최근 AI 코딩 도구의 확산으로 개발 생산성은 높아졌지만, 생성된 코드의 보안 취약점에 대한 우려도 커지고 있습니다. 이러한 배경 속에서 오픈소스 오프라인 보안 스캐너 '펜테라(Penthera)'가 공개되어 주목받고 있습니다. 펜테라는 개발자의 로컬 환경에서 직접 앱과 AI 코딩 도구의 보안 취약점을 규칙 기반으로 검사하며, 민감한 코드나 데이터가 외부로 전송될 걱정 없이 빠르고 투명한 보안 점검을 가능하게 합니다.
펜테라는 132개의 읽기 가능한 규칙과 6개의 읽기 전용 MCP(Multi-Agent Collaboration Protocol) 도구를 활용해 앱의 종속성(dependencies)과 AI 코딩 도구 자체의 보안 문제를 진단합니다. Node.js 22 이상 환경에서 'npx penthera' 명령어로 쉽게 실행할 수 있으며, Cursor, Claude Code, Codex, GitHub Copilot 등 다양한 AI 코딩 에이전트 및 개발 환경과 통합됩니다. 삼성 CredData의 유출된 비밀(Leaked secrets) 데이터셋에서 F1 스코어 0.74를 기록하고, Datadog의 악성 npm 및 PyPI 패키지 탐지 벤치마크에서 각각 0.71, 0.82의 높은 점수를 얻는 등 기존 무료 오픈소스 도구들과 비교해 우수한 성능을 보여주었습니다.
펜테라의 등장은 AI 시대의 소프트웨어 개발 보안에 중요한 시사점을 던집니다. AI가 생성한 코드의 '블랙박스' 특성으로 인해 발생할 수 있는 잠재적 보안 위험을 개발자 스스로 통제하고 검증할 수 있는 수단을 제공하기 때문입니다. 특히 오프라인 실행과 규칙 기반 접근 방식은 민감한 기업 데이터나 개인 프로젝트의 보안을 강화하려는 개발자들에게 매력적인 선택지가 될 것입니다. 이는 단순히 취약점을 찾아내는 것을 넘어, 개발 과정 전반에 걸쳐 보안을 내재화하고 개발자의 책임감을 높이는 데 기여할 것으로 기대됩니다.