본 기사에서는 bikini/exploitarium을 소개한다. 보안 연구자 bikini(Discord: @ashdfrkl)가 공개하고 있는 PoC (Proof-of-Concept) 및 취약점 리서치 통합 아카이브 리포지토리이다.

개요

exploitarium은 7-Zip, FFmpeg, Firefox, libssh2, Docker, Nmap 등 널리 이용되는 OSS 및 상용 소프트웨어를 대상으로, 실제 취약성을 재현하는 코드와 조사 결과를 정리한 아카이브다. 여러 곳에 분산되어 있던 개별 PoC 리포지토리를 2026년 6월에 하나의 리포지토리로 통합하였으며, 신규 엔트리도 직접 이 리포지토리에 추가해 나가는 체제로 이행하고 있다.

"취약점 연구의 성과를 지속적이고 추적하기 쉬운 형태로 커뮤니티에 전달하는 것"이 본 리포지토리의 주요 목적이며, AI를 활용한 퍼징 (Fuzzing) 워크플로우와 수기로 작성한 PoC 코드를 결합한 방법론이 특징적이다.

배경·과제

개인 연구자의 「분산 문제」

보안 연구자가 PoC를 GitHub에서 공개할 때, 발견할 때마다 독립된 리포지토리를 생성하는 것이 일반적인 스타일이다. 이는 발견 단체로서는 자연스러운 형태지만, 연구가 축적됨에 따라 "어느 리포지토리에 무엇이 있는지" 파악하기 어려워진다. 팔로워가 최신 연구를 추적하려면 각 리포지토리를 개별적으로 워치(Watch)해야 하며, 발견을 놓치기 쉽다. exploitarium은 이 문제에 대해 과거의 PoC 리포지토리를 단일 아카이브로 통합하고, 이후의 신규 엔트리도 동일 리포지토리로 집약하는 접근 방식으로 대응하고 있다.

AI 활용 퍼징을 둘러싼 논의

README에서는 저자가 "퍼징 워크플로우 전체를 AI로 자동화했다"고 명시하고 있으며, 사용한 모델로 "GPT-5.5-3-Codex-Spark"라는 명칭이 언급되어 있다. 한편 저자는 "고성능 모델이 필요한 것은 아니다"라는 입장을 명확히 하고 있다. "효율적인 하네스 (Harness)와 적절한 인간의 감시가 있다면, 최첨단 모델이 아니더라도 충분한 성과를 낼 수 있다"는 주장이며, AI를 어디까지나 공정의 일부로 위치시키고 있다는 점이 흥미롭다.

저자는 퍼징 기법에 관한 학위와 여러 편의 논문 발표 경험을 가지고 있으며, PoC 코드 자체는 모두 수기로 작성했다 (Rust에 익숙하지 않은 RustDesk 관련에 대해서만 AI 보조를 사용). AI 활용 범위는 "버그를 찾기 위한 퍼징 자동화"로 한정되어 있으며, README는 AI에 의해 생성되었으나 내용의 정확성은 인간이 리뷰하여 확인하고 있다.

기술적인 특징

Git 트리 데이터에 의한 정합성 검증

여러 독립 리포지토리를 통합할 때의 과제는 파일의 바이트 동일성 보장이다. exploitarium에서는 이를 파일 시스템의 차분이 아니라, Git 트리 (Tree) 데이터를 사용하여 검증하고 있다. 각 엔트리에 대해 다음 4가지를 확인했다:

• 상대 경로의 일치
• Git 오브젝트 타입의 일치
• 트리 모드 (실행 비트 포함)의 일치
• Git blob ID의 일치

Git blob ID가 일치한다는 것은 파일의 바이트 열이 완전히 동일함을 의미한다. 이 검증은 12개 리포지토리, 96개 엔트리를 대상으로 실시되었으며, 제로 미스매치(Zero mismatch)가 확인되었다.

단계적인 공개 방침의 명확화

README에는 "공개 당초에는 리포지토리가 미완성 상태였다"라는 솔직한 기술이 있으며, 초기 엔트리의 일부(Ghidra 관련 등)에 대해서는 품질에 편차가 있음을 인정하고 있다. 향후에는 Floci, libssh2, FFmpeg, c-ares 등 중요도가 높은 취약성에 집중하여 공개하는 방침으로 전환할 것임을 보여주고 있다.

