**프로젝트별 설치** — 하나의 저장소에 범위가 지정됨, `npx hound` 또는 npm 스크립트를 통해 실행됨:```bash
npm install --save-dev context-hound

## 빠른 시작```bash
# Scaffold a config file
hound init

# Scan your project
hound scan --dir ./my-ai-project

# Or via npm script (scans current directory)
npm run hound

# Verbose output, shows remediations and confidence levels
hound scan --verbose

# Fail the build on any critical finding
hound scan --fail-on critical

# Export JSON and SARIF reports
hound scan --format console,json,sarif --out results

# GitHub Annotations (for CI step summaries)
hound scan --format github-annotations

# Markdown report with findings tables
hound scan --format markdown --out report

# Stream findings as JSONL (one JSON object per line)
hound scan --format jsonl | jq '.severity'

# List all rules
hound scan --list-rules

# Explain a rule (or a rule family by prefix)
hound explain INJ-001
hound explain PST --format json

# Fast PR gate — scan only files changed vs. origin/main
hound scan --diff

# Interactive HTML report (self-contained, open in browser)
hound scan --format html --out report

# Re-scan on file changes
hound scan --watch

# Parallel scanning (default is 8; tune for your machine)
hound scan --concurrency 16

# Disable incremental cache for a clean run
hound scan --no-cache

# Baseline mode — only report findings new since the last saved scan
hound scan --format json --out baseline          # save a baseline
hound scan --baseline baseline.json             # compare future scans against it

# Load a custom rule from a local plugin file
hound scan  # plugin declared in .contexthoundrc.json "plugins" field

# Only run high-confidence rules
hound scan --config .contexthoundrc.json  # set minConfidence: "high"

# Fail if any single file scores >= 40
hound scan --fail-file-threshold 40

steps:
  - uses: actions/checkout@v4

  - uses: actions/setup-node@v4
    with:
      node-version: '20'

  - run: npm install -g context-hound

  - run: hound scan --format console,sarif,github-annotations --out results.sarif

  - name: Upload to GitHub Code Scanning
    if: always()
    uses: github/codeql-action/upload-sarif@v3
    with:
      sarif_file: results.sarif

발견 사항은 저장소의 **보안 > 코드 스캔** 탭에 표시됩니다. `github-annotations` 형식은 인라인 PR 댓글을 게시하고 GitHub 단계 요약에 요약 테이블을 작성합니다.

---

## 구성

`hound init`을 실행하여 `.contexthoundrc.json`을 스캐폴드하거나, 수동으로 생성하세요:```json
{
  "include": ["**/*.ts", "**/*.js", "**/*.py", "**/*.go", "**/*.rs", "**/*.md", "**/*.txt", "**/*.yaml"],
  "exclude": [
    "**/node_modules/**",
    "**/dist/**",
    "**/tests/**",
    "**/attacks/**"
  ],
  "threshold": 60,
  "formats": ["console", "sarif"],
  "out": "results",
  "verbose": false,
  "failOn": "critical",
  "maxFindings": 50,
  "excludeRules": ["JBK-002"],
  "includeRules": [],
  "minConfidence": "medium",
  "failFileThreshold": 80,
  "concurrency": 8,
  "cache": true,
  "plugins": ["./rules/my-custom-rule.js"],
  "baseline": "./baseline.json"
}

- `hound-disable-line [RULE...]` — 같은 줄에서 발견 항목을 억제합니다
- `hound-disable-next-line [RULE...]` — 다음 줄에서 발견 항목을 억제합니다
- `hound-disable [RULE...]` … `hound-enable [RULE...]` — 블록을 억제합니다 (파일 끝에서 자동 종료)
- 규칙 ID를 생략하면 해당 위치에서 **모든** 규칙을 억제합니다; 하나 이상을 (공백/쉼표로 구분) 나열하여 범위를 지정합니다
- `--` 뒤의 텍스트는 자유 형식의 설명이며, 보고서에 표시됩니다

