AI로 코드를 작성하는 속도가 빨라질수록, 숨겨진 보안 취약점(Security Vulnerability)은 더욱 교묘해집니다. Claude가 방금 출시한 보안 플러그인은 코드를 생성하는 것과 동일한 모델 계열이 스스로의 출력을 해체하는 레드팀(Red Team) 역할을 수행하게 하는, 직관에 반하는 일을 해냈습니다.

이것은 전통적인 정규 표현식(Regex) 스캔이 아닙니다. 멀티 에이전트(Multi-agent) 협업을 통해 아키텍처 인벤토리(Architecture Inventory), 위협 모델링(Threat Modeling), 취약점 발굴(Vulnerability Mining), 독립 검증(Independent Verification)을 수행합니다. 최고 깊이 모드에서는 자신의 모든 발견 사항을 전문적으로 뒤집으려 시도하며, 오직 뒤집을 수 없는 것만이 진짜 취약점으로 간주됩니다. 또한 패치(Patch) 방안만 제공할 뿐, 절대 자동으로 수정하지 않습니다.

이전에는 Claude Code를 통해 빠르게 버전을 출시하면서도, 침투 테스트(Penetration Test) 비용은 너무 비싸고 직접 점검할 줄은 몰라 출시 후 조용히 기도할 수밖에 없었습니다. 이제는 코드를 제출하기 전 30초 만에 스캔을 마칠 수 있어, 보안이 값비싼 프로젝트에서 터미널 내의 일상적인 습관으로 변했습니다.

게다가 원클릭 설치로 명령어 한 줄이면 충분하며, 추가적인 API, 추가 도구, 추가 비용 없이 현재 실행 중인 Claude Code 터미널에서 바로 스캔을 시작할 수 있습니다.

이 도구는 vibe coding 시대의 가장 큰 공백을 메워줍니다.

당신은 빠르게 십(ship)하지만, 코드에는 보안 구멍이 남아있을 수 있습니다. 침투 테스터(Pentester)를 고용하기엔 너무 비싸고 스스로는 잘 모르니, 계속해서 십(ship)하며 마음속으로 기도할 뿐입니다.

이전에는 보안(Security)을 나중에 생각하자고 했지만, 이제는 커밋(Commit) 전 30초의 문제입니다.

이것은 전통적인 정규 표현식 스캔이 아닙니다. 멀티 에이전트(Multi-agent) 협업을 통해 먼저 아키텍처 인벤토리(Architecture Inventory)와 위협 모델링(Threat Model)을 수행한 뒤, 리서처 에이전트(Researcher Agent)를 파견하여 컴포넌트와 데이터 흐름에 따라 취약점을 발굴하고, 마지막으로 독립 검증 계층을 거칩니다. 세 가지 깊이가 있습니다: Medium은 전체 프로세스를 한 번 스캔하고, High는 두 명의 리서처와 두 배의 광범위 스캔을 수행하며, Max는 High를 기반으로 한 번 더 적대적 레드팀(Adversarial Red-team) 과정을 추가합니다. 즉, 이전의 모든 발견 사항을 전문적으로 반박하며, 가양성(False Positive)을 뒤집을 수 없는 것만이 진짜 구멍으로 인정됩니다. 출력 결과에는 취약점 설명, 중요성, 그리고 맞춤형 패치(Patch)가 포함되며, 패치는 절대 자동으로 적용되지 않고 patches 디렉토리에 저장되어 당신이 직접 적용 여부를 결정하게 합니다.

가장 직관에 반하는 지점은 스캔 능력 그 자체에 있지 않습니다. 동일한 모델 계열이 잠재적 취약점의 근원이면서, 동시에 멀티 에이전트 레드팀으로 조직되어 스스로를 해체한다는 점에 있습니다. 생성자가 가장 강력한 감사자(Auditor)가 된 것입니다.

또한 Max 모드의 핵심은 더 많은 취약점을 찾는 것이 아니라, 이전에 찾아낸 것들을 뒤집는 데 있습니다. 자신의 스캔 결과를 더 의심하는 것이 오히려 더 신뢰할 수 있다는 점은 고급 보안 공학(Security Engineering)에서 매우 귀중한 접근 방식이며, 이것이 원클릭 옵션으로 구현되었습니다.

Claude Code를 사용하여 빠르게 제품을 만드는 모든 사람에게, 이 플러그인은 단순히 더 안전한 코드를 작성하도록 도와주는 것이 아닙니다. 동일한 추론 능력을 사용하여 공격자의 관점에서 방금 생성된 코드를 지속적으로 감사(Audit)하는 것입니다.

생성 능력이 강해질수록 잠재적 취약점은 더 교묘해지며, 더 강력한 대항적 감사(Adversarial Audit)가 필요합니다. 그리고 이 감사 능력은 마침 동일한 모델 계열에서 나오기에, 완전한 폐쇄 루프(Closed Loop)가 형성되었습니다.

보안은 값비싼 프로젝트에서 터미널 내의 하나의 습관으로 변했습니다. 설치하지 않는 것은, 아무도 발견하지 못하기를 계속 기도하는 쪽을 능동적으로 선택하는 것과 같습니다.