OpenHunterAI

당신의 로컬 AI 레드팀.
웹, API, LLM 애플리케이션 보안을 위한 공격자 관점의 추론.

빠른 시작 · 에이전트 스킬 · 평가 모델 · 아키텍처 · 문서 · 스타 히스토리

OpenHunterAI는 범위, 스캔 활동, 발견 사항, 그리고 교정을 하나의 로컬 워크스페이스로 통합합니다. 계정 없이 시작하고, 모델 제공자를 연결한 뒤, 소유하거나 테스트 권한을 부여받은 검증된 공개 애플리케이션을 평가하세요.

기능	제공 내용
로컬 워크스페이스	가입 불필요; 프로젝트와 스캔 기록이 로컬 데이터베이스에 저장
명시적 범위	도메인 검증, 결정론적 계획, 사람 승인 게이트
다양한 신호 소스	브라우저 검사, 정찰, ZAP, 그리고 Nuclei 어댑터
AI 지원 조사	OpenHack/Strix 어댑터 경계; 자체 런타임 사용
증거 및 교정	정제된 발견 사항, 커버리지 공백, 수정 가이드, 수동 재테스트
이식 가능한 워크플로	Codex, Claude Code, Gemini CLI, Grok Build, OMP를 위한 스킬

알파. 통합 범위는 구성된 런타임에 따라 달라집니다. 건강한 워크스페이스나 빈 보고서가 대상이 안전하다는 것을 증명하지는 않습니다.

평가 모델

OpenHunterAI는 48bf9036 기술 요구사항의 유용한 핵심을 유지합니다: 공격자의 관점에서 외부에서 관찰 가능한 동작을 평가합니다. 소스 코드는 필요하지 않습니다. 모든 실행은 검증된 공개 대상과 승인된 범위로 제한됩니다.

flowchart LR
  S["1. Lock scope"] --> M["2. Map surface"]
  M --> B["3. Establish baseline"]
  B --> H["4. Test bounded hypotheses"]
  H --> E["5. Gate evidence"]
  E --> R["6. Report and retest"]

단계	출력	통제
범위 잠금	검증된 호스트, 승인된 경로, 스캔 계획	작업 시작 전 권한 부여
표면 매핑	브라우저 및 정찰 신호	공개된, 범위 내 표면만
기준선	정상 응답 및 커버리지 컨텍스트	제한된 워커 및 어댑터 정책
가설 검증	후보 보안 신호	파괴적 행위 없음; 민감한 검증은 승인 필요
증거 게이트	정제되고 재현 가능한 발견 사항	관찰된 신호와 분석가 판단을 분리
보고 및 재테스트	수정 가이드, 한계, 수동 확인	영향 결정과 종료는 사람이 담당

OpenAPI/Swagger 설명, Postman 예제, 정제된 HTTP 캡처, 그리고 전용 테스트 계정은 합의된 테스트 표면을 정의하는 데 도움이 됩니다. 원시 민감 트래픽의 자동 가져오기나 보관은 약속된 기능이 아닙니다.

빠른 시작

Git, Node.js 22+, 그리고 Compose v2가 포함된 Docker가 필요합니다.

git clone https://github.com/LumosLab-Innovation/OpenHunterAI.git
cd OpenHunterAI
node ops/local.mjs start

localhost:3001 을 여세요. 첫 시작 시 이미지를 빌드하고, 데이터베이스 마이그레이션을 적용하며, 생성된 시크릿이 담긴 비공개 .env.local을 만듭니다.

1. .env.local에 제공자 키와 모델 ID를 설정하세요; node ops/local.mjs restart를 실행하세요.
2. 프로젝트를 만들고 공개 도메인을 검증하세요.
3. 범위를 승인하고, 스캔을 시작한 뒤, 활동과 커버리지를 검토하세요.

명령	목적
node ops/local.mjs status	서비스 점검
node ops/local.mjs logs public-api	API 오류 진단
node ops/local.mjs stop	중지; 데이터베이스 볼륨 유지

포함됨: 브라우저 검사, ZAP, 정찰, 그리고 Nuclei 어댑터. 별도 준비: OpenHack 및 Strix 런타임. 선택적 대화형 대상 로그인 캡처: node ops/local.mjs start --with-browser.

스캔하기 전에 Nuclei 템플릿 정책 차단 요소를 해결하세요. 어댑터는 패키징되어 있지만, 검토된 템플릿 번들은 아직 제공되지 않습니다.

로컬이란 워크스페이스가 당신의 머신에서 실행된다는 뜻이며, localhost/사설 네트워크를 스캔할 권한을 의미하는 것이 아닙니다. 포트를 루프백에 유지하세요. 설정, 모델 구성, 문제 해결 →

코딩 에이전트 스킬

에이전트가 평가하기를 원하는 애플리케이션 저장소에서 실행하세요:

npx --yes skills add LumosLab-Innovation/OpenHunterAI --skill openhunter --agent codex claude-code gemini-cli grok --yes

코딩 에이전트를 다시 로드한 뒤, 다음과 같이 요청하세요:

OpenHunter를 사용해 내 워크스페이스를 점검하고 범위가 지정된 보안 평가를 준비해 줘. 스캔을 시작하기 전에 내 승인을 기다려 줘.

OMP는 Agents 제공자를 통해 공유 .agents/skills 설치를 발견합니다. 이 스킬은 읽기 전용 API 헬퍼를 포함하며, 설치는 스캔을 시작하지 않습니다. 클라이언트 호환성 →

아키텍처

flowchart LR
  UI["Local workspace<br/>React + Vite"] --> API["Public API<br/>Scope + scan plan"]
  API --> BUS["NATS<br/>Orchestrator + workers"]
  BUS --> EVIDENCE["Internal API<br/>Findings + reporting"]
  EVIDENCE --> DB[("Postgres")]
  API <--> DB
  API -->|"Activity + reports"| UI

퍼블릭 API가 계획을 수립하고, Go 워커가 제한된 어댑터를 통해 이를 실행합니다. 신호는 보고서에 들어가기 전에 발견 사항 정책을 통과합니다. 보고는 별도의 스캔 워커가 아닌 백엔드 서비스입니다.

런타임 및 데이터 흐름 · 워커 매핑 · 통합 설정

문서

여기서 시작	더 깊이 보기
로컬 설정	아키텍처 및 데이터 모델
제품 개요	제품 요구사항
에이전트 워크플로	LLM 라우팅
보안 가드레일	승인 및 릴리스 게이트

모든 문서 · 알려진 한계 · 과거 기술 명세

커뮤니티 및 라이선스

버그 신고, 개선 제안, 또는 문서 명확화를 도와주세요. 먼저 기여 규칙을 읽으세요; 취약점은 자격 증명이나 원시 대상 데이터 없이 비공개로 공개하세요.

PolyForm Noncommercial 1.0.0에 따른 소스 공개. 상업적 라이선싱: LICENSING.md. 업스트림 도구 및 출처 표기는 자체 고지를 유지합니다.

스타 히스토리