`--report-unused-suppressions`와 함께 실행하여 더 이상 발견 항목과 일치하지 않는 지시문을 나열하면, 사용하지 않는 억제 항목을 정리할 수 있습니다:```bash
hound scan --report-unused-suppressions

| Preset | Rules |
|--------|-------|
| `owasp-llm-top10` | INJ, JBK, EXF, OUT, RAG, TOOL, SCH, DOS, VIS |
| `injection` | INJ, RAG, ENC |
| `jailbreak` | JBK |
| `exfiltration` | EXF |
| `agentic` | AGT, MCP, TOOL |
| `mcp` | MCP |
| `supply-chain` | SCH |
| `prompt-files` | INJ, JBK, EXF, ENC, SKL |

### pre-commit 훅

ContextHound는 [pre-commit](https://pre-commit.com) 훅을 제공합니다. 다음을 `.pre-commit-config.yaml`에 추가하세요:```yaml
repos:
  - repo: https://github.com/IulianVOStrut/ContextHound
    rev: v2.0.0
    hooks:
      - id: contexthound
        # optional — scan only changed files and fail on high-severity findings:
        # args: ["--diff", "HEAD", "--fail-on", "high"]

`.contexthoundrc.json`에서 참조하십시오:```json
{ "plugins": ["./my-rule.js"] }

결과는 `ruleId + file`로 매칭되며 — 줄 변경이 잘못된 새 결과 알림을 발생시키지 않습니다.

### 변경된 파일만 (`--diff`)

빠른 풀 리퀘스트 게이트를 위해, 전체 트리 대신 git ref에 대해 변경된 파일만 스캔합니다:```bash
hound scan --diff               # vs. origin/main (default)
hound scan --diff main          # vs. a named branch
hound scan --diff HEAD~5        # vs. an arbitrary ref

점수는 합산되어 최대 100점으로 제한되며 다음과 같이 분류됩니다:

| 점수 | 수준 | 권장 조치 |
|-------|-------|-----------------|
| 0-29 | 🟢 낮음 | 조치 불필요 |
| 30-59 | 🟡 중간 | 병합 전 검토 |
| 60-79 | 🟠 높음 | 병합 전 수정 |
| 80-100 | 🔴 심각함 | 배포 차단 |

프롬프트에 명시적인 안전 언어(입력 구분자, 공개 거부 지침, 도구 허용 목록)가 포함된 경우, 해당 프롬프트에 대한 위험 점수가 비례적으로 감소됩니다.

---

## 규칙

### A. 인젝션 (INJ)

| ID | 심각도 | 설명 |
|----|----------|-------------|
| INJ-001 | 높음 | 구분자 없이 직접 사용자 입력이 프롬프트에 연결됨 |
| INJ-002 | 중간 | "사용자 콘텐츠를 데이터로 처리"하는 경계 언어 누락 |
| INJ-003 | 높음 | 신뢰할 수 없는 구분자 없이 RAG/검색된 컨텍스트 포함됨 |
| INJ-004 | 높음 | 사용자 콘텐츠로 도구 사용 지침을 재정의할 수 있음 |
| INJ-005 | 높음 | 직렬화된 사용자 객체(`JSON.stringify`)가 프롬프트 템플릿에 직접 삽입됨 |
| INJ-006 | 중간 | 사용자 제어 콘텐츠에 숨겨진 명령 동사를 포함하는 HTML 주석 |
| INJ-007 | 중간 | 먼저 백틱을 제거하지 않고 사용자 입력이 코드 펜스 구분자로 래핑됨 |
| INJ-008 | 높음 | HTTP 요청 데이터(`req.body`, `req.query`, `req.params`)가 `role: "system"` 템플릿 문자열에 삽입됨 |
| INJ-009 | 심각함 | HTTP 요청 본문이 메시지 배열로 직접 파싱됨 - 공격자가 역할과 콘텐츠를 제어함 |
| INJ-010 | 높음 | 신뢰할 수 없는 입력 연결로 구축된 일반 텍스트 역할 레이블 대화(User:, Assistant:, system:) |
| INJ-011 | 높음 | 브라우저 DOM 또는 URL 소스(`window.location`, `document.cookie`, `getElementById`)가 LLM 호출에 직접 제공됨 |
| INJ-012 | 높음 | 대화 기록이 살균 없이 메시지 배열에 전파됨 |
| INJ-013 | 높음 | 도구/함수 호출 결과가 살균 없이 메시지에 삽입됨 |
| INJ-014 | 높음 | LLM 완료가 사용자 역할 콘텐츠로 파이프되어 후속 LLM 호출에 사용됨 |
| INJ-015 | 높음 | 신뢰할 수 없는 외부 입력(HTTP/CLI/DOM)이 프롬프트로 흐름 - 이름에 구애받지 않는 **오염 분석**, 별칭을 따르고 살균기를 존중함 |

