스틸리언은 웹 보안 솔루션 '웹수트'의 자체 테스트에서 인공지능(AI) 에이전트를 활용한 API 정찰과 브라우저 자동화 접근을 차단했다고 밝혔다. AI 자율 침투테스트 도구로 웹서비스의 API 정보를 탐색하고 브라우저를 자동 조작하는 공격 흐름을 시험했다. 웹수트는 명령행 도구 'curl'로 API 구조를 파악하려는 시도와 브라우저 자동화 도구 '플레이라이트(Playwright)'를 이용한 접근을 차단했다.

웹수트는 API 경로를 무작위로 바꾸고 요청·응답 데이터를 암호화해 공격자가 서비스 호출 구조를 분석하기 어렵게 한다. 서버에서는 인증 토큰과 데이터 위변조 여부를 확인해 요청을 허용하거나 차단한다. AI 에이전트를 이용한 공격에는 AI 행동분석과 작업증명(PoW) 기술을 적용한다. 마우스 이동과 클릭, 입력, 스크롤 패턴 및 브라우저 실행 환경을 분석해 비정상 접근을 식별하고 의심스러운 요청에는 연산 과제를 부여해 공격에 필요한 시간과 자원 부담을 높인다. 탈취한 계정정보를 반복 대입하는 '크리덴셜 스터핑'에는 토큰 검증과 자동화 탐지로 대응한다.

고객 환경에 따라 모니터링, 검증, 차단을 단계적으로 적용할 수 있다. 스틸리언은 지난 9월 웹수트와 '앱수트 키패드'에 양자내성암호(PQC)를 적용해 상용화했다. 금융·공공·대기업을 대상으로 추가 기술검증(PoC)을 진행하고 있다.

최근 신한은행에서는 대출모집인 전용 서비스의 본인확인 절차를 우회한 외부 접근으로 고객 약 2만5000명의 개인정보가 유출됐다. 공격에 쓰인 것으로 추정되는 웹 서버에서는 아르텍스 관련 문구가 발견됐다. 스틸리언은 AI 기반 취약점 분석 솔루션 '에일리언레이(AlienRay)'와 생성형 AI 서비스의 취약점을 공격자 관점에서 점검하는 레드티밍 서비스도 제공한다.