Google의 오픈소스 버그 발견 및 수정 도구인 Mantis 시작하기

*이 콘텐츠는 AI 번역 도구를 사용하여 번역되었습니다. 정확성을 기하기 위해 노력하고 있으나, 자동 번역에는 오류나 누락이 포함될 수 있습니다. 정확한 정보는 영문 원본을 참고해 주시기 바랍니다.

AI 모델이 사람의 도움 없이도 취약점을 발견하고 공격할 수 있다는 사실은 분명히 입증되었습니다. 방어자가 AI를 활용해 유리한 위치를 점할 수 있도록, Google은 소프트웨어 취약점의 발견, 분류, 재현, 패치를 자동화하는 Mantis 하네스를 개발했습니다. 

누구나 사용할 수 있는 오픈소스 프레임워크인 Mantis는 머신 속도로 취약점을 찾아 수정하는 Google의 내부 접근 방식 중 하나입니다. 이를 통해 보다 효과적이고 확장 가능한 컨텍스트 인식 저장소 분석이 가능합니다. 

AI 코드 스캔의 허술함으로 인해 할루시네이션 버그가 발생하고 참양성률이 7% 아래로 떨어지는 경우가 많지만, Mantis는 비평가 및 검토 에이전트와 같은 업계 표준 에이전트 기법과 그라운딩을 위한 취약점의 샌드박스 재현을 결합하여 효과적으로 작동하도록 설계되었습니다. 

6월에 자세히 설명드린 바와 같이, Mantis는 저장소의 기록을 검사하여 과거의 보안 수정 사항을 학습하고, 아키텍처 및 위협 모델 문서가 제공되지 않더라도 이를 자동으로 빌드합니다. 

Mantis는 계층적 보안 요약 트리를 구성하여 개별 파일을 디렉터리 및 루트 수준 요약으로 압축합니다. 이 기법은 대규모 저장소에서 중요한 구조적 컨텍스트를 보존하면서 토큰 오버헤드를 85% 이상 줄여 줍니다.

Mantis는 수십 년간 광범위한 코드베이스에서 축적된 사이버 보안 전문 지식을 집약한 도구로, GitHub에서 사용할 수 있습니다. Mantis를 시작하는 방법은 다음과 같습니다.

• 먼저 다음을 사용하여 Mantis 저장소를 로컬로 클론합니다.

• 그런 다음, 선호하는 코딩 에이전트를 열고 'path/to/mantis의 Mantis 프레임워크를 사용하여 path/to/your/code의 코드를 검토하고 싶어. 어떻게 시작하면 되는지 도와줄 수 있어?'라는 프롬프트를 사용합니다. 

Google 내부에서도 이 프롬프트를 사용하여 여러 코드 저장소에서 실제 취약점을 찾아냈습니다. GitHub의 Mantis 저장소에는 샘플 샌드박스 옵션이 포함되어 있습니다. 각자의 워크플로에 맞게 자체 샌드박스를 구현할 수도 있습니다.

Mantis는 취약점 발견, 참양성 필터링, 패치를 쉽게 시작할 수 있는 도구입니다. AI가 발견한 취약점을 파악한 후에는 새로운 mantis-advise 스킬을 사용하여 축적된 지식을 활용하고 코딩 에이전트가 처음부터 안전한 코드를 작성하도록 할 수 있습니다.

AI 기반 취약점 발견을 최대한 활용하고 개발 방식을 현대화하려면 다음 두 가지 필수 관행을 따르는 것이 좋습니다.

1. 도구에 적절한 컨텍스트를 제공합니다. Mantis는 커밋 기록과 코드를 자동으로 분석하여 자체적으로 문서를 빌드할 수 있지만, 사람이 선별한 지식을 활용하면 결과의 품질을 크게 개선할 수 있는 경우가 많습니다. 예를 들어, '사용자가 본인의 프로그램을 다운시키는 버그'처럼 수정에 시간을 낭비할 필요가 없는 버그라면, 스캔 파이프라인이 이러한 유형의 버그를 발견하지 않도록 이러한 정보를 알려주는 것이 매우 중요합니다.

2. 취약점 수용 기준을 갖춘 사이버 샌드박스를 구축합니다. 취약점을 재현할 수 있는 안전한 샌드박스 환경과 명확한 취약점 재현 기준을 마련하면 필요한 정보만 파악하고 수정 사항이 정확한지 확인하는 과정에서 더 나은 결과를 얻을 수 있습니다.

여기에서 Mantis에 대해 자세히 알아보세요.