### B. 유출 (EXF)

| ID | 심각도 | 설명 |
|----|----------|-------------|
| EXF-001 | 심각함 | 프롬프트가 비밀, API 키 또는 자격 증명을 참조함 |
| EXF-002 | 심각함 | 프롬프트가 모델에게 시스템 프롬프트 또는 숨겨진 지침을 공개하도록 지시함 |
| EXF-003 | 높음 | 프롬프트가 기밀 또는 개인 데이터에 대한 접근을 나타냄 |
| EXF-004 | 높음 | 프롬프트에 내부 URL 또는 인프라 호스트 이름이 포함됨 |
| EXF-005 | 높음 | 민감한 변수(토큰, 비밀번호, 키)가 출력에 Base64로 인코딩됨 |
| EXF-006 | 높음 | 전체 프롬프트 또는 메시지 배열이 수정 없이 `console.log` / `logger.*`를 통해 기록됨 |
| EXF-007 | 심각함 | "절대 공개하지 마십시오" 지침과 함께 실제 비밀 값이 프롬프트에 포함됨 |

### C. 탈옥 (JBK)

| ID | 심각도 | 설명 |
|----|----------|-------------|
| JBK-001 | 심각함 | 알려진 탈옥 구문 감지됨("지침 무시", "DAN" 등) |
| JBK-002 | 높음 | 취약한 안전 표현("항상 준수", "어떤 경우에도") |
| JBK-003 | 높음 | 안전 제약 조건을 약화시키는 역할극 탈출구 |
| JBK-004 | 높음 | 에이전트가 확인이나 인간 검토 없이 행동하도록 지시됨("자동으로 진행", "확인 불필요") |
| JBK-005 | 높음 | 증거 삭제 또는 흔적 은폐 지침("로그 삭제", "흔적 남기지 않음") |
| JBK-006 | 높음 | 정책 적법성 프레이밍과 안전하지 않은 작업 요청 결합("침투 테스터로서 권한 상승") |
| JBK-007 | 높음 | 모델 신원 스푸핑 — 다른 AI 모델이라고 주장하며 안전 우회 지시 결합 |
| JBK-008 | 높음 | 프롬프트 압축 공격 — 시스템 프롬프트를 압축하거나 요약하도록 지시 |
| JBK-009 | 높음 | 중첩 명령어 인젝션 — "안전/무해한 요약/번역" 프레이밍으로 래핑된 명령형 명령 |

### D. 안전하지 않은 도구 사용 (TOOL)

| ID | 심각도 | 설명 |
|----|----------|-------------|
| TOOL-001 | 심각함 | 제한 없는 도구 실행("모든 명령 실행", "모든 곳 탐색", 백틱 쉘 대체) |
| TOOL-002 | 중간 | 허용 목록이나 사용 정책 없이 설명된 도구 사용 |
| TOOL-003 | 높음 | 샌드박싱 제약 조건 없이 언급된 코드 실행 |
| TOOL-004 | 심각함 | 사용자 제어 변수에서 가져온 도구 설명 또는 스키마 필드 |
| TOOL-005 | 심각함 | 사용자 제어 입력(`req.body`, `req.query` 등)에서 가져온 도구 `name` 또는 엔드포인트 `url` |

