Aikido는 코드, 클라우드와 런타임 보호를 중앙 시스템에 결합한 애플리케이션 보안 플랫폼입니다.
AI 코드 리뷰, 소스 분석과 AI 침투 테스트는 개발의 서로 다른 단계를 다루며, 접근 및 과금 조건도 각각 다릅니다.
AutoFix는 IDE 인라인 diff, CI/PR 제안, 수동 또는 매일 생성되는 풀 리퀘스트로 의존성, 앱 코드, 코드형 인프라, 컨테이너와 침투 테스트 발견 사항에 검토 가능한 수정을 제안합니다.
의존성 AutoFix는 보통 패치나 마이너 업그레이드인 최소 수정 버전을 우선합니다. 메이저 업그레이드는 더 낮은 버전으로는 문제가 해결되지 않는다는 뜻입니다.
Cloud Discovery는 여러 계정의 리소스, 위험과 잘못된 설정을 찾습니다. Cloud Inventory는 자산을 매핑하고 사용자 지정 CSPM 규칙은 위험 설정을 표시합니다.
Zen Firewall은 앱 코드에 직접 삽입되어 앱과 같은 서버에서 실행됩니다. 명시된 제어 범위는 위험한 사용자 입력, 인젝션 및 경로 순회 공격, 경로·사용자별 속도 제한, 봇이나 알려진 공격자 등의 악성 트래픽, 국가별 접근과 아웃바운드 트래픽 모니터링입니다.
Aikido는 한 사용자의 주문을 다른 사용자에게 노출하는 PR을 Deep Review의 예로 듭니다. 앱은 여전히 실행되고 SAST는 알려진 위험 패턴을 보지 못할 수 있습니다.
기존 앱이 고객들을 서로 격리하는지 팀이 확신하지 못할 때 AI Code Analysis는 기존 소스를 검사합니다.
Attack Surface Monitoring은 오래된 로그인 페이지나 프록시 변경으로 노출된 관리자 API처럼 접근 가능한 자산을 발견합니다. Quick Scan은 이미 알려진 도메인의 노출을 지속해서 검사합니다.
Aikido는 GitHub, GitLab, Bitbucket, Azure DevOps와 온프레미스 소스 관리 환경을 통해 연결됩니다. IDE 경로에는 Visual Studio, VS Code, JetBrains IDEs, Cursor, Windsurf, Kiro, Google Antigravity, Eclipse가 있습니다.
로컬 스캐너 문서에는 Azure DevOps Server, Bitbucket Pipelines, Bamboo, CircleCI, GitHub Actions, GitLab Self-Managed, Jenkins, TeamCity의 CI/CD 설정과 Linux, Mac, Windows 설정 가이드가 있습니다.
MCP 설정 경로는 Claude Code, Cursor, Codex CLI, Gemini CLI, JetBrains AI, GitHub Copilot, Mistral Vibe, OpenCode, Devin용으로 공개되어 있습니다. API Authorization and Rate Limiting 문서도 제공합니다.
SAST는 파일 간 오염 추적과 파일 내부 오염 추적을 구분합니다. 파일 간 분석에는 JavaScript, TypeScript, PHP, .NET/C#, Java, Rust, Go, Ruby, Python, Scala, C/C++, Visual Basic이 명시됩니다. 파일 내부 분석에는 Swift, Android, Kotlin, Dart, Elixir, Apex, Clojure가 명시됩니다.
Zen 지원 런타임은 Node.js, Python, PHP, Java, .NET Core and Framework, Ruby, Golang이며 Golang은 beta로 표시됩니다.
2026년 10월 28일 확인한 USD 가격은 유료 플랜마다 사용자 10명을 기준으로 하며, 연간 가격은 1년 총액입니다. 원천징수세, 수입세, 판매세, VAT 및 기타 지방세는 제외됩니다.
| 플랜 | 월 결제 | 연 결제 | 포함 사용자 |
|---|---|---|---|
| Developer | $0 | $0 | 2 |
| Basic | $350/월 | $3,780/년 | 10 |
| Pro | $700/월 | $7,560/년 | 10 |
| Advanced | $1,050/월 | $11,340/년 | 10 |
Developer는 신용카드가 필요 없고 3일마다 재스캔한다고 명시합니다. 플랜 카드 한도에는 공정 사용 조건이 적용됩니다. 대시는 카드에 VM 확장 그룹 허용량이 없다는 뜻입니다.
| 플랜 | 저장소 / 이미지 | 도메인 / 클라우드 계정 | VM 확장 그룹 | 월 AI AutoFix 횟수 | 월 보호 요청 |
|---|---|---|---|---|---|
| Developer | 10 / 2 | 1 / 1 | — | 10 | 250k |
| Basic | 100 / 50 | 3 / 3 | — | 무제한 | 10M |
| Pro | 200 / 100 | 10 / 10 | 30 | 무제한 | 20M |
| Advanced | 500 / 200 | 20 / 20 | 100 | 무제한 | 50M |
Aikido Max는 견적 방식의 추가 상품으로, Deep Review를 포함한 모든 AI 기능에 월 무제한 크레딧을 제공하며 공정 사용 조건이 적용됩니다.
