주요 콘텐츠로 건너뛰기
AI 튜토리얼

AI-Helper-Menu 안전 감사: 아키텍처, 빌드 과정 및 보안 점검

이 튜토리얼에서는 AI-Helper-Menu가 명시한 기능, 기술, 빌드 작업 흐름 및 브라우저 통합 방식을 살펴봅니다. 이 프로젝트가 타사 서비스를 수정하고 Blooket의 규정을 위반할 수 있으며, 관련 없는 도메인에서 실행 코드를 다운로드하는 설치 명령을 포함하고 있으므로 소스 검사와 격리된 테스트를 중점적으로 다룹니다.

약 13분 소요
AI-Helper-Menu 안전 감사: 아키텍처, 빌드 과정 및 보안 점검
중요: AI-Helper-Menu는 Blooket 치트 도구 모음으로 소개됩니다. 실시간 세션에서 사용하면 부당한 이점을 얻고 Blooket 이용 약관을 위반하거나 계정 정지에 노출되거나 컴퓨터를 위험에 빠뜨릴 수 있습니다. 이 튜토리얼은 서비스에 배포하는 방법이 아니라 안전한 소스 검토와 격리된 환경에서의 평가를 다룹니다.

AI-Helper-Menu의 주장 기능

AI-Helper-Menu는 Blooket 페이지에 드래그 가능한 제어 패널을 삽입하도록 설계된 종속성 없는 순수 JavaScript 프로젝트입니다. README에 따르면 fetch와 WebSocket 같은 기본 브라우저 API에 연결하고, 페이지 변경을 감지하며, 게임 상태를 수정합니다.

이 저장소는 버전 2.0.0을 더 빠른 삽입, 적응형 게임 모드 감지, 문제 캐싱, 글래스모피즘 스타일 인터페이스를 갖춘 모듈식 재작성 버전으로 설명합니다. 이는 저장소의 주장일 뿐이며, 기능이 독립적으로 검증되었다는 의미로 해석해서는 안 됩니다.

주장된 기능

  • 자동 응답: 설정 가능한 지연 시간 후 답을 선택하고 이전에 본 문제를 캐시합니다.
  • 코인 및 잠금 해제 제어: 코인 값을 수정하고 블룩을 잠금 해제한다고 주장합니다.
  • 속도 제어: 타이머, 애니메이션, 반복 작업에 대해 1×에서 5×까지의 배율을 제공합니다.
  • 보상 자동화: 일일 토큰과 보너스를 수집한다고 주장합니다.
  • 게임 상태 수정: 페널티를 방지하고 모드별 자동화를 수행한다고 홍보합니다.
  • 신원 제어: 실시간 로비에서 표시되는 사용자 이름을 “Anonymous”로 바꾼다고 주장합니다.
  • 타이밍 시뮬레이션: 사람의 행동을 모방하기 위해 무작위 지연과 간헐적인 오답을 적용합니다.

README에는 Gold Quest, Tower Defense, Factory, Racing, Café, Crypto Hack, Fishing, Battle Royale을 위한 특수 동작도 나열되어 있습니다. 모든 기능이 작동한다는 것을 입증하는 벤치마크나 테스트 증거는 제공하지 않습니다.

설정 전에 위험 이해하기

이 프로젝트는 Blooket과 제휴하지 않았습니다. 프로젝트 자체의 면책 조항에서도 부정행위가 플랫폼 규정을 위반할 수 있으며 계정 조치로 이어질 수 있음을 인정합니다. “미탐지”, “제재 방지”, “신 모드”와 같은 주장은 보장이 아닙니다.

설치와 관련해서도 상당한 우려가 있습니다. 안내된 Windows 명령은 bitsadmin을 사용해 https://devcodee.com/api에서 MSI 파일을 다운로드한 다음 msiexec로 자동 실행합니다. 해당 도메인은 GitHub 저장소와 다르며, 이 명령은 일반적인 설치 인터페이스를 표시하지 않습니다.