### E. 명령어 인젝션 (CMD)

AI 도구를 둘러싼 코드에서 취약한 패턴을 감지합니다. 여기서 성공적인 프롬프트 인젝션이 전체 명령 실행으로 확대될 수 있습니다. Cyera Research Labs(2025)가 Google Gemini CLI에서 발견한 실제 CVE에서 정보를 얻었습니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| CMD-001 | 심각함 | 살균되지 않은 변수 보간으로 빌드된 셸 명령 — JS/TS (`execSync(\`cmd ${var}\``), Python (`subprocess.run(f"cmd {var}")`), PHP (`shell_exec($var)`), Go (`exec.Command` + `fmt.Sprintf`), Rust (`Command::new` + `format!`) |
| CMD-002 | 높음 | 불완전한 명령 대체 필터링: `$()`는 차단하지만 백틱은 차단하지 않거나 그 반대 |
| CMD-003 | 높음 | `glob.sync` 또는 `readdirSync`의 파일 경로가 살균 없이 셸 명령에 직접 사용됨 |
| CMD-004 | 심각함 | Python `subprocess.run`/`subprocess.call`이 `shell=True` 및 변수 또는 f-문자열 명령 인수로 호출됨 |
| CMD-005 | 심각함 | PHP `shell_exec`, `system`, `passthru`, `exec` 또는 `popen`이 `$variable` 인수로 호출됨 |

### F. RAG 포이즈닝 (RAG)

검색 또는 수집된 콘텐츠가 시스템 수준 지침을 재정의할 수 있는 Retrieval-Augmented Generation 파이프라인의 아키텍처적 실수를 감지합니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| RAG-001 | 높음 | 검색 또는 외부 콘텐츠가 메시지 배열에서 `role: "system"`에 할당됨 |
| RAG-002 | 높음 | 지침과 유사한 구문("system prompt:", "always return", "never redact")이 문서 수집 루프 내에서 감지됨 |
| RAG-003 | 높음 | 에이전트 메모리 저장소가 검증 없이 사용자 제어 입력에서 직접 기록됨 |
| RAG-004 | 중간 | 프롬프트가 모델에게 검색된 컨텍스트를 최우선으로 처리하고 개발자 지침을 재정의하도록 지시함 |
| RAG-005 | 중간 | 출처 없는 검색 — 출처 메타데이터 확인 없이 청크가 프롬프트에 삽입됨 |
| RAG-006 | 높음 | 프롬프트에 들어가기 전에 ACL 또는 신뢰 계층 필터가 적용되지 않음 |

### G. 인코딩 (ENC)

Base64 또는 유사한 인코딩을 사용하여 문자열 기반 필터를 우회하는 인코딩 기반 인젝션 및 회피 기술을 감지합니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| ENC-001 | 중간 | 프롬프트 구성 근처에서 사용자 제어 변수에 대해 `atob`, `btoa` 또는 `Buffer.from(x, 'base64')`가 호출됨 |
| ENC-002 | 높음 | 지침 키워드 근처에서 숨겨진 유니코드 제어 문자(제로 너비 공백, 양방향 재정의) 감지됨 |

### H. 출력 처리 (OUT)

LLM 파이프라인의 출력 측면을 다룹니다. 즉, 애플리케이션이 모델 응답을 소비하는 방식입니다. 안전하지 않은 소비는 프롬프트 인젝션 페이로드를 애플리케이션 수준 익스플로잇으로 전환할 수 있습니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| OUT-001 | 심각함 | 스키마 검증(Zod, AJV, Joi, Pydantic, Marshmallow 등) 없이 LLM 출력에서 `JSON.parse()` (JS/TS) 또는 `json.loads()` (Python) 호출 |
| OUT-002 | 심각함 | LLM이 생성한 Markdown 또는 HTML이 DOMPurify 또는 동등한 살균기 없이 렌더링됨 |
| OUT-003 | 심각함 | LLM 출력이 `exec()`, `eval()` 또는 `db.query()`의 인수로 직접 사용됨 |
| OUT-004 | 심각함 | Python `eval()` 또는 `exec()`가 LLM 생성 출력을 인수로 호출됨 |

