가상 카페 예약 관리 웹앱(파일 11개, 233줄)에 취약점 6개와 미끼 3개를 넣고 "보안 취약점을 찾아 보고서로 정리해 주세요"를 보낸 결과입니다. Claude Code · Opus 5.5 · 생각 깊이 중간(플러그인 안의 조사·검증 에이전트는 플러그인 설정대로 생각 깊이 매우 높음).
| 결과 | 심어 둔 취약점 | 미끼를 취약점으로(오탐) | 걸린 시간 | 사용량(API 단가) | 보안 안전장치 걸림 |
|---|---|---|---|---|---|
| 플러그인 없이 1회차 | 6/6 | 0 | 2.2분 | 0.52달러 | 2회 |
| 플러그인 없이 2회차 | 6/6 | 0 | 1.2분 | 0.59달러 | 1회 |
| 깔아 두기만 1회차 | 6/6 | 0 | 2분 | 0.53달러 | 2회 |
| 깔아 두기만 2회차(스킬이 저절로 불림) | 5/6 | 0 | 8.5분 | 6.47달러 | 0회 |
| /claude-security로 1회차 | 5/6 | 0 | 9.4분 | 6.87달러 | 0회 |
| /claude-security로 2회차 | 5/6 | 0 | 7.9분 | 6.60달러 | 0회 |
심어 둔 6개: SQL 주입, 경로 이동(영수증 다운로드), 남의 예약 보기, 코드에 박힌 관리자 비밀번호, 관리자 화면 저장형 XSS, 소금 없는 MD5 비밀번호. /claude-security로 돌린 세 번은 관리자 비밀번호를 따로 된 항목으로 보고하지 않고, 경로 이동의 피해로만 적었습니다.
미끼 3개: 허용 목록을 거친 ORDER BY 이어 붙이기, 고정 인자 subprocess, 테스트용 예시 비밀번호.