이북을 저장합니다.
• 승인 모드Auto-run은 즉시 실행하고, Ask first는 변경 전 일시 정지하며, Plan only는 계획만 작성합니다.
• Cron정기적으로 보안 검사가 계속되도록 일정대로 프롬프트를 실행합니다.
• 모델클라우드 API, 로컬 모델 또는 즉시 사용할 수 있는 내장 모델을 지원합니다.

워크스루

OWASP 위험 확인

에이전트는 OpenAPI 파일을 읽어 엔드포인트 목록을 생성하고, grep을 사용해 코드 내 라우트 핸들러를 찾아 탐색 대상을 파악합니다. 접근 권한을 확인하고, http_get을 사용해 스테이징 URL로 요청을 보냅니다. 로그인 토큰이 올바르게 만료되는지 확인하고, 사용자 ID를 교체해 객체 수준 권한 위조를 검사합니다. 페이지 소스에 API 키가 노출되는 것은 에이전트가 검토 중 식별하는 일반적인 위험입니다. 누출된 세부 정보가 있는 오류 로그를 읽고, 각 발견 사항의 심각도 수준을 포함해 보고서를 작성합니다. 작업 폴더의 변경 사항을 수락하기 전에 Plan only 모드에서 계획을 검토합니다. 이 과정은 애플리케이션 프로그래밍 인터페이스를 보호하기 위한 OWASP API Top 10 가이드라인과 일치합니다.

키 스캔

에이전트는 grep을 사용해 소스 파일에서 후보 키 패턴을 찾고, edit_file은 Ask first 모드에서 diff를 표시하며 구성 파일로 이동할 것을 제안합니다. 변경 사항을 검토합니다. 이는 Windows PC에서 로컬로 작동합니다. OWASP API 보안 Top 10이 이러한 검사를 안내합니다. 앱에 하드코딩된 API 키는 종종 비밀 정보를 유출합니다. 로그인 및 OTP에 대한 속도 제한이 없으면 문제가 발생합니다. 에이전트는 모든 발견 사항을 기록용으로 로깅합니다. 비밀 정보를 공유된 메모나 보고서에 남기지 않습니다.