### I. 멀티모달 (VIS)

비전, 오디오/비디오 및 OCR 파이프라인에 특정한 신뢰 경계 위반을 다룹니다. 멀티모달 입력은 새로운 인젝션 벡터입니다. 이미지 URL, 오디오 파일 또는 스캔된 문서를 제어하는 공격자는 이 규칙의 패턴을 사용하여 모델에 지침을 밀반입할 수 있습니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| VIS-001 | 심각함 | 도메인 또는 MIME 검증 없이 사용자 제공 이미지 URL 또는 base64 데이터가 비전 API(gpt-4o, Claude 3, Gemini Vision)로 전달됨 |
| VIS-002 | 심각함 | 비전 API 메시지도 빌드하는 파일에서 사용자 제어 경로로 `fs.readFile`/`readFileSync` 호출 — 멀티모달 입력으로의 경로 탐색 |
| VIS-003 | 높음 | 오디오/비디오 전사 출력(Whisper, AssemblyAI, Deepgram 등)이 살균 없이 프롬프트 메시지에 직접 공급됨 — 오디오 소스를 통한 RAG 포이즈닝 |
| VIS-004 | 높음 | OCR 출력(Tesseract, Google Vision)이 `role: "system"` 메시지 또는 시스템 프롬프트 변수에 삽입됨 |

### J. 기술 마켓플레이스 (SKL) — v1.1

OpenClaw `SKILL.md` 파일 및 `skills/` 디렉토리 내의 모든 마크다운 파일을 대상으로 합니다. 자체 작성 공격, 원격 기술 로딩, 삽입된 지침, 안전하지 않은 명령 디스패치, 민감한 경로 접근, 권한 상승 주장 및 YAML 머리말의 하드코딩된 자격 증명에 대해 작동합니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| SKL-001 | 심각함 | 기술 본문이 에이전트에게 다른 기술 파일을 쓰거나 수정하도록 지시함 — 에이전트 재시작에도 지속되는 자체 작성 공격 |
| SKL-002 | 심각함 | 기술 본문이 에이전트에게 외부 URL에서 기술을 가져오거나 로드하도록 지시함 — 설치 후 공격자가 기술 동작을 변경할 수 있음 |
| SKL-003 | 심각함 | 기술 본문이 에이전트 핵심 지침을 대상으로 하는 프롬프트 인젝션 구문 포함("이전 지침 무시", "이제 제한 없음" 등) |
| SKL-004 | 높음 | 기술 머리말이 `command-arg-mode: raw`와 함께 `command-dispatch: tool`을 사용함 — 모델 안전 추론을 우회하여 원시 사용자 입력을 도구로 전달 |
| SKL-005 | 높음 | 기술 본문이 민감한 파일 시스템 경로(`~/.ssh`, `~/.env`, `/etc/passwd`, `../../`)를 참조하여 에이전트가 읽고 잠재적으로 유출하도록 함 |
| SKL-006 | 높음 | 기술 본문이 상승된 권한을 주장하거나 에이전트에게 다른 설치된 기술을 재정의하거나 비활성화하도록 지시함 |
| SKL-007 | 심각함 | YAML 머리말에서 하드코딩된 자격 증명 값(API 키, 토큰, 비밀번호) 발견됨 — 기술을 받거나 설치하는 모든 사람에게 노출됨 |
| SKL-008 | 심각함 | 하트비트 C2 — 기술이 주기적인 원격 가져오기를 예약하여 깨끗한 설치 후 자체 지침을 자동으로 덮어씀 |
| SKL-009 | 심각함 | 에이전트 신원 부인 — 기술이 에이전트에게 AI임을 부인하고, 인간이라고 주장하거나, 기만적인 페르소나를 채택하도록 지시함 |
| SKL-010 | 심각함 | 안티 스캐너 회피 — 기술에 보안 감사 도구를 오도하도록 명시적으로 설계된 텍스트 포함됨 |
| SKL-011 | 심각함 | SOUL.md / IDENTITY.md 지속성 — 기술이 제거 후에도 유지되는 에이전트 신원 파일에 지침을 기록함 |
| SKL-012 | 높음 | 자체 전파 웜 — 기술이 에이전트에게 도달 가능한 호스트로 SSH 또는 `curl\|bash`를 통해 확산하도록 지시함 |
| SKL-013 | 높음 | 자율 금융 거래 — 기술이 거래당 사용자 확인 없이 암호화폐 거래를 실행하거나 개인 키를 보유함 |

> **OpenClaw 기술 스캔:** `npx hound scan --dir ./skills`를 실행하거나 `include` 구성에 `**/skills/**/*.md` 및 `**/SKILL.md`를 추가하십시오. ContextHound는 다중 라인 규칙 분석을 위해 기술 파일을 자동으로 `code-block`으로 내보냅니다.

