무료 설치기 · 클로드 코드 스킬 · MIT

AI로 만든 앱,
구멍은 아무도 안 봤습니다

Strix 는 usestrix (hi@usestrix.com) 이 만든 오픈소스 AI 침투테스트 에이전트입니다(Apache-2.0). 표적을 실제로 돌려 보고, 뚫은 것만 재현 증거(PoC)와 함께 보고하는 오픈소스 AI 침투테스트 에이전트입니다.

※ 이 페이지는 리본랩스가 만든 한국어 안내와 설치 대행입니다. Strix 자체는 usestrix (hi@usestrix.com) 의 오픈소스이고, 저희는 만들지도 고치지도 재배포하지도 않으며 제휴 관계도 없습니다.

클로드 코드에서 바로 실행하기

터미널을 따로 열지 않아도 됩니다. 클로드 코드 안에서 둘 중 하나면 됩니다.

명령 앞에 ! 붙이기 — 제일 확실합니다

!npx --yes reborn-strix

맨 앞의 ! 까지 함께 붙여넣으세요. 클로드를 거치지 않고 곧장 설치가 돕니다.
중간의 --yes 도 빼지 마세요 — 이게 없으면 «받아도 되나요?» 하고 묻는 자리에서 아무 말 없이 멈춥니다.

클로드에게 그냥 말하기

reborn-strix 설치해줘

클로드가 명령을 대신 돌리고, 막히면 이유까지 봐 줍니다.

둘 다 안 되면 검은 창에서 — 클로드를 아예 거치지 않습니다

npx --yes reborn-strix

윈도우 — 윈도우키를 누르고 cmd 라고 친 뒤 엔터. 맥 — command+스페이스 누르고 터미널 엔터.
어느 폴더에서 하셔도 상관없습니다 — 스킬은 항상 내 계정 폴더(~/.claude/skills)에 깔립니다. 여기서는 ! 를 빼세요.

먼저 컴퓨터에 Node.js 가 있어야 합니다. 없으면 위 명령이 아예 안 뜁니다 — nodejs.org 에서 큰 초록 버튼을 누르고 계속 «다음»만 누르시면 됩니다(3분). 클로드 코드를 쓰고 계시면 이미 있습니다.
클로드가 “실행하지 않겠습니다”라고 하면 1번을 쓰세요. 이제 막 나온 설치기라 클로드가 낯선 것으로 보고 막는 것이고, 그 판단 자체는 옳습니다. ! 를 붙이면 클로드에게 부탁하지 않고 바로 돌아갑니다.
폰이나 브라우저의 클로드 화면에서는 안 됩니다 — 그 창은 인터넷 저쪽의 임시 서버라 깔아도 내 컴퓨터에 남지 않습니다. 내 컴퓨터의 클로드 코드나 터미널에서 해 주세요.

깔고 나면 클로드 코드를 껐다 켜야 스킬이 잡힙니다.

소개 영상이 말하지 않는 것 넷

전부 맞는 말입니다. 다만 처음 돌릴 때 실제로 걸리는 것이 빠져 있습니다.

① 「완전 무료」는 도구 값 이야기입니다

0원 (Apache-2.0 오픈소스) 은 맞습니다. 그런데 모델은 딸려오지 않습니다 — LLM API 토큰 값. 에이전트가 스스로 판단하며 모델을 여러 번 부르므로, 얼마 나올지는 표적과 깊이에 달렸습니다.

게다가 --scan-mode 기본값이 deep 입니다. --scan-mode 의 기본값이 deep 입니다. 공식 문서 기준 quick 은 몇 분, standard 는 30분~1시간, deep 은 그보다 깁니다. 「완전 무료」만 듣고 그대로 치면 첫 실행이 가장 깊고 가장 비싼 실행이 됩니다.

strix --target ./app-directory --scan-mode quick --max-budget 2첫 실행은 이렇게

출처 · docs.strix.ai/usage/cli · docs.strix.ai/usage/scan-modes

② 로컬 폴더는 쓰기 가능하게 마운트됩니다

로컬 폴더를 표적으로 주면 샌드박스에 쓰기 가능하게 마운트됩니다 — 에이전트가 여러분의 진짜 파일을 고칩니다(.git 은 제외).

A local directory is mounted into the sandbox live and writable, so the agent edits your real files (.git excepted). Commit or stash first.

돌리기 전에 커밋하거나 스태시하세요. 원본 릴스는 「폴더만 가리키면 된다」고만 하고 이 줄을 말하지 않습니다.

출처 · docs.strix.ai/usage/cli — --target 설명의 Note

③ 전제 셋 — 없으면 첫 줄에서 멈춥니다

도커 · docker info

떠 있어야 함첫 실행이 샌드박스 이미지를 받습니다. 에이전트는 그 컨테이너 안에서 돕니다.

파이썬 · python --version

3.12 이상strix-agent 의 requires-python 이 >=3.12 입니다. 3.11 에는 안 깔립니다.

LLM API 키 · echo $LLM_API_KEY

종량제 키 하나모델은 딸려오지 않습니다. OpenAI·Anthropic·Google·OpenRouter 등 지원 제공자 중 하나를 고릅니다.

npx --yes reborn-strix doctor셋을 한 번에 잽니다

④ ★내가 소유했거나 허락받은 표적에만

내가 소유했거나 문서로 허락받은 표적에만 씁니다.

