Aikido로 AI 기반 침투 테스트 실행하기

Aikido를 사용하여 Lovable 프로젝트에서 AI 기반 침투 테스트를 실행하고, 실제 악용 가능한 취약점을 식별하고, 공유 가능한 보안 리포트를 생성하세요.

AI 펜테스트란

Aikido는 Lovable에 AI 기반 침투 테스트를 제공합니다. 프로젝트 라이프사이클 어느 시점에서든 실제 악용 가능한 취약점을 테스트할 수 있습니다.

AI 펜테스트는 실제 공격자를 시뮬레이션하는 AI 에이전트가 수행하는 자동화된 침투 테스트입니다. 애플리케이션과 상호작용하여 악용 가능한 취약점을 식별하는 동적 분석을 수행합니다. 여기에는 실제 페이로드 전송, 인증 및 권한 부여 흐름 테스트, 권한 상승 시도, API의 예상치 못한 동작 탐색이 포함됩니다.

이는 정적 분석을 수행하는 Lovable 내장 보안 스캐너와 다릅니다. 보안 스캐너는 코드를 읽어 노출된 시크릿, 누락된 행 수준 보안, 일반적인 설정 오류 등 알려진 패턴을 표시합니다.

두 접근 방식은 상호 보완적입니다.

정적 분석은 코드를 기반으로 잘못될 수 있는 것을 알려줍니다.
동적 분석은 누군가가 시도했을 때 실제로 깨지는 것을 알려줍니다.

권장 순서는 보안 스캐너를 먼저 실행하고, 해당 문제를 수정한 다음, 펜테스트로 검증하는 것입니다.

AI 펜테스트는 실제 공격 시나리오를 통해 문제를 검증하므로, 모든 발견 사항은 보고 전에 확인됩니다. 이론적 위험이 아닌 악용 가능한 취약점만 표시됩니다.

펜테스트가 완료되면 발견 사항을 프로젝트의 보안 뷰에 있는 Agentic penetration test by Aikido 전용 섹션에 동기화할 수 있습니다.

Aikido는 고객, 투자자, 엔터프라이즈 잠재 고객, 외부 감사인과 공유할 수 있는 리포트와 인증서도 생성합니다. SOC 2, ISO 27001 및 벤더 보안 설문지 요구사항에 맞게 구성됩니다.

AI 펜테스트를 사용해야 하는 경우

주요 릴리스 전
기능 작업이 완료된 후 펜테스트를 실행하여 출시 전에 취약점을 잡으세요.
중요한 변경 후
인증, 데이터베이스 스키마 또는 API 변경 후 다시 실행하여 회귀를 확인하세요.
컴플라이언스 또는 고객 요구사항 충족
생성된 리포트를 사용하여 SOC 2, ISO 27001 또는 엔터프라이즈 보안 설문지를 충족하세요.
지속적인 관행으로
실제 사용자 데이터를 처리하는 활성 프로젝트에 정기적으로 펜테스트를 실행하세요.

Aikido가 애플리케이션을 테스트하는 방법

Aikido는 두 가지 테스트 접근 방식을 사용합니다.

블랙박스 테스트
코드에 대한 사전 지식 없이 애플리케이션을 공격하며, 기능, 엔드포인트, API를 검색하여 발견합니다
화이트박스 테스트
소스 코드에 대한 전체 접근 권한을 사용하여 애플리케이션 로직, 역할, 데이터 흐름을 분석하며, 표면 테스트만으로는 놓칠 수 있는 로직 결함과 접근 제어 문제를 잡습니다

Lovable은 펜테스트를 생성할 때 프로젝트 리포지토리를 Aikido에 전송하므로, 화이트박스 테스트가 항상 포함됩니다.

사전 요구사항

유료 Aikido 계정. 펜테스트는 Aikido를 통해 과금됩니다.
2026년 6월 말까지 각 펜테스트 비용은 100 Aikido 크레딧입니다.
Aikido를 연결하려면 Lovable 워크스페이스 관리자 또는 소유자 역할이 필요합니다.
펜테스트를 실행하고 발견 사항을 동기화하려면 Lovable 프로젝트 에디터 이상 권한이 필요합니다.
Aikido가 로그인하여 인증된 흐름을 테스트할 수 있도록 Lovable 프로젝트에 사용자명과 비밀번호가 있는 전용 테스트 사용자 계정이 필요합니다.

Aikido 연결 방법

워크스페이스 관리자 또는 소유자가 OAuth를 통해 Lovable 워크스페이스를 Aikido에 연결합니다.

워크스페이스당 하나의 Aikido 연결만 추가할 수 있습니다. 연결이 생성되면 모든 워크스페이스 멤버와 공유되며, 워크스페이스의 모든 프로젝트에서 AI 펜테스트를 사용할 수 있습니다.

Aikido 커넥터로 이동

Settings → Connectors → Shared connectors로 이동하여 Aikido를 선택합니다.