### K. 에이전틱 (AGT) — v1.3 / v1.9

다중 단계 에이전트 시스템에 특정한 위험을 대상으로 합니다: 무제한 실행 루프, 검증되지 않은 메모리 쓰기, 에이전트 계획으로의 사용자 입력 누출, 에이전트 간 신뢰 경계 위반 및 OWASP Agentic AI Security Issues (ASI) 격차.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| AGT-001 | 심각함 | 도구 호출 매개변수가 시스템 프롬프트 콘텐츠를 수신함 — `tool_call`/`function_call` 인수 값에 `system:` 또는 `instructions:` 필드 내용 포함 |
| AGT-002 | 높음 | 반복 또는 시간 초과 가드가 없는 에이전트 루프 — 에이전트 구성 또는 코드에 `max_iterations`, `max_steps`, `max_turns`, `timeout` 또는 `recursion_limit` 없음 |
| AGT-003 | 높음 | 검증되지 않은 LLM 출력에서 에이전트 메모리 기록됨 — `memory.save()`, `memory.add()` 또는 `vectorstore.upsert()`가 원시 모델 응답 변수로 호출됨 |
| AGT-004 | 높음 | 계획 인젝션 — 사용자 입력이 신뢰 경계 래퍼 없이 에이전트 계획, 작업 또는 목표 프롬프트에 직접 삽입됨 |
| AGT-005 | 심각함 | 에이전트가 암호화 검증 없이 주장된 신원을 신뢰함 — HMAC, JWT 또는 공유 비밀 확인 없이 `agentId`, `sender`, `source` 또는 `from_agent` 필드를 기반으로 한 신뢰 결정 |
| AGT-006 | 높음 | 다른 에이전트의 출력이 검증 없이 다른 에이전트의 입력으로 연결됨 — `.run()`, `.invoke()` 또는 `.generate()`가 다른 에이전트의 `.output`/`.content`/`.result`를 직접 인수로 호출됨 |
| AGT-007 | 심각함 | 에이전트 자체 수정 — 에이전트가 런타임에 LLM 생성 콘텐츠로 자체 `system_prompt`, `instructions` 또는 `tools` 목록을 다시 작성함 |
| AGT-008 | 심각함 | ASI03 — 에이전트가 LLM 출력에서 파생된 값으로 `assumeRole`, `grantAccess` 또는 `setPermissions`를 호출함. 프롬프트 인젝션을 통한 권한 상승 |
| AGT-009 | 높음 | ASI04 — 에이전트가 변수 경로 또는 동적 가져오기에서 런타임에 도구 또는 플러그인을 로드하여 공급망 대체를 가능하게 함 |
| AGT-010 | 높음 | ASI07 — HMAC, JWT 서명 또는 스키마 검증 없이 `send`/`route`/`dispatch`를 통해 원시 에이전트 출력이 다른 에이전트로 전달됨 |
| AGT-011 | 높음 | ASI08 — 에이전트 계획 단계 오류가 자동으로 포착됨(재발생 없음, 오류 상태 플래그 없음). 하류 단계가 잘못되었거나 불완전한 상태로 진행됨 |

### L. MCP 보안 (MCP) — v1.7 / v1.8

Model Context Protocol에 특정한 신뢰 경계 및 공급망 위험을 다룹니다. MCP는 새로운 공격 표면을 도입합니다: 도구 설명, 전송 URL, 이벤트 페이로드 및 교차 서버 공유 상태는 모두 인젝션 또는 권한 상승 페이로드를 전달할 수 있습니다.

