클라우드플레어(Cloudflare)가 인공지능(AI) 코딩 에이전트를 활용해 소프트웨어 코드베이스의 보안 취약점을 자동으로 감사하는 '시큐리티-오딧(security-audit)' 스킬을 오픈소스로 공개했습니다. 이 스킬은 여러 개의 격리된 에이전트(agent)를 조율하여 코드 정찰, 취약점 탐색, 검증, 그리고 보고서 작성까지 보안 감사(security audit)의 전 과정을 자동화합니다. 특히, 발견된 취약점 후보를 별개의 검증 에이전트가 교차 확인하는 '적대적 검증(adversarial validation)' 방식을 채택하여 신뢰도를 높인 것이 특징입니다.
시큐리티-오딧 스킬은 총 6단계의 감사 흐름을 따릅니다. 1단계 정찰(Reconnaissance)에서 아키텍처, 신뢰 경계, 입력 표면 등을 파악하고, 2단계 커버리지 기반 탐색(Coverage-based Hunting)에서는 코드 커버리지 장부(coverage ledger)를 기준으로 탐색 작업을 배정합니다. 이후 3단계 후보 검증(Candidate Validation)에서 발견된 취약점 후보를 독립적인 에이전트가 반증(disprove)을 시도하며, 4단계 구조화된 출력(Structured Output)을 통해 결과를 '확인됨(confirmed)', '검증 필요(needs_validation)', '거부됨(rejected)'으로 분류하여 기록합니다. 마지막으로 5단계 독립 기록 검증(Independent Record Validation)과 6단계 대상 중립적 보고(Target-agnostic Reporting)를 거쳐 최종 보고서를 생성합니다. 이 과정에서 대상 코드 실행 시에는 네트워크 차단 및 자원 제한이 적용된 OS 수준의 샌드박스(sandbox) 환경이 필수적이며, 동일 저장소에 대한 반복 감사 시에는 이전 감사 기록을 활용하여 변경된 코드나 놓쳤던 부분을 효율적으로 점검합니다.
이러한 AI 기반의 자동화된 보안 감사 스킬은 개발 초기 단계에서부터 잠재적인 보안 취약점을 신속하게 발견하고 수정할 수 있도록 돕습니다. 이는 개발 수명 주기(SDLC) 전반에 걸쳐 보안을 강화하고, 수동 감사에 드는 시간과 비용을 크게 절감할 수 있다는 점에서 의미가 큽니다. 특히, 클라우드플레어는 이 스킬이 자체 취약점 발견 하네스(vulnerability harness)의 출발점이 되었다고 밝히며, AI 에이전트가 단순한 코드 생성 도구를 넘어 복잡한 보안 분석 작업까지 수행할 수 있는 잠재력을 보여주었습니다. 앞으로 이러한 기술은 소프트웨어 개발의 생산성과 보안 수준을 동시에 높이는 데 핵심적인 역할을 할 것으로 기대됩니다.