AI로 코드를 작성한 후 보안 스캔 (Security Scan) 검토를 수행하면, 보통은 무효한 정보만을 얻게 되며 진짜 취약점은 깊은 곳에 숨겨져 있습니다.

최근 Cloudflare가 security-audit-skill이라는 스킬을 오픈 소스로 공개했습니다. 이는 Agent를 전문적인 보안 감사원 (Security Auditor)으로 변모시켜 실제로 이용 가능한 취약점을 찾아냅니다.

작업은 6단계로 나뉩니다: 아키텍처 정찰 (Reconnaissance), 다각도 공격 (Multi-angle Attack), 대항 검증 (Adversarial Verification), 보고서 생성 (Report Generation), 구조화된 출력 (Structured Output), 그리고 마지막으로 독립적인 에이전트 (Agent)에 의한 항목별 검증.

GitHub: https://t.co/o5VwfniSoY

내장된 대항 검증 (Adversarial Verification) 메커니즘을 통해, 취약점을 발견하는 에이전트와 취약점을 검증하는 에이전트가 완전히 분리되어 있어 오탐 (False Positive)을 제거하는 데 특화되어 있습니다.

또한 여러 번 실행하면 알려진 문제를 자동으로 건너뛰며, 매번 서로 다른 코드 경로를 탐색하여 커버리지 (Coverage)를 점점 높여갑니다.

동일한 저장소 (Repository)에 대해 여러 번 실행하여 다양한 코드 경로를 탐색하는 것을 지원하므로, 코드 보안을 중시하는 개발자에게 적합합니다.