npx로 즉시 실행! 레거시 Web API의 권한 미비(BOLA)와 SQLi를 자동 감사하는 CLI 툴 'komainu-guard' 개발

npx --yes komainu-guard --version
# Output: komainu-guard 0.2.1

npx --yes komainu-guard pre-scan ./path/to/legacy-repo

Loaded 10 target stacks.
Targets found: 1
Target: ./path/to/legacy-repo
...

npx --yes komainu-guard audit ./path/to/legacy-repo --out ./audit-result

npx --yes komainu-guard report ./audit-result

+-------------------------------------------------------------------------+
| komainu-guard 파이프라인 |
+-------------------------------------------------------------------------+
... 

AI에게 취약점을 탐지하게 하면, 존재하지 않는 결함을 과도하게 보고하는 경향이 있습니다. komainu-guard는 감사관(Auditor)이 발견한 지적에 대해, **'그 지적을 논파하려는' 독립적인 검증 에이전트(Skeptic Verifier)**를 구동합니다.

양자가 합의한 신뢰도 높은 취약점만을 리포트에 채택함으로써, 높은 Precision(정밀도/적합률)을 실현하고 있습니다.

-
**PHP**(Plain PHP, CodeIgniter) -
**Java**(Servlet, JSP, Struts 1, Spring MVC, MyBatis, Hibernate) -
**.NET**(ASP.NET WebForms, HTTP Handlers, ASP.NET MVC) -
**Classic ASP**(VBScript) **ColdFusion**-
**Node.js**(Express) -
**Python**(Flask) -
**Perl**(CGI) -
**SQL**(Stored Procedures / Functions)

-
**Target Read-Only:** 진단 대상의 소스코드 디렉토리에는 1바이트도 쓰기를 하지 않습니다. 출력은 모두 독립된 `OUT` 디렉토리에 격리됩니다. -
**No Training / Zero Retention:** 기밀 정보(API 키나 비밀번호)는 사전 스캔에서 자동 마스킹합니다. 로컬 GPU(Qwen 2.5 Coder 등)에서의 완전 폐쇄 실행에도 대응하고 있습니다.

다양한 언어 스택을 포함하는 테스트용 리포지토리 그룹에 대해 실시한 포괄 평가(Evaluation Run 3)에서, 다음과 같은 정확도를 달성했습니다:

-
**재현율(Recall):****100.0%** (심어놓은 취약점을 단 하나도 놓치지 않고 탐지)
**정밀도(Precision):****1.000** (회의적 검증 역할로 오탐지를 0으로 달성)

레거시 시스템을 안전하게 모던화하는 첫걸음은, **'객관적이고 정확한 현황 파악'**에서 시작됩니다.

`komainu-guard`

를 사용하면, 가지고 계신 터미널에서 `npx komainu-guard`

을 실행하는 것만으로도 단 몇 분 만에 기존 코드베이스의 권한 리스크를 시각화할 수 있습니다.

향후에는 취약점 탐지(Assess)에 그치지 않고, OWASP Coraza WAF를 통합한 API Gateway(Kong)를 통한 경계 방어 또는 .NET / Spring Boot용 권한 복구 라이브러리(Remediate)와의 연동도 순차적으로 강화해 나갈 예정입니다.

우선 가지고 계신 레거시 프로젝트나 샘플 코드로 꼭 한번 사용해보세요!

피드백이나 Issue, 스타를 주시면 큰 힘이 됩니다!