Nightcrawler: 네트워크 침투 테스트 AI 에이전트, 클라우드 없이 스마트폰 한 대에서 구동
개발자가 자동 침투 테스트 에이전트 Nightcrawler를 공개했다. OnePlus 8에서 소형 AI 모델로 구동되며, 네트워크에 휴대폰을 연결해두기만 하면 인터넷 연결 없이 모든 작업을 스스로 수행한다.
Nightcrawler라는 새로운 오픈소스 프로젝트가 Hacker News에 공개되어 게시 후 몇 시간 만에 102점 이상의 추천과 약 30개의 댓글을 받으며 화제가 됐다. 핵심은 스마트폰 한 대에서 완전 자동으로 작동하는 침투 테스트(penetration testing) 에이전트다. 사용자는 테스트하려는 네트워크에 휴대폰을 연결해두기만 하면 된다. 그러면 호스트 탐색, 서비스 매핑, 취약점 탐색을 거쳐 pentest 보고서까지 스스로 작성하며, 클라우드로 데이터를 전송할 필요가 전혀 없다.
개발자가 시연에 사용한 하드웨어는 Kali NetHunter(모바일 사이버 보안 작업용 운영체제)를 설치한 OnePlus 8이다. 시스템의 두뇌는 파라미터 12억 개에 불과한 소형 AI 모델 LFM2.5-1.2B로, OpenCL을 통해 휴대폰 GPU에서 온디바이스로 구동된다. 이 모델은 다음 단계로 무엇을 할지, 어떤 호스트를 점검할지, 어떤 도구를 사용할지, 무엇을 찾아야 할지를 결정하는 역할을 한다. 현재 버전은 v0.1.0으로 아직 매우 초기 단계의 프로젝트다.
흥미로운 점은 일반적인 취약점 스캐너처럼 모든 기기를 동시에 스캔하는 대신, 차분하고 끈기 있는 인간 침투 테스터를 모방하도록 설계됐다는 것이다. 호스트를 한 대씩 순서대로 점검하고, 작은 단계를 한 사이클씩 수행하며, 여러 시간에 걸쳐 지식을 조금씩 축적해 나간다. 개발자는 이 방식이 기존 스캔 방식보다 탐지하기 어렵다고 설명한다.
커뮤니티가 주목한 또 다른 세부 사항은 개발 과정이다. 제작자는 Claude Code를 5분마다 실행되는 cron job으로 설정해 에이전트의 동작을 점검하고, 버그를 수정하며, 관찰 결과를 자동으로 기록하게 했다. AI를 활용해 또 다른 AI 시스템을 개발한 사례인 셈이다. 다만 현재까지 모든 정보는 주로 개발자 본인에게서 나온 것으로, 독립적인 제3자의 테스트나 보고는 아직 없다.
이 소식은 AI 기반 침투 테스트 도구가 저렴한 휴대용 기기에서도 구동될 수 있을 만큼 소형화되고 있음을 보여준다. 네트워크 보안을 담당하는 한국 기업들은 네트워크에 방치된 수상한 기기가 새로운 형태의 위협이 될 수 있음을 인지해야 한다. 동시에 보안 팀 역시 같은 아이디어를 활용해 저렴한 비용으로 자체 시스템을 테스트할 수 있다.