판도를 바꾸는 기술: 인프라 코드 보호를 위한 에이전트 AI 사용

*이 콘텐츠는 AI 번역 도구를 사용하여 번역되었습니다. 정확성을 기하기 위해 노력하고 있으나, 자동 번역에는 오류나 누락이 포함될 수 있습니다. 정확한 정보는 영문 원본을 참고해 주시기 바랍니다.

AI는 전례 없는 속도로 소프트웨어 개발을 가속화하고 있습니다. 하지만 코드 생성 규모가 커지면서 코드 보안 문제도 증가하고 있으며, 특히 AI를 기반으로 한 새로운 취약점 악용 방식이 등장하고 있습니다. Google의 AI 및 인프라팀은 이러한 과제에 대응하기 위해 보안 접근방식을 혁신하고 있습니다. 이 글에서는 Google에서 새롭게 개발한 AI 네이티브 에이전트 방식을 소개합니다. 이 방식은 정밀하고 광범위한 취약점 스캔 및 패치를 Google의 소프트웨어 개발 수명 주기에 체계적으로 통합합니다. Google은 Google 인프라에 배포되는 수억 줄의 코드에서 모든 코드 변경사항을 상시 스캔하여 매달 수백 건의 취약점이 코드베이스나 프로덕션 환경에 도달하기 전에 차단하는 방식으로 Google의 글로벌 네트워크와 AI 인프라, 사용자를 보호하고 있습니다. 

솔루션 아키텍처 및 구현

전통적으로 기술 업계는 대규모 일회성 보안 스캔에 의존하는 경우가 많았습니다. 하지만 이러한 스캔은 속도가 느리고 충분한 컨텍스트를 제공하지 못해 취약점이 너무 늦게 발견되는 경우가 많습니다. Google은 이와 달리 제출 전 스캔에 중점을 두고, AI 에이전트를 사용하여 스택의 모든 레이어에서 발생하는 각 코드 체크인을 실시간으로 평가합니다. 개발자가 이미 사용 중인 도구에 제출 전 스캔을 통합하면 보안 검사도 규칙 검사, 가독성 검토 같은 여타 소프트웨어 개발 도구처럼 지속적이고 일상적인 프로세스의 일부가 됩니다. 또한 AI의 관점에서도 대규모로 일회성 스캔을 수행하는 것보다 각각의 코드 변경사항을 개별적으로 스캔하는 편이 훨씬 적은 컨텍스트를 필요로 하므로 스캔 효과를 크게 높일 수 있습니다. 

국소적 위협 모델의 중요성

Google은 이 이니셔티브를 위해 오픈소스 멀티 에이전트 검토 하네스인 Mantis를 발전시켜 강력한 국소적 위협 모델 집단과 연결하는 방식으로 보안 에이전트의 정밀도를 높였습니다. 이 위협 모델은 정적이고 분리된 문서에 의존하는 대신 실제 코드베이스 메타데이터를 활용합니다. 스캔 에이전트는 패키지와 라이브러리 전반의 종속 항목 호출 그래프를 활용해 위협 모델 컨텍스트를 확장하고 미세 조정함으로써 정확도를 한층 더 끌어올립니다. 위협 모델을 상시 취약점 스캔 프로세스에 통합하여 개발자가 위협 요소와 종속 항목을 꾸준히 업데이트하도록 유도함에 따라 모델이 최신 상태로 유지됩니다. 국소적이면서 정밀한 위협 모델 데이터를 활용하면 정확도를 크게 높일 수 있으며, 일부 사례에서는 거짓양성률을 3%까지 낮출 수 있었습니다.

