Search across everything
CWE catalog · Scan history · Rocq proofs · App pages
Find it.Prove it.
Python security analysis · exploit search · formal proofs
Trace
Follow the input.
Exploit
Find the attack.
Prove
Show the proof.
Your code.
Under review.
개인정보처리방침
프루브랩스(이하 "회사")는 「개인정보 보호법」에 따라 이용자의 개인정보를 보호하고 이와 관련한 고충을 신속히 처리할 수 있도록 다음과 같이 개인정보처리방침을 수립·공개합니다.
- 서비스: Prove — 정형 검증 기반 Python 코드 보안 분석 (이하 "서비스")
- 시행일: 2026년 10월 8일
1. 수집하는 개인정보 항목 및 수집 방법
1.1 회원가입 시 (이용자가 직접 입력)
| 구분 | 항목 |
|---|---|
| 필수 | 이메일 주소, 비밀번호 |
| 선택 | 표시 이름(display name) |
비밀번호는 argon2id 해시로만 저장하며 원문은 저장하지 않습니다.
1.2 외부 계정(GitHub·Google)으로 로그인하는 경우
이용자가 GitHub 또는 Google 계정으로 로그인하면, 해당 사업자로부터 이메일 주소와 이메일 인증 여부를 받아 회원 식별에 사용합니다. 외부 계정의 비밀번호는 회사가 받거나 저장하지 않습니다.
1.3 서비스 이용 과정에서 자동 생성·수집
| 구분 | 항목 | 목적 |
|---|---|---|
| 접속 세션 | 세션 토큰의 해시값, 접속 IP, 브라우저 정보(User-Agent), 발급·만료·폐기 시각 | 로그인 유지, 부정 접속 확인 |
| 이용 기록 | 최종 로그인 일시, 분석 실행 일시·소요 시간, AI 기능 월 사용 횟수 | 서비스 제공, 이용량 관리 |
| 조직 정보 | 조직명, 요금제 구분, 구성원 역할 | 권한 관리 |
| 접속 IP | 요청 IP 주소 | 이용량 제한(분당 요청 수) 적용 |
세션 토큰은 해시값만 저장하므로, 데이터베이스가 유출되더라도 그 값으로 로그인할 수 없습니다.
1.4 이용자가 제출하는 소스코드
이용자가 분석을 위해 제출한 소스코드는 원본 파일 형태로 저장하지 않습니다. 분석은 메모리에서 이루어지며, 저장되는 것은 다음과 같습니다.
| 저장 항목 | 설명 |
|---|---|
| 파일 경로, SHA-256 해시, 줄 수 | 동일 파일 여부 판별용 |
| 탐지된 결함 정보 | 취약점 유형(CWE), 심각도, 판정 결과, 해당 줄 번호 |
| 취약 지점의 코드 라인 | 결함이 발견된 위치의 코드 조각(통상 1행) |
| 증명서·반례 | 안전 판정의 근거 또는 공격 입력 예시 |
즉, 원본 파일은 저장하지 않지만 결함 정보의 일부로 취약 지점의 코드 한 줄이 저장됩니다. 소스코드에 이용자가 개인정보를 포함시킨 경우(예: 테스트 데이터의 실명·연락처) 해당 정보가 결함 정보에 포함될 수 있으므로, 소스코드에 개인정보를 포함하지 않도록 주의하시기 바랍니다.
2. 개인정보의 처리 목적
- 회원 식별 및 인증, 서비스 제공
- 분석 결과, 결함 이력, 코드 안전 인증서의 제공·관리
- 부정 이용 방지, 이용량 제한 적용
- 비밀번호 재설정 등 계정 관련 안내 메일 발송
- 고객 문의 대응
- 법령상 의무 이행
수집한 개인정보는 위 목적 외의 용도로 이용하지 않으며, 목적이 변경되는 경우 사전에 동의를 받습니다. 제출된 소스코드를 AI 모델 학습에 사용하지 않습니다.
3. 개인정보의 보유 및 이용 기간
| 대상 | 보유 기간 |
|---|---|
| 회원 정보(이메일, 비밀번호 해시 등) | 회원 탈퇴 또는 계약 종료 시까지 |
| 접속 세션 기록 | 세션 만료(최대 30일) 또는 로그아웃·폐기 시까지 |
| 이용량 제한용 접속 IP | 제한 계산 시간(60초) 경과 후 폐기 |
| 결함 상세 정보 중 코드 조각·증명서 본문 | 90일 |
| 미조치 상태로 남아 있는 결함의 코드 조각 | 조치 완료 시까지 (아래 설명) |
| 스캔 통계(건수·일시), 결함 상태·담당자 이력 | 계약 종료 시까지 |
미조치 결함의 예외: 아직 해결되지 않은 취약점은 개발자가 조치할 때 그 내용을 확인해야 하므로, 해결로 표시될 때까지 코드 조각을 보관합니다. 해결 후에는 위 90일 기준이 적용됩니다.