Aikido 크레딧 1개는 $1 USD입니다. 자격을 갖춘 활성 Pro 및 Advanced 워크스페이스는 매 달력 월 각각 100개, 200개의 무료 크레딧을 받을 수 있습니다. Developer와 Basic에는 이 충전이 없습니다. 구매·무료 크레딧은 만료되지 않는 지갑 잔액을 공유합니다. 지갑을 쓰지 않은 달에는 무료 충전이 없을 수 있지만 기존 잔액은 유지됩니다.
크레딧은 거래당 최소 500개 구매합니다. 카드 또는 청구서로 결제할 수 있으나 청구서 결제는 유료 고객에게만 제공되며, 결제 성공 후 크레딧이 추가됩니다.
워크스페이스 관리자는 기능별 지출 한도를 설정하며 재설정 주기는 기능에 따라 다릅니다. 한도에 도달하면 Aikido는 한도가 재설정될 때까지 크레딧이 과금되는 작업을 건너뜁니다.
Deep Review는 풀 리퀘스트당 크레딧 1개이며 같은 PR의 추가 리뷰에는 별도 요금이 없습니다. 크레딧 소진 시 리뷰를 건너뜁니다. 월 한도에 도달하면 다음 달력 월까지 유료 리뷰를 건너뜁니다.
Standard Pentest는 4000크레딧으로 앱 하나와 주요 API를 정해진 시간 안에 평가합니다. Rightsized Pentests는 연결된 저장소로 공격 벡터를 매핑하고 보안 관련 테스트 범위를 정하며 시작 전에 총액을 확정합니다. Rightsized는 저장소, 엔드포인트와 역할에 따라 범위를 정하고 $50–$30,000+를 표시합니다.
Continuous Pentesting은 실행한 에이전트당 10크레딧을 부과합니다. 연환산 추정은 최근 30일 Git 활동을 사용합니다. Aikido는 설정된 배포 또는 예약 실행을 확인하되 보안 관련 변경에만 에이전트를 실행하므로, 실제 요금은 추정치만이 아니라 실행 수에 달려 있습니다. 초기 테스트 발견 사항은 버그 수정 우회 여부를 포함해 최대 6개월 동안 재검사할 수 있습니다.
첫 전체 평가는 크레딧 선구매 없이 미결제 크레딧으로 시작할 수 있습니다. High와 Critical 발견 사항은 결제 전까지 흐리게 표시됩니다. 큰 평가는 최소 한 개를 미리 보여줍니다. 미결제 잔액을 납부하거나 면제받으면 보고서와 재검사를 이용할 수 있습니다. 다시 이 혜택을 쓰기 전에는 모든 미납 잔액을 납부해야 합니다.
자격 조건은 미납 크레딧 없음, 최대 8000크레딧의 테스트, 활성 비데모 저장소 최소 1개, 유효한 테스트 계정 최소 2개, 사용자 또는 워크스페이스 관리자의 업무 이메일입니다. 개인 이메일은 자격이 없습니다.
면제에는 다음 조건이 모두 필요합니다. 워크스페이스의 첫 전체 평가, Run now, pay later 사용, 권장 범위 이상인 Rightsized Pentest, 철저한 테스트가 가능한 올바른 설정, High나 Critical 발견 없이 완료입니다. 무결제 조건은 권장 미만 범위, 두 번째 실행과 재검사, Continuous Pentesting, 좁은 기능·엔드포인트 테스트, 사용자 누락이나 앱 맥락 부족 같은 불완전한 설정을 제외합니다. Medium 또는 Low 발견에 Exploit Further를 쓸 수 있었지만 쓰지 않았고 합리적으로 High나 Critical 심각도로 악화될 수 있었다면 면제를 거절할 수도 있습니다. 이 조건은 권한 상승에 국한되지 않는 심각도에 관한 것입니다.
공개 MSA는 현재 계약과 같은 기간으로 자동 갱신하며, 기간 말 해지에는 달력 기준 최소 30일 전 서면 통지를 요구합니다. Aikido의 시정되지 않은 중대한 위반 외의 사유로 해지하면 고객은 남은 기간 요금을 부담합니다. 해당 위반으로 해지하면 선납한 미사용 요금은 비례 환불됩니다.
무료 플랜 카드는 “평생 무료”라 하지만 MSA는 무료 버전에 최소 또는 보장 기간을 주지 않으며, Aikido가 언제든 어떤 이유로든 종료할 수 있게 합니다.
Snyk는 코드, 오픈소스 의존성, 컨테이너, 코드형 인프라, API/web DAST와 시크릿 제품을 명시합니다. 개발자 스캐너 범위에 따른 비교입니다.