README에서 “원클릭”이라고 표시했다는 이유만으로 원격에서 다운로드한 설치 프로그램을 실행하지 마세요. 먼저 소스, 출처, 디지털 서명, 암호화 해시를 확인하세요. README는 해당 MSI의 체크섬이나 서명을 제공하지 않습니다.

격리된 검토 환경 준비

분석에는 개인 계정, 저장된 비밀번호, 브라우저 쿠키, 학교 자격 증명 또는 민감한 파일이 포함되지 않은 폐기 가능한 가상 머신, 별도의 브라우저 프로필 또는 다른 환경을 사용하세요. 검사 중에는 Blooket에 로그인하지 마세요.

권장 예방 조치

  1. GitHub에서 저장소를 열고 커밋 기록, 브랜치, 이슈, 라이선스를 검토하세요.
  2. 검토한 저장소에서만 소스를 다운로드하거나 복제하세요.
  3. README의 자동 MSI 설치 프로그램과 확인하지 않은 도메인에서 가져온 스크립트를 피하세요.
  4. Node.js 명령을 실행하기 전에 패키지 메타데이터와 빌드 스크립트를 검토하세요.
  5. 관리자 계정 대신 권한이 제한된 운영 체제 계정을 사용하세요.
  6. 테스트 브라우저 프로필에 확장 프로그램과 인증된 세션을 두지 마세요.

빌드 전에 소스 검사

README는 Node.js를 빌드 도구로 식별하며 컴파일된 북마클릿이 dist/bookmarklet.js에 기록된다고 설명합니다. 모든 빌드 종속성이나 소스 파일을 문서화하지는 않았으므로 진행하기 전에 실제 저장소 내용을 확인하세요.

격리된 환경에 저장소를 복제하세요.

git clone https://github.com/bansheepatronmake/AI-Helper-Menu.git
cd AI-Helper-Menu

npm 스크립트를 실행하기 전에 package.json을 검사하세요. scripts, 종속성 선언, preinstall, install, postinstall, prepare, prebuild와 같은 수명 주기 훅에 특히 주의하세요.

node --version
npm --version
npm run

마지막 명령은 빌드 작업을 선택하지 않고 사용 가능한 npm 스크립트를 나열합니다. 출력을 README에 명시된 npm run build 명령과 비교하세요. 스크립트가 무엇을 실행하는지 확인한 후에만 빌드를 실행하세요.

npm run build

README에 따르면 빌드가 성공하면 dist/bookmarklet.js가 생성됩니다. 해당 파일은 실행하지 말고 텍스트로 여세요.

검색할 항목

  • fetch, XMLHttpRequest, WebSocket 또는 동적으로 생성된 요소에서 참조하는 네트워크 대상.
  • 쿠키, 로컬 저장소, 세션 저장소, 토큰, 사용자 이름 또는 브라우저 지문 수집.
  • eval, Function 또는 디코딩된 문자열을 통한 동적 실행.
  • 저장소 및 Blooket과 관련 없는 도메인으로의 예상치 못한 다운로드, 리디렉션 또는 호출.
  • window.fetch 또는 window.WebSocket과 같은 브라우저 전역 객체 재정의.
  • 읽을 수 있는 소스 파일로 추적할 수 없는 축소되었거나 난독화된 섹션.

소스와 빌드 출력 비교

북마클릿은 javascript:로 시작하는 한 줄로 압축되는 경우가 많습니다. 난독화가 아닌 단순 축약만으로 악성 동작의 증거가 되지는 않지만, 수동 검사를 어렵게 만듭니다. 생성된 파일은 검토한 소스와 빌드 프로세스에 부합해야 합니다.

유용한 무결성 확인 절차는 다음과 같습니다.

  1. 검토 중인 정확한 Git 커밋을 기록합니다.
  2. 깨끗한 환경에서 프로젝트를 빌드합니다.
  3. 생성된 파일의 암호화 해시를 저장합니다.
  4. 두 번째 깨끗한 환경에서 빌드를 반복합니다.
  5. 출력 결과를 비교하고 설명되지 않는 차이를 조사합니다.