또한 objdump 관련 PoC에 대해서는 다른 연구자가 먼저 발견·공개했음을 인정하고, 4D4J/objdump-Out-Of-Bounds-write에 대한 크레딧을 명기하고 있다. 이러한 성실한 자세는 오픈 보안 커뮤니티가 기능하는 데 있어 필수적인 문화적 규범이라고 할 수 있다.

주요 수록 엔트리

2026년 6월 말 시점에서 23건의 엔트리가 수록되어 있다. 대표적인 것을 아래에 나타낸다.

엔트리	대상 소프트웨어	취약점 개요
c-ares-tcp-uaf-calc-poc	c-ares	TCP 경로에서의 Use-After-Free
docker-cp-copyout-destination-escape	Docker	docker cp의 복사 대상 탈출
ffmpeg-rasc-dlta-calc-poc	FFmpeg	RASC/DLTA 코덱 처리의 부정 접근
firefox-smartwindow-private-url-exfil-poc	Firefox	프라이빗 브라우징 URL 유출
floci-apigateway-vtl-rce-poc	Floci	VTL 템플릿을 통한 원격 코드 실행 (RCE)
libssh2-cve-2026-55200-poc	libssh2	CVE-2026-55200
nmap-ipv6-extlen-wrap-poc	Nmap	IPv6 확장 헤더 길이의 정수 랩어라운드 (Integer Wrap-around)
openvpn-connect-echo-script-ace-poc	OpenVPN Connect	에코 스크립트를 통한 임의 코드 실행 (ACE)
php857-streambucket-soap-rce-rpoc	PHP 8.5.7	stream_bucket과 SOAP를 결합한 RCE
rustdesk-session-permission-pocs	RustDesk	세션 권한에 관한 여러 문제
systeminformer-phsvc-trusted-host-lpe-poc	System Informer	신뢰 호스트를 통한 로컬 권한 상승 (LPE)
ghidra-12.1.2-rce-ace-calc-poc	Ghidra 12.1.2	원격 코드 실행 (RCE) 및 임의 코드 실행 (ACE)

이 외에도 7-Zip의 MotW 체인 바이패스, AnyDesk, Flowise, Gitea, ImageMagick, nghttp2 등 폭넓은 소프트웨어를 대상으로 한 엔트리도 포함되어 있다.

유사 도구와의 비교

보안 PoC를 체계적으로 공개하는 수단으로는 다음과 같은 것들이 있다.

Exploit-DB는 취약점 PoC의 집약 데이터베이스로서 실적이 있지만, 투고형 방식이라 특정 연구자의 활동을 실시간으로 추적하기에는 적합하지 않다. NVD / CVE 데이터베이스는 공적인 취약점 관리 기반이지만, 재현 가능한 PoC 코드가 포함되는 경우는 드물다. 개별 PoC 리포지토리는 연구자들이 표준적으로 취하는 스타일로 유연성이 높은 반면, 팔로우해야 할 대상이 분산된다.

exploitarium은 단일 리포지토리로의 집약에 의한 "연구자의 활동 전체를 추적하기 쉬운" 구조와, AI ファジング (AI Fuzzing)이라는 체계적인 방법론을 결합했다는 점에서 차별화된다. PoC 코드 단독 공개가 아니라 방법론 자체를 공개하는 스타일은 커뮤니티에 대한 교육적 기여라는 관점에서도 평가할 만하다.

윤리적인 주의사항과 이용 방침

요약

exploitarium은 AI를 활용한 ファジング (Fuzzing) 자동화와 수동 PoC, Git 기반의 정합성 검증을 결합한 개인 연구자에 의한 고밀도 취약점 아카이브이다. 7-Zip부터 PHP, RustDesk까지 폭넓은 소프트웨어를 대상으로 하고 있어, 방어 측 엔지니어와 취약점 연구자에게 참조 가치가 높은 리소스로 자리 잡고 있다.

"뛰어난 모델보다 뛰어난 하네스(Harness)와 인간의 감시가 중요하다"는 저자의 메시지는, AI를 보안 연구에 도입하려는 엔지니어들에게 시사하는 바가 큰 관점을 제공한다.

출처:

Discussion