SonarQube는 코드 검증, 품질과 보안을 다룹니다. SonarQube for IDE는 실시간 분석과 코딩 지침을 제공합니다. SonarQube Cloud는 완전 관리형 SaaS이고 SonarQube Server는 고객의 경계 안에서 자체 관리합니다.
대상은 명시적으로 지정되어야 하며 고객 소유이거나 적법한 테스트 권한이 있어야 합니다. 제3자 대상은 해당 당사자의 명시적 허가가 필요합니다. 양측이 서면으로 명시적 합의하지 않는 한, 앱 테스트는 실제 사용자 데이터가 없고 실제 사업 운영을 위협하지 않는 비운영·스테이징·테스트 환경이 기본입니다. Network Pentests에는 범위에서 명시적으로 선택한 운영 대상을 포함할 수 있으며, 높아진 서비스 영향 위험을 인정해야 합니다.
Credential-Based Testing은 선택 사항으로 범위 설정에서 명시적 선택 또는 서면 승인이 필요합니다. 기본·취약 자격 증명과 고객·도메인·사용자에 관련된 것으로 보이는 유출 자격 증명을 다룰 수 있습니다. 승인은 대상, 포털, 자격 증명 범주별로 제한·철회할 수 있으며 상업적으로 합리적인 기간 내 중단을 약속합니다. 고객은 관련 권리와 개인정보 처리 근거를 갖춰야 합니다. 부속서는 계정 잠금, 경고, 암호 재설정 등 영향 가능성도 인정합니다.
AutoFix GitHub App은 Code, PRs, Workflows 읽기·쓰기 권한과 Checks, Actions 읽기 권한을 요청합니다. 이 쓰기 가능한 수정 경로는 기본 스캔 연동의 최소 읽기 전용 범위와 다릅니다.
Aikido는 저장소 분석에 새 컨테이너를 사용하고 종료 시 분석 데이터를 지운다고 합니다. 문서상 예외로 AutoFix는 영향받은 파일의 원본·수정 diff를 보존하고, AutoTriaged SAST 발견의 호출 트리는 최대 2주 보존합니다.
저장소 데이터 문서는 EU, US, US Gov, ME, AU 앱 인스턴스와 해당 지역의 저장을 설명합니다.
Aikido는 AI 작업이 추론 전용이며 데이터를 보존·재사용하지 않고 메모리에서 일시 처리한다고 설명합니다. 소량의 익명화 코드 조각이 정확한 분류·수정을 지원할 수 있다고도 합니다. SAST, IaC, 컨테이너 AutoFix는 필요한 최소 조각만 암호화 채널로 AWS Bedrock에 보내며 Aikido와 AWS Bedrock 모두 이를 훈련·미세조정에 쓰지 않는다고 합니다. 이 공급업체 진술은 명시된 처리 범위에 관한 것입니다.
개인정보 정책은 개인정보를 유럽과 미국에 두고, 고객 관계 중과 종료 후 운영·이력·보관을 위해 서비스 데이터를 유지합니다. Aikido가 관리하는 개인정보는 검증된 요청 후 삭제될 수 있습니다.
침투 테스트 활동과 발견 사항은 기록됩니다. 테스트 데이터는 결과 제공과 서비스 개선에 쓰일 수 있으며, 자격 증명 테스트의 자격 증명 및 기타 개인정보는 DPA에 따라 결과 제공에만 제한됩니다. 원시 테스트 데이터는 후속 질문 답변이나 청구 방어를 위해 제한 기간 보존 후 삭제합니다. 인용된 조항에 고정 기간은 없습니다. Aikido는 최종 보고서 보관본을 유지할 수 있습니다.
MSA는 콘텐츠, 저장소, 코드베이스, 컨테이너와 클라우드 인프라의 고객 소유권을 유지하면서 의무 이행, 계약상 권리 집행, 법적 요구 또는 승인에 필요한 처리를 허용합니다. 해지 후 30일 동안 원본 형식 콘텐츠와 사용 분석을 회수할 수 있고 200일 내 콘텐츠를 삭제하도록 합니다. 그 기간의 보존은 백업 가용성에 한정됩니다.
아닙니다. Aikido는 저장소 접근 제공으로 앱 로직, 역할과 데이터 흐름의 맥락이 크게 개선되어 더 깊은 범위와 정확한 발견으로 이어진다고 합니다.
초기 평가를 완료하고 보안 관련 변경을 식별할 저장소를 연결해야 합니다. 설정되면 Aikido는 앱 변경에 맞춰 표적 침투 테스트를 실행할 수 있습니다.
API 토큰 설정은 서버 간 통신에 OAuth Client Credentials를 사용합니다. 워크스페이스 관리자가 먼저 접근 토큰을 얻을 클라이언트 자격 증명을 만듭니다.
MCP 권한은 워크스페이스 관리자가 관리하며 MCP 도구 전반의 모든 사용자에게 적용됩니다. 문제 목록은 사용자가 이미 접근 가능한 문제로 제한되고, 발견 사항 무시는 기존 역할 권한을 따릅니다.