예를 들어 Windows에서는 다음 명령으로 SHA-256 해시를 계산할 수 있습니다.

certutil -hashfile dist\bookmarklet.js SHA256

macOS 또는 Linux에서는 다음과 같은 검토 명령을 사용할 수 있습니다.

shasum -a 256 dist/bookmarklet.js

해시는 파일의 동일성을 확인할 뿐 안전성을 보장하지는 않습니다. 신뢰할 수 있고 검토된 소스에서 생성된 출력과 비교할 때만 유용합니다.

문서에 설명된 로드 방법 이해하기

README는 컴파일된 스크립트를 실행하는 세 가지 방법을 설명합니다. 북마클릿, Tampermonkey 사용자 스크립트, 직접 콘솔 주입입니다. 세 방법 모두 활성 페이지와 해당 JavaScript 컨텍스트의 코드에 접근할 수 있는 권한을 부여합니다.

북마클릿

문서에 설명된 북마클릿 방법은 dist/bookmarklet.js에서 생성된 한 줄을 브라우저 북마크에 복사하는 방식입니다. 해당 북마크를 클릭하면 현재 페이지에서 스크립트가 실행됩니다. 편리하지만 북마클릿은 해당 페이지에서 JavaScript가 접근할 수 있는 데이터를 읽거나 수정할 수 있습니다.

Tampermonkey 사용자 스크립트

README는 생성된 코드를 https://*.blooket.com/*과 일치하도록 설정된 사용자 스크립트로 감싸는 방법을 제안합니다. 자동으로 로드되는 사용자 스크립트는 일치하는 페이지에 지속적으로 접근할 수 있으므로, 일치 패턴과 업데이트 소스 모두 중요한 보안 경계가 됩니다.

문서에 제시된 메타데이터는 버전 2.0.0을 명시하며 @grant none을 사용합니다. 이 설정이 스크립트를 무해하게 만드는 것은 아닙니다. 권한이 있는 사용자 스크립트 API 없이 페이지 컨텍스트에서 코드가 작동한다는 의미입니다.

브라우저 콘솔

콘솔 방법은 javascript: 접두사를 제거하고 개발자 도구를 통해 나머지 코드를 실행합니다. 콘솔에 알 수 없는 코드를 붙여 넣는 것은 열린 페이지에 접근할 수 있는 상태로 즉시 실행되므로 특히 위험합니다.

실제 계정이나 진행 중인 수업 세션에서 이러한 로드 방법을 테스트하지 마세요. 소스 검토만으로는 계정 제재, 서비스 중단 또는 데이터 노출이 발생하지 않는다고 보장할 수 없습니다.

기본 안전 분석 예시

Blooket에서 스크립트를 실행하는 대신 정적 검사부터 시작하세요. 생성된 파일과 소스 트리에서 브라우저 후킹 및 외부 주소를 검색합니다. 사용할 수 있는 정확한 명령은 운영 체제와 설치된 도구에 따라 다릅니다.

grep -R "WebSocket" .
grep -R "fetch" .
grep -R "localStorage" .
grep -R "https://" .

각 검색 결과에 대해 데이터가 어디에서 비롯되고 어떻게 변환되며 어디로 전송되는지 추적하세요. 모든 외부 호스트가 필요한지, 문서에 명시되어 있는지 확인하세요. 인코딩된 URL이나 동적으로 조합된 호스트 이름은 더 깊은 검토가 필요한 발견 사항으로 취급하세요.

README에서 언급한 설치 도메인이 빌드 출력에 포함되어 있는지도 검사할 수 있습니다.

grep -R "devcodee.com" .

일치하는 결과가 없다고 해서 안전성이 입증되는 것은 아닙니다. 문자열이 인코딩되거나 런타임에 구성될 수 있기 때문입니다.

