ForgeGuard: 오픈 웨이트 모델을 활용한 자율 AI DevSecOps 사이드 허슬 구축기

이 글은 Hacktoberfest Open-Source AI Challenge Week 2: Side Hustle에 제출하는 내용입니다.

제가 만든 것 (What I Built)

ForgeGuard는 프리랜서 DevSecOps 컨설턴트와 엔지니어링 팀을 위해 특별히 설계된 자율 AI 기반 보안 스캐너, STRIDE 위협 모델러, 그리고 자체 복구 패치 엔진입니다.

독립적인 빌더이자 컨설턴트로서 스타트업과 인디 창업자에게 보안 감사를 제공하는 것은 가장 가치가 높은 기술적 사이드 허슬 중 하나입니다. 하지만 수동 취약점 감사, 공격 표면 계산, 위협 모델 작성은 일반적으로 리포지토리당 10시간 이상이 소요됩니다.

ForgeGuard는 이 과정을 고마진의 자동화된 워크플로우로 전환합니다:

재귀적 AST(Abstract Syntax Tree) 방문자를 통해 전체 Python 코드베이스를 10ms 미만으로 스캔합니다.
발견된 진입점을 6가지 모든 STRIDE 위협 범주(Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege)와 매핑합니다.
오픈 웨이트 AI를 기반으로 자동화되고 AST로 검증된 복구 패치를 합성하며, 보장된 **'깨진 빌드 없음(zero broken builds)'**과 1클릭 스냅샷 롤백 기능을 제공합니다.

클라이언트들은 제품 출시나 자금 조달 라운드 전에 하드코딩된 비밀 누출 방지, SQL/명령어 주입 결함 노출 방지, 또는 OWASP Top 10 표준 위반 여부를 보장받기 위해 현실적으로 감사당 $500에서 $2,000를 지불합니다.

🎥 영상 시연 (YouTube): 전체 3.5분 데모 보기
🖥️ 인터랙티브 사이버펑크 대시보드: 실시간 CVSS 3.1 게이지, 인터랙티브 STRIDE 폭발 반경 매트릭스, 그리고 AST로 검증된 코드 비교 스튜디오가 포함된 라이브 Tailwind CSS 다크 모드 UI.

# 리포지토리 클론하기
git clone https://github.com/karan5028ji/forgeguard.git
cd forgeguard
...

ForgeGuard는 오픈 웨이트(open-weight) AI를 활용한 삼중 에이전트 협업 아키텍처를 사용합니다:

에이전트 1: 결정론적 보안 감사자 (Deterministic Security Auditor): 네이티브 Python AST 방문자(visitor)와 오염 흐름 추적(taint-flow tracking)을 실행하여 OWASP Top 10 / CWE 취약점(SQL 인젝션, pickle 역직렬화, 셸 명령어 인젝션, 경로 탐색, 하드코딩된 비밀값 등)을 감지합니다.
에이전트 2: 자동 STRIDE 위협 모델러 (Automated STRIDE Threat Modeler): 구조적 데이터 흐름(structural data flows)을 분석하여 자산 폭발 반경(asset blast radius)을 평가하고, STRIDE 범주 전반의 진입 지점(entry points)을 매핑합니다.
에이전트 3: 자율 복구 엔지니어 (Autonomous Remediation Engineer): Meta-Llama-3.1-8B-Instruct와 연결하여 통합 diff를 생성합니다 (Featherless.ai를 통해 오프라인 휴리스틱 폴백(offline heuristic fallback)과 함께). 제안된 모든 패치는 디스크에 쓰기 전에 엄격한 Python AST 구문 게이트를 통과하여 빌드 실패가 발생하지 않도록 보장합니다.

AI 기반 보안 사이드 허슬(side hustle)을 위해서는 폐쇄적인 독점 클라우드 API에 의존하는 것이 큰 장벽입니다:

완전한 코드 프라이버시: 기업 고객과 보안을 중시하는 창업가들은 자신들의 독점적이고 미공개된 지적 재산(IP)이 불확실한 학습 정책을 가진 폐쇄적인 제3자 클라우드 서버로 전송되는 것을 절대 허용하지 않을 것입니다. 오픈 웨이트 모델(Llama 3.1)은 로컬 또는 사설 환경에서 데이터 유출 없이 실행될 수 있습니다.
감사당 한계 비용 0: 수천 개의 AST 노드를 가진 대규모 코드베이스를 폐쇄적인 토큰당 API로 스캔하는 것은 컨설팅 마진을 파괴합니다. 오픈 웨이트 모델은 토큰당 비용에 대한 불안함 없이 무제한 추론(inference)을 제공합니다.
오프라인 및 결정론적 신뢰성: 보안 도구는 인터넷 연결이 끊기거나 API 속도 제한(rate-limits)에 걸려도 실패할 수 없습니다. ForgeGuard의 아키텍처는 완전한 오프라인 격리 상태에서도 로컬 휴리스틱과 오픈 웨이트 모델을 통해 감사 파이프라인이 계속 작동하도록 보장합니다.