Escape의 AI가 공격자 역할을 맡아 API를 지속적으로 스캔하다, GraphQL부터 시작

에이전트리스 제품으로 API의 보안 취약점을 동적으로 스캔하고 개선 방안을 제시하며, CI/CD에 통합되는 프랑스 사이버보안 스타트업이다.

API 보안은 개발 파이프라인에서 지속적으로 실행되어야 하며, AI가 시뮬레이션한 공격이 연례 침투 테스트가 아니라 취약점이 처음 나타날 때 이를 잡아내야 한다는 것이다.

390만 달러(360만 유로) 라운드이며, 그 이전의 프리시드는 Frst가 주도했다.

Tristan Kalos와 Antoine Carossio가 창업한 Escape는 Y Combinator의 2023년 겨울 코호트를 거친 뒤 Iris가 주도하고 Frst와 Roxanne Varza를 포함한 엔젤들이 참여한 390만 달러 라운드를 조달했다. 당시 팀은 10명이었다.

이 제품은 개발 파이프라인에 직접 통합되어, 모든 커밋이 CI/CD 흐름을 통해 Escape를 작동시킨다. 자체 AI 알고리즘이 사이버 공격을 시뮬레이션하는데, 대량 데이터 유출로 이어질 수 있는 누락된 속도 제한이나 차단되지 않은 잘못된 동작을 찾아내며, 강화 학습과 딥러닝 및 휴리스틱의 혼합을 사용하고 발견 사항을 Snyk에 전달한다.

침투 테스트는 연 1~2회 이루어지고 보고서로 끝나지만, Escape는 커밋 시점에 취약점을 잡아내며 그때는 책임 개발자가 슬랙 메시지 한 통 거리에 있다.

소스 코드가 아닌 실행 중인 API를 테스트하면 정적 도구가 놓치는 비즈니스 로직 공격을 포착할 수 있다.

GraphQL 우선 집중은 수요가 충분히 충족되지 않은 형식과 고가치 사용자를 결합한 것이었으며, 이후 REST로 확장했다.

강화 학습은 스캐너가 서명 패턴 매칭이 아니라 상호작용을 탐색하며 공격자처럼 행동하게 만든다.

연례 침투 테스트와 경쟁하지 말고 그 사이 364일을 자동화하며, 기본값이 될 수 있는 틈새 API 형식부터 시작하라.

2023년 6월 5일 기준으로 Escape는 Sorare, Shine, Neo4J를 포함한 약 20개 고객사를 두고 있었고, GraphQL과 함께 REST API 지원을 출시 중이었으며, 연간 수만 유로 규모의 계약으로 은행과 금융 서비스 기업을 겨냥하고 있었다.