Claude 기반 AI 에이전트로 API 요청을 자동 테스트함
주로 찾은 문제는 접근제어 누락, IDOR, 내부 데이터 노출
Google Voice, YouTube, Widevine, Cloud Console 등 여러 서비스에서 취약점 발견
약 90일 동안 버그바운티로 총 50만 달러 수준의 보상 수령
대부분의 문제는 고급 해킹이 아니라 API 권한 체크 실수
결론은 “AI가 해커가 됐다”가 아니라 AI로 사람이 못 훑는 공격 표면을 대량 탐색할 수 있게 됐다는 것
공격자도 AI로 API·키·권한 구멍을 계속 찾을 수 있는 시대라, 방어자도 AI로 상시 점검해야 하는 시대가 됐다는 사례입니다.