계약 종료 시: 이용자 또는 고객사의 요청이 있는 경우 90일을 기다리지 않고 해당 조직의 데이터 전체를 즉시 파기합니다.
관계 법령에 따라 보존이 필요한 정보는 해당 법령이 정한 기간 동안 보관합니다.
4. 개인정보의 제3자 제공
회사는 이용자의 개인정보를 제3자에게 제공하지 않습니다. 다만 다음의 경우는 예외로 합니다.
- 이용자가 사전에 동의한 경우
- 법령에 근거하거나 수사기관의 적법한 요구가 있는 경우
5. 개인정보 처리의 위탁 및 국외 이전
5.1 처리 위탁
회사는 서비스 운영을 위해 다음과 같이 개인정보 처리 업무를 위탁하고 있습니다.
| 수탁자 | 위탁 업무 |
|---|---|
| Vercel Inc. | 서비스 호스팅 및 운영 |
| Neon Inc. | 회원·분석 데이터베이스 운영 |
| Resend, Inc. | 비밀번호 재설정 등 계정 안내 메일 발송 |
5.2 국외 이전
위 수탁자는 국외에 소재하며, 서비스 제공을 위해 다음과 같이 개인정보가 국외로 이전됩니다.
| 이전받는 자 | 이전 국가 | 이전 항목 | 이전 목적 | 보유·이용 기간 |
|---|---|---|---|---|
| Vercel Inc. | 미국 | 접속 IP, 브라우저 정보, 제출 코드(분석 처리 중), 세션 정보 | 서비스 호스팅 | 처리 완료 또는 위탁 계약 종료 시까지 |
| Neon Inc. | 미국 | 제1항에 따라 저장되는 회원 정보, 세션 정보, 결함 정보 | 데이터베이스 운영 | 제3조의 보유 기간과 같음 |
| Resend, Inc. | 미국 | 이메일 주소, 메일 본문(재설정 링크) | 메일 발송 | 발송 완료 후 수탁자 정책에 따름 |
- 이전 일시 및 방법: 서비스 이용 시점에 정보통신망을 통해 암호화(HTTPS)하여 전송
- 거부 방법 및 효과: 국외 이전을 원하지 않는 경우 회원 탈퇴 또는 이용 중단으로
거부할 수 있습니다. 다만 위 업무는 서비스 제공에 필수적이므로, 거부하는 경우 서비스를 이용할 수 없습니다.
5.3 AI 자동 수정 기능 사용 시 소스코드 전송
이용자가 AI 자동 수정(Autofix) 기능을 사용하는 경우, 수정을 요청한 파일의 소스코드가 회사가 직접 운영하는 AI 추론 서버(대한민국)로 전송됩니다.
- 외부 AI API(예: 해외 AI 사업자)는 사용하지 않습니다.
- 전송된 코드는 추론 처리 후 보관하지 않습니다.
- AI 자동 수정 기능은 선택 사항입니다. 사용하지 않으면 소스코드는 이 서버로
전송되지 않습니다.
6. 개인정보의 파기
보유 기간이 경과하거나 처리 목적이 달성된 개인정보는 지체 없이 파기합니다.
- 파기 방법: 전자적 파일은 복구할 수 없는 방법으로 삭제합니다.
- 파기 절차: 보관 기간이 지난 결함 상세 정보의 코드 조각과 증명서 본문을
삭제하고, 삭제 시각과 건수를 별도 기록으로 남깁니다. 요청 시 삭제 기록을 확인해 드립니다.
7. 정보주체의 권리와 행사 방법
이용자는 언제든지 다음 권리를 행사할 수 있습니다.
- 개인정보 열람 요구
- 오류 등이 있을 경우 정정 요구
- 삭제 요구
- 처리 정지 요구
행사 방법: woohyunchoi@provelabs.co.kr 로 요청하시면 지체 없이 조치합니다. 법정대리인이나 위임을 받은 자를 통해서도 요청할 수 있습니다.
8. 개인정보의 안전성 확보 조치
| 조치 | 내용 |
|---|---|
| 비밀번호 보호 | argon2id 해시 저장, 원문 미저장 |
| 세션 보호 | 토큰 해시만 저장, HttpOnly·SameSite 쿠키, HTTPS 전송 |
| 접근 통제 | 조직 단위 데이터 분리, API 토큰 권한 범위 제한 |
| 전송 구간 암호화 | HTTPS(HSTS 적용) |
| 접속 기록 관리 | 결함 상태 변경 이력을 추가 전용(append-only) 기록으로 보관 |
| 최소 수집 | 소스코드 원본 미저장, 결함 정보만 보관 |
9. 쿠키 등 자동 수집 장치
서비스는 로그인 유지를 위한 세션 쿠키 1개만 사용합니다.