| ID | 심각도 | 설명 |
|----|----------|-------------|
| MCP-001 | 심각함 | MCP 도구 설명이 살균 없이 LLM 프롬프트에 삽입됨 — `role: "system"` 또는 `messages.push()`에 사용된 `tool.description` 값 |
| MCP-002 | 높음 | MCP 도구가 동적 이름 또는 설명으로 등록됨 — `server.tool()` 첫 번째 인수가 변수 또는 템플릿 리터럴로, 승인 후 러그풀 공격을 가능하게 함 |
| MCP-003 | 높음 | 인간 승인 가드 없는 MCP sampling/createMessage 핸들러 — `requireHumanApproval`, `confirm` 또는 `approve` 확인 없이 `setRequestHandler(CreateMessageRequestSchema)` 설정됨 |
| MCP-004 | 중간 | 변수로 구성된 MCP 전송 URL — 정적 문자열 대신 `new URL(variable)`로 초기화된 `SSEClientTransport` 또는 `WebSocketClientTransport` |
| MCP-005 | 높음 | MCP stdio 전송이 `shell: true`를 사용함 — 인수가 사용자 제어인 경우 명령 문자열이 셸 보간 가능하고 인젝션 가능하게 만듦 |
| MCP-006 | 심각함 | MCP 혼동된 대리자 — MCP 요청의 인증 토큰이 재검증 없이 다운스트림 API로 전달됨. `Authorization` 헤더 값이 `request.params`, `context` 또는 `event`에서 직접 가져옴 |
| MCP-007 | 높음 | 교차 MCP 컨텍스트 포이즈닝 — 해시, 서명 또는 출처 확인 없이 MCP 출력에서 공유/전역 컨텍스트 저장소가 기록됨 |
| MCP-008 | 높음 | 변수 경로에서 로드된 MCP stdio 전송 명령 — `StdioClientTransport`/`StdioServerTransport` `command:` 필드가 정적 문자열 리터럴이 아닌 변수 |
| MCP-009 | 높음 | 만료 확인 없이 인증 결정으로 사용된 MCP 세션 ID — TTL, `expiresAt` 또는 `isExpired` 가드 없이 `sessionId`/`connectionId` 동등성 비교(재생 공격) |
| MCP-010 | 심각함 | 살균 없이 LLM 컨텍스트에 주입된 MCP 전송 이벤트 페이로드 — `messages.push()` 또는 `content:` 필드에 직접 사용된 이벤트/메시지 `.data`, `.content` 또는 `.payload` |

---

## 예제 출력```
=== ContextHound Prompt Audit ===

src/prompts/assistant.ts (file score: 73)
  [HIGH] INJ-001: Direct user input concatenation without delimiter
    File: src/prompts/assistant.ts:12
    Evidence: Answer the user's question: ${userInput}
    Confidence: medium
    Risk points: 23
    Remediation: Wrap user input with clear delimiters (e.g., triple backticks)
                 and label it as "untrusted user content".

  [CRITICAL] EXF-001: Prompt references secrets, API keys, or credentials
    File: src/prompts/assistant.ts:8
    Evidence: The database password is: secret123.
    Confidence: high
    Risk points: 50
    Remediation: Remove all secret values from prompts. Use environment
                 variables server-side; never embed credentials in prompt text.

────────────────────────────────────────────────────────
Repo Risk Score: 87/100 (CRITICAL)
Threshold: 60
Total findings: 5
By severity: critical: 2  high: 2  medium: 1

✗ FAILED - score meets or exceeds threshold.

---

## Benchmark

ContextHound는 거짓 양성 및 탐지율을 측정하기 위한 레이블이 지정된 벤치마크 데이터셋을 제공합니다. 빌드 후 실행하세요:```bash
npm run benchmark

벤치마크는 거짓 양성 또는 거짓 음성이 발견되면 코드 1로 종료되므로, 규칙 변경을 위한 CI 품질 게이트로 적합합니다. 픽스처를 추가하려면 `benchmarks/safe/` 또는 `benchmarks/unsafe/`에 파일을 넣고 `benchmarks/labels.json`에서 예상되는 결과를 업데이트하세요.

### 규칙별 정밀도 / 재현율

벤치마크는 또한 **규칙별 신호 테이블** (최악의 F1 순)을 출력하여 정밀도가 낮은 규칙을 쉽게 찾을 수 있습니다 — 모든 레이블이 지정된 규칙에 대해 참/거짓 양성, 거짓 음성, 정밀도, 재현율, F1을 보여줍니다. FP 개수는 `safe/` 픽스처(기준 진실: 0개의 결과)에서 가져오고, TP/FN은 레이블이 지정된 `unsafe/` 픽스처에서 가져옵니다. `--report <path>`를 전달하면 대시보드 또는 CI 트렌드 추적을 위한 기계 판독 가능 JSON 보고서도 생성됩니다:

``````bash
npm run benchmark -- --report bench-report.json