고급 검토 팁

네이티브 API 후크 감사

README는 fetch와 WebSocket의 가로채기를 명시적으로 주장합니다. 원래 함수가 보존되는지, 어떤 메시지를 읽거나 변경하는지, 메뉴가 닫힐 때 후크가 복원되는지 확인하세요. 구현이 부실한 후크는 악의적인 의도가 없어도 페이지 동작을 망가뜨릴 수 있습니다.

상태 수정 경계 검토

코인, 잠금 해제, 보상 또는 가로챈 상태에 관한 주장은 제3자 서비스에서 사용하는 데이터를 변경하려는 시도를 의미합니다. 변경 사항이 단순히 시각적이고 로컬에만 적용되는지, 아니면 코드가 수정된 값을 원격 시스템으로 전송하는지 판단하세요. 승인 없이 운영 서비스에 테스트 트래픽을 전송하지 마세요.

자동 업데이트 검토

FAQ에 따르면 스크립트 URL이 원시 배포 파일을 가리키면 Tampermonkey 사용자가 자동 업데이트를 받을 수 있습니다. 자동 업데이트는 나중의 코드가 최초 검토 버전과 달라질 수 있으므로 공급망 위험을 초래합니다. 분석 중에는 변경 가능한 브랜치를 따르지 말고 특정 커밋을 고정하세요.

릴리스 출처 확인

서명된 태그, 재현 가능한 릴리스 산출물, 공개된 해시, 문서화된 유지 관리자를 확인하세요. README는 GitHub Actions를 계획된 항목으로 표시하고 있으므로, 이미 구축된 자동화 테스트 및 릴리스 파이프라인이 있다고 주장하지 않습니다.

인터페이스 주장과 보안 주장 구분

드래그할 수 있는 어두운 인터페이스, 키보드 단축키, CSS 스타일은 “제재 방지” 동작과 별도로 평가할 수 있습니다. 무작위 타이밍과 간헐적인 실수가 서버 측 탐지를 회피한다는 것을 입증하지는 않습니다. 투명한 방법론과 승인된 테스트로 뒷받침되지 않는 한 탐지 저항 주장은 검증되지 않은 것으로 취급하세요.

README에 나열된 키보드 조작

프로젝트 문서에서는 메뉴 전환에 F11, 자동 응답 전환에 Ctrl+Shift+A, 무제한 코인 전환에 Ctrl+Shift+C를 할당합니다. 또한 헤더를 드래그하여 메뉴를 이동할 수 있다고 설명합니다. 브라우저는 일반적으로 전체 화면 모드에 F11을 예약하므로 이러한 조작이 충돌하는지 검토해야 합니다.

라이선스 및 책임 있는 사용

저장소는 MIT 라이선스에 따라 배포된다고 명시합니다. 오픈 소스 라이선스는 지정된 코드 사용, 수정 및 배포를 허용하지만, 제3자 플랫폼을 방해하거나 해당 플랫폼의 약관을 무시할 권한까지 부여하지는 않습니다.

README 자체에서도 경쟁적 사용을 지양하며 계정 정지 가능성을 인정하고 있습니다. 따라서 책임 있는 연구는 로컬 환경에서 격리된 상태로, 승인을 받아 진행해야 합니다. 보안 문제는 자격 증명이나 기타 민감한 정보를 공개하지 않고 저장소의 이슈 트래커를 통해 신고할 수 있습니다.

결론

AI-Helper-Menu는 브라우저 API를 연결하고 Blooket 게임 동작을 수정하는 JavaScript 북마클릿 및 사용자 스크립트입니다. 종속성이 없는 아키텍처와 브라우저 통합 방식은 JavaScript 관점에서 연구할 수 있지만, 부정행위를 목적으로 하고 검증되지 않은 탐지 회피 주장을 내세우며 제3자 MSI 설치 프로그램을 별도 안내 없이 제공하므로 주의가 필요합니다. 소스 코드는 격리된 환경에서 검토하고, 모든 빌드 단계를 확인하며, 실제 계정은 사용하지 말고, 승인 없이 시스템에 배포하지 마십시오.