- 쿠키명:
prove_session - 목적: 로그인 상태 유지
- 보관 기간: 최대 30일 또는 로그아웃 시까지
- 거부 방법: 브라우저 설정에서 거부할 수 있으나, 이 경우 로그인이 불가능합니다.
화면 설정(테마 등)과 비로그인 상태의 스캔 기록은 이용자 브라우저의 로컬 저장소 (localStorage)에만 저장되며 회사 서버로 전송되지 않습니다.
광고·분석·추적 목적의 쿠키나 외부 분석 도구를 사용하지 않습니다.
10. 개인정보 보호책임자
| 구분 | 내용 |
|---|---|
| 성명 | 최우현 |
| 직책 | 대표 |
| 연락처 | woohyunchoi@provelabs.co.kr |
개인정보 보호 관련 문의, 불만 처리, 피해 구제에 관한 사항을 위 연락처로 문의하실 수 있습니다.
11. 권익침해 구제 방법
개인정보 침해로 인한 구제를 받기 위하여 다음 기관에 분쟁 해결이나 상담을 신청할 수 있습니다.
- 개인정보분쟁조정위원회 (1833-6972 / www.kopico.go.kr)
- 개인정보침해신고센터 (118 / privacy.kisa.or.kr)
- 대검찰청 사이버수사과 (1301 / www.spo.go.kr)
- 경찰청 사이버수사국 (182 / ecrm.police.go.kr)
12. 개인정보처리방침의 변경
이 방침이 변경되는 경우 변경 사항을 시행 최소 7일 전부터 서비스 화면을 통해 안내합니다. 다만 이용자 권리에 중대한 영향을 미치는 변경은 최소 30일 전에 안내합니다.
- 공고일자: 2026-10-08
- 시행일자: 2026-10-08
프루브랩스 · 대표 최우현 · 사업자등록번호 827-10-03003 전남광주통합특별시 북구 첨단과기로 123 광주과학기술원 B동 320호
Page not found
This page doesn't exist, or was moved. Check your URL or use the navigation.
Activity Log
Recent actions you've taken in this browser — handy for retracing your own steps.
Welcome back
Your security analysis workspace.
Analyze Python for 98 CWE classes with machine-checked Rocq proofs. Pick a workflow to begin.
Scan trends, top CWEs, and verdict breakdown.
Security Scanner
Paste Python. Get verdicts.
Ready to scan
Paste code or upload a file, then click Analyze — or press ⌘↵.
Benchmarks
Head-to-head performance against industry-standard SAST tools on OWASP, 222-file, and cross-validation benchmarks.
Competitive Comparison
F1 across three Python benchmarks (paper v41, Table 1)
| Tool | OWASP | 222-file | Ext-174 |
|---|
CWE Catalog
98 supported CWEs sourced from CVE databases, OWASP, and MITRE. Each entry includes detection patterns, taint specs, and Rocq proof links.
Select a CWE
Pick an entry from the list to view full detection pattern, sinks, sanitizers, and code examples.
Rocq Proof Library
Machine-checked safety proofs backing each defense kind. 125 Qed proofs · 0 admitted.
Select a proof
Browse machine-checked Rocq proofs backing each defense kind.
Talk to us about a pilot
Prove is adopted through a conversation. Tell us what you are shipping and we will set up an evaluation on your codebase.
Free
Sign up with your email. No card, nothing to arrange.
- Single-file analysis, full verdict set
- Code safety certificates — not paywalled
- 98 CWE classes
- 60 scans/min
- AI autofix on a single file
- Audit report export
Pro
For teams pointing this at a real repository.
- Everything in Free
- Whole-repository scans over the project API
- New-vs-closed against your previous scan
- Scoped API tokens for CI
- Defects that persist across scans — status, assignee, comments, append-only history (API only; no web UI yet)
- Project-wide AI autofix
- On-premise install and support terms, by contract
Scan History
Previous analyses saved to your workspace. Click a row to view findings.
What's New
Product updates, new features, and improvements.
v1.25OWASP Top 10:20252026-10-23
- OWASP Top 10:2025 categories — findings and the CWE catalog now use the 2025 edition. Injection moves from A03 to A05 and cryptographic failures from A02 to A04; hardcoded credentials and certificate validation are now A07, plaintext storage A06, and error messages that leak details A10.
- Source of the mapping — 65 of the 98 CWEs come straight from the official 2025 CWE lists. The other 33 are not in those lists (mostly sub-variants such as individual path-traversal forms) and keep their 2021 category under its 2025 number.
- Catalog v2.3 — adds the 2025 category to every entry. Six entries that had no category before (XXE, SSRF, XPath injection and others) now have one.