Authorized use only. — github.com/usestrix/strix README · LICENSE

우리 서비스·우리 저장소·우리가 계약으로 진단을 맡은 고객 자산, 그리고 스스로 세운 연습용 표적에는 마음껏 씁니다. 버그바운티는 그 프로그램의 범위(scope) 문서가 허락한 자산에만.

표적을 적기 전에 「이건 누구 것인가」를 먼저 답하세요. 답이 「내 것」이나 「문서로 허락받았다」가 아니면 거기서 멈춥니다.

이렇게 치면 안 됩니다

pip install strix

PyPI 의 패키지 이름은 strix 가 아니라 strix-agent 입니다. 이름이 달라 엉뚱한 것이 깔리거나 안 깔립니다.명령어와 저장소 이름이 둘 다 strix 라서 패키지 이름도 그럴 거라고 짐작하게 됩니다.

strix --target https://남의사이트.com

대부분의 나라에서 위법입니다. 저장소가 「Authorized use only」 를 명시합니다. 소유했거나 문서로 허락받은 표적에만 겨눕니다.URL 을 받는 도구라 아무 주소나 넣어 볼 수 있게 보입니다. 넣을 수 있다는 것과 넣어도 된다는 것은 다릅니다.

strix --target ./my-app

옵션 없이 돌리면 scan-mode 가 deep 입니다. 몇 시간이 걸리고 토큰 값이 얼마 나올지 모릅니다. 게다가 로컬 폴더는 샌드박스에 쓰기 가능하게 마운트되어 에이전트가 진짜 파일을 고칩니다.빠른시작에 적힌 그대로라서 그대로 칩니다. 빠른시작은 맞지만 첫 실행에는 브레이크가 없습니다.

strix --target ./app-directory --scan-mode quick --max-budget 2

이게 첫 실행입니다. 공식 빠른시작에는 --scan-mode 와 --max-budget 이 없습니다. 우리가 붙였습니다 — 왜 붙였는지는 ★값 칸에 있습니다.

공식 스킬 9개 — 클로드가 직접 돌립니다

usestrix — **우리가 만든 것이 아닙니다.** Apache-2.0 이고 저작자 표시는 각 SKILL.md 머리말에 그대로 남습니다.

npx --yes reborn-strix skills저장소에서 직접 받아 깝니다 (사본을 끼워 두지 않습니다)

npx skills add usestrix/strix공식 통로 — 같은 것입니다

penetration-testing-with-strix

웹앱·API·저장소·URL·도메인·IP 를 대상으로 하는 기본 침투테스트

web-app-penetration-testing

살아 있는 웹앱을 끝까지 블랙박스로

api-security-testing

REST·GraphQL·gRPC — OWASP API Top 10 (2023)

owasp-top-10-testing

OWASP Top 10:2025 항목별 실증

find-security-vulnerabilities-in-code

소스를 읽는 화이트박스 리뷰

fix-security-vulnerabilities-with-strix

찾은 것을 고치고 다시 돌려 막혔는지 증명

ci-security-scanning-with-strix

PR 마다 변경분만 스캔해 머지 전에 막기

application-security-testing

제품 전체에서 무엇을 어떤 방식으로 검사할지 고르기

managed-pentesting-with-strix

도커·키 없이 app.strix.ai 에서 돌리기

출처 · github.com/usestrix/strix/tree/main/skills · README 「Use Strix from Your Coding Agent」

이 안내가 하지 않는 말

「완전 무료」 라고만 하기 도구는 Apache-2.0 이라 0원이 맞지만 LLM 토큰 값은 따로 듭니다. 조건을 빼고 말하면 첫 청구서에서 신뢰가 끝납니다.아무 사이트나 넣어 보라고 하기 저장소가 Authorized use only 를 명시합니다. 권한 없는 표적 스캔은 대부분의 나라에서 위법입니다.「스캔 한 번이면 보안 끝」 실증형이라 뚫은 것만 올립니다. 안 나온 것이 없다는 뜻이 아닙니다.「우리가 만든 도구」 usestrix 의 오픈소스입니다. 우리는 한국어 안내와 설치를 대신할 뿐입니다.옵션 없이 첫 실행을 권하기 기본 scan-mode 가 deep 입니다. 상한 없이 돌리면 값이 얼마 나올지 모릅니다.

스타 61,340 · 포크 6,710 (2026-09-09 기준). 스타는 관심의 크기이지 여러분 표적에서의 정확도가 아닙니다. 첫 판단은 quick 스캔 한 번으로 직접 하세요.

깔면 이렇게 씁니다

클로드에게 그냥 말하세요 — "strix 돌리는 법 알려줘"

npx --yes reborn-strix run첫 실행 한 줄과 틀린 명령

npx --yes reborn-strix doctor도커·파이썬·키가 준비됐나

npx --yes reborn-strix facts원장 전체를 터미널에

npx --yes reborn-strix verify저장소·문서·PyPI 가 지금 응답하는지

확인일 2026-09-09 · github.com/usestrix/strix 의 README.md 원문 · docs.strix.ai/quickstart · docs.strix.ai/usage/cli · docs.strix.ai/usage/scan-modes · GitHub API(api.github.com/repos/usestrix/strix) 를 직접 읽어 옮겼다. 별 개수는 그날 API 응답값이다.

AI로 만든 앱,구멍은 아무도 안 봤습니다