전문 분류 에이전트로 개발 속도 향상

코드 체크인의 일환으로 수행되는 취약점 스캔은 엔지니어링 생산성을 저해하지 않도록 코드를 작성하는 개발자나 에이전트에게 신속하게 결과를 제공할 수 있어야 합니다. 응답 지연 시간을 단축하기 위해 Google은 2단계 검증 프로세스를 실행합니다. 먼저 신속한 경량형 스캔을 실행한 후 전문 분류 에이전트를 통해 그 결과를 검증합니다. 이 에이전트는 추상 구문 트리 파싱, 호출 그래프 순회, 사전 색인된 도메인 안전 규칙을 활용해 실제 코드 구조를 프로그래매틱 방식으로 검사하여 공격자가 취약한 경로에 실제로 도달할 수 있는지 입증합니다. 이 에이전트의 정밀도는 92%에 달하며 작업 완료 시간은 1분 미만입니다. 그런 다음 야간 통합 테스트에 통합된 제출 후 스캔이 두 번째 방어 계층 역할을 하면서 사용량이 적은 시간대의 컴퓨팅 리소스를 활용해 여러 변경 과정에서 새로 도입되었을 수 있는 취약점을 검사합니다. 

전체 과정을 완성하는 버그 수정 에이전트

취약점을 찾는 것은 문제 해결의 절반에 불과합니다. Google 솔루션의 마지막 구성요소는 자동화된 버그 수정 에이전트입니다. 이 에이전트는 스캔 결과와 생성된 증명(취약점이 어떻게 실행되는지를 보여주는 코드 스니펫)을 활용하여 Google의 내부 코딩 표준에 부합하는 정밀한 수정사항을 자율적으로 생성합니다. 에이전트는 기존 변경 요청 검토 과정의 일환으로 수정사항을 제출하여 사람의 검토를 받게 하며, 이를 통해 취약점 탐지부터 해결까지 걸리는 시간을 한층 더 단축합니다. 

교훈 및 권장사항 

소프트웨어 개발 수명 주기에 상시 스캔을 바로 통합한 것은 Google에 혁신적인 변화를 가져왔습니다. 에이전트의 제안은 널리 채택되며 수많은 취약점이 코드베이스에 유입되는 것을 방지하고 있습니다. 보안을 강화하고자 하는 조직이라면 다음 원칙에 따라 유사한 AI 네이티브 접근방식을 도입할 수 있습니다. 

1. 시스템 분리: 편향을 방지하기 위해 개발, 스캔, 분류 에이전트별로 하네스, 규칙, 컨텍스트를 서로 분리합니다. 경량 AI 스캔과 결정론적인 구조 검증을 함께 사용하면 지연 시간을 줄이고 정확도를 높일 수 있습니다. 

2. 현명한 컨텍스트 사용: 기존 위협 모델을 에이전트에 제공합니다. 정밀한 컨텍스트야말로 거짓양성률을 줄이는 핵심입니다. 최신 상태의 위협 모델은 제출 전 스캔의 참양성률을 높여 팀이 기본적으로 높은 수준의 보안 상황을 갖추도록 해줍니다.

3. 우수한 하네스 구축: 기본 모델 선택도 중요하지만 멀티 에이전트 하네스를 사용하면 모델 선택에 따른 편차를 보완하여 상당한 효과를 얻을 수 있습니다. 

4. 수정 자동화: 휴먼인더루프 방식으로 수정사항까지 제안하는 에이전트를 통해 해결 시간을 더욱 단축합니다. 

자체적인 AI 네이티브 보안 혁신을 시작하고 싶다면 오픈소스로 제공되는 Mantis를 활용해 보세요. 또한 사이버 보안의 기본 원리와 이 에이전트형 파이프라인을 구동하는 다른 플랫폼인 Google Cloud, Gemini Enterprise는 물론, Trillium 및 Ironwood TPU에서 실행되는 Gemini 모델에 대해서도 자세히 알아볼 수 있습니다. 아울러 에이전트형 취약점 스캔 및 해결 방식이 Google Cloud의 보안 소프트웨어 개발 수명 주기(SDLC) 활동의 핵심 요소로서 Google Cloud 고객을 어떻게 보호하고 있는지도 참고할 수 있습니다.

_{이 솔루션을 제공하는 데 핵심적인 역할을 한 Stella Voutsina(수석 프로그램 관리자), Yulong Zhang(Mantis 선임 스태프 보안 엔지니어), Nick Galloway(스태프 보안 엔지니어, Mantis)에게 특별한 감사를 전합니다.}