연결 추가 및 이름 지정

Add connection을 클릭합니다.
연결 이름을 입력합니다. 예: Aikido.

연결 및 인증

Connect를 클릭합니다. Aikido 인증 창이 열립니다 — 브라우저가 팝업을 차단하지 않는지 확인하세요.
연결할 Aikido 워크스페이스를 선택하고, 요청된 권한을 검토한 후 Authorize를 클릭합니다. 확인과 함께 Lovable로 리디렉션됩니다.

펜테스트 실행 및 발견 사항 수정 방법

펜테스트 시작

각 펜테스트는 특정 프로젝트에 한정됩니다.

프로젝트를 열고 Security view → Agentic penetration test by Aikido로 이동합니다.
Prepare Aikido pentest (처음인 경우) 또는 Launch new pentest (이전에 실행한 적이 있는 경우)를 클릭합니다.
Acknowledge and proceed를 클릭하여 데이터베이스 변경에 대한 경고를 확인합니다.

Lovable이 리포지토리를 업로드하고 Aikido에서 검토 및 실행할 수 있도록 사전 구성된 평가를 엽니다.

Aikido에서 검토 및 설정 완료

대부분의 구성은 이미 사전 입력되어 있습니다. 대부분의 경우 다음만 하면 됩니다.

테스트 사용자 추가
최소 한 명의 테스트 사용자를 추가하고 Authentication instructions 필드에 사용자명과 비밀번호를 입력합니다. Save and Test를 클릭하여 자격 증명을 확인합니다. 자격 증명이 없으면 비인증 흐름으로만 테스트가 제한됩니다.
Aikido의 나머지 구성 검토
테스트 범위, 허용 도메인, 코드 및 문서, 안전 설정, 가격이 이미 설정되어 있습니다. 필요에 따라 조정할 수 있지만, 진행하는 데 변경은 필요하지 않습니다.
평가 실행
사전 점검이 완료되면 Run Assessment를 클릭합니다. Confirm AI Pentest 확인 대화상자가 나타납니다. 체크리스트를 읽고, 확인 체크박스를 선택한 후 Run Assessment를 클릭하여 실행합니다.

자세한 내용은 공식 Aikido 문서를 참조하세요.

발견 사항을 Lovable에 동기화

펜테스트는 몇 시간 동안 실행되며, 발견된 이슈는 Aikido에서 실시간으로 나타납니다. 발견 사항은 자동으로 동기화되지 않습니다.

펜테스트가 완료되면:

프로젝트의 Security view로 이동합니다.
Sync findings를 클릭하여 결과를 가져옵니다. 발견 사항은 Agentic penetration test by Aikido 섹션에 나타납니다. 심각도는 다음과 같이 매핑됩니다.
- Critical 및 High → Error
- Medium → Warning
- Low → Info

각 발견 사항에는 기술적 세부사항, 공격 분석, 재현 단계 및 AI가 생성한 수정 가이드가 포함됩니다.

각 동기화는 Aikido에서 열려 있는 이슈의 현재 상태를 반영합니다. Aikido에서 이슈를 닫거나 해결한 후 동기화하면 보안 뷰에 더 이상 나타나지 않습니다.

이슈 수정

이슈를 수정하려면 Aikido에서 공격 분석을 복사하여 채팅에 보내거나, Try to fix all을 클릭하면 Lovable이 수정을 시도합니다.
수정을 검증하려면 Aikido에서 Retest issue 옵션을 사용한 다음 다시 동기화합니다.

펜테스트 리포트 받기

펜테스트가 완료되면 Aikido가 경영진 개요와 실행 가능한 발견 사항을 결합한 리포트를 자동으로 생성합니다. 이 리포트는 SOC 2, ISO 27001, 고객 보안 설문지, 투자자 실사에 맞게 구성됩니다. Aikido에서 접근하고 다운로드할 수 있습니다.

Lovable에서는 보안 뷰의 Pentest history에서 상태 배지(Draft, Pending, Running, Completed, Cancelled, Failed)와 평가별 View in Aikido 링크와 함께 이전 펜테스트를 찾을 수 있습니다.

Aikido 연결 관리

워크스페이스 관리자와 소유자는 Settings → Connectors → Shared connectors → Aikido에서 Aikido 연결을 관리할 수 있습니다.

Reconnect — OAuth 흐름을 다시 실행하여 업데이트된 자격 증명을 받습니다. 새 창이 열립니다 — 브라우저가 팝업을 허용하는지 확인하세요.
Delete — 워크스페이스 연결과 자격 증명을 영구적으로 삭제합니다. 이 작업은 되돌릴 수 없습니다. 워크스페이스 멤버는 더 이상 Aikido로 AI 펜테스트를 실행할 수 없습니다. 기존에 동기화된 발견 사항은 각 프로젝트의 보안 뷰에서 계속 볼 수 있습니다.