MCPwner AI 펜테스팅 도구, OpenClaw에서 다중 제로데이 취약점 발견

MCPwner란 무엇인가

MCPwner는 보안 대상에 대해 AI 에이전트가 자동화된 침투 테스트를 수행할 수 있도록 하는 MCP(Model Context Protocol) 서버입니다. 개발자는 GPT-4o 및 Claude 3.5 Sonnet과 같은 구형 AI 모델을 조율하기 위해 구축했으며, MCPwner를 통해 적절히 지시되면 표준 스캐닝 도구가 놓치는 심층적인 아키텍처 결함을 찾을 수 있습니다.

최근 OpenClaw 발견 사항

OpenClaw를 대상으로 했을 때, MCPwner는 현재 공식 권고를 받은 여러 제로데이 취약점을 성공적으로 식별했습니다. 이는 단순한 사소한 버그가 아닌 중요한 보안 문제였습니다:

• 환경 변수 주입
• ACP 권한 자동 승인 우회
• 파일 존재 오라클 정보 노출
• safeBins 표준 입력 전용 우회

이 도구는 기존 정적 분석 도구가 완전히 간과한 논리 우회 및 주입 지점을 발견했습니다.

기술적 접근 방식

MCPwner는 중간 수준 및 구형 AI 모델이 이 MCP 서버를 통해 적절히 조율될 때 취약점 발견을 위한 기존 정적 분석을 능가할 수 있음을 보여줍니다. 이 프로젝트는 이미 OpenClaw 발견 사항을 넘어 여러 취약점 및 기타 CVE를 식별했습니다.

프로젝트 상태 및 기여

프로젝트는 여전히 활발히 개발 중이지만 이미 결과를 내고 있습니다. 개발자는 스캐닝 논리를 예리하게 다듬고 도구 키트를 확장하는 데 도움을 줄 기여자를 찾고 있습니다. 특히 이 도구를 테스트하고 싶은 공격적 AI 분야에서 작업하는 사람들의 풀 리퀘스트와 피드백을 환영합니다.

GitHub 저장소: https://github.com/Pigyon/MCPwner