- Catalog filters — the OWASP filter and Favorites, which had stopped appearing, are back. The filter lists the 2025 category names.
- Verdicts unchanged — detection logic is the same as v1.24; only the category labels changed. Certificates issued from this version show engine build 2026-10-23.
v1.24Analysis accuracy2026-10-14
- SQL injection no longer certified by unrelated code — a query built by string concatenation could be certified safe when the same function had an unrelated regex check (
re.compile,fullmatch) or a?elsewhere in the query string. A defense now counts only when it is applied to the tainted value. - Shell invoked through argv — code that hands a command string to a shell program, such as
subprocess.run(["sh", "-c", user_input]), is now reported as command injection, the same asshell=True. - Fewer false positives — string
.find()is no longer NoSQL injection, XPath queries are no longer SQL injection, redirects are no longer XSS, files the code names itself are no longer untrusted input, and storing a hash is no longer plaintext storage. Warnings on the safe files of OWASP Benchmark dropped from 522 to 150, with no previously detected vulnerability missed. - Catalog v2.2 — removed sanitizer entries that are not defenses, and sink names carried over by mistake from other languages or individual projects.
- AI auto-fix — the model now receives the catalog's defense rules, so first attempts pass verification more often; patches that use removed APIs (such as
flask.escape) are rejected; output length is capped so thinking models cannot stall for minutes. - Engine build on certificates — certificates issued from this version show engine build 2026-10-14.
v1.23Code safety certificate2026-10-08
- Code safety certificate — a signed certificate for an analyzed file, listing the file name and SHA-256, the CWEs checked, the verdicts, the Rocq theorem names and the engine version. View it in the browser or save it as PDF.
- Not issued while a vulnerability remains — the server re-analyzes the code on request and refuses if any verdict is vulnerable.
- Tamper check — the signature on the certificate confirms its contents are unchanged; a single altered character fails verification.
- Password reset — receive a reset link by email. The link works once, and resetting signs out every other device.
- Corrections — removed claims of security certifications we do not hold and figures without a source; rewrote where analysis runs and what is stored to match actual behaviour.
- Privacy Policy and Terms of Service — published the official Korean documents.
v1.22Accounts and results2026-07-28
- Sign-up policy on public instances — connecting a domain no longer opens sign-up to everyone; the operator sets the policy.
- GitHub and Google sign-in — implemented; enabled when configured.
- Usage limits on AI auto-fix only — analysis itself is not metered.
- Tidier results — a single finding no longer comes with a screen of empty metrics and filters.
- Contact form — a contact form that does not depend on a mail client.
v1.21Removed dead screens2026-07-27
- Removed three menu items that led nowhere.
- Removed the status and integrations pages, which had no real data behind them.
- Restored the activity log, which does have real records.
v1.20Speed and pricing copy2026-07-27
- Removed a slow analysis stage — measurement showed it found nothing extra and slowed analysis down sharply.
- Pricing corrections — removed features we do not provide from the Pro description. Pro is arranged by conversation.
v1.0 – v1.19Earlier releases2026-04-20 – 2026-07-26
- Started with an analysis engine covering 98 CWE classes and 125 Rocq proofs, then added repository scans, accounts and workspaces, AI auto-fix and the results screens.
- Detailed notes moved to our internal development records; contact us if you need them.
Settings
Manage your profile, API access, and notification preferences.
Profile
Your account information.
API tokens
The /api/v1 endpoints — projects, whole-repository scans, persistent defects — authenticate with an X-Api-Key token scoped to scan, triage or admin. They are available to organisations on the Pro plan.
There is no self-service token management yet: we issue tokens for you when your organisation is set up. Email woohyunchoi@provelabs.co.kr to have one issued or revoked.
Email notifications
Choose which events trigger an email.
Analyzer defaults
Configure how scans run by default.
CWE Rules
Toggle which CWE classes are enforced on your scans. Disabled rules won't produce findings.
Theme
Choose how Prove looks in your browser.
Editor preferences
Backup & Restore
Export all your local data (history, settings, team, favorites, notifications) as a single JSON file.
Useful for moving to a new device, backup before updates, or sharing team settings.
Delete all scan history
Permanently remove all stored scans. This cannot be undone.
Delete account
Permanently remove your account and all data.
API Docs
REST API for integrating Prove into CI/CD, editors, and custom tooling. All endpoints return JSON.
/api/analyze — submit code for analysis
POST/api/upload — multipart file upload
GET/api/catalog — list all 98 CWEs
GET/api/catalog/{cwe_id} — full CWE details
GET/api/benchmarks — benchmark stats
GET/api/proofs — Rocq proof library
GET/api/proofs/{name} — proof source
GET/api/health — health check
Repository-scale endpoints live under /api/v1 — projects, whole-repo scans, and persistent defects. They need an X-Api-Key token issued to a Pro org; full schema at /docs.