HermesSec: 오픈 웨이트 Gemma 및 AST 트리아지 기능을 $149 프리랜서 보안 감사 부업으로 전환하기

이 글은 Hacktoberfest Open-Source AI Challenge Week 2: Side Hustle에 제출하는 내용입니다.

제가 만든 것 (What I Built)

인디 SaaS 창업가, '바이브 코더(vibe-coders)', 소규모 개발 에이전시는 결제 및 인증 코드를 눈부신 속도로 배포합니다. 그들은 출시 전에 전통적인 $15,000 침투 테스트를 감당할 수 없지만, 단 하나의 SQL injection (CWE-89), 하드코딩된 프로덕션 시크릿 (CWE-798), 또는 shell=True 명령어 실행 (CWE-78)만으로도 밤새 사업을 망칠 수 있습니다.

반면에 프리랜서 보안 전문가들은 저렴한 **$149 익스프레스 출시 전 코드 감사(Express Pre-Launch Code Audits)**를 제공하고 싶어 하지만, 스니펫을 수동으로 검토하고, CWE 식별자를 매핑하며, 복사 붙여넣기 가능한 수정 패치를 작성하는 데는 청구되지 않는 몇 시간의 노력이 필요합니다.

HermesSec이 이 격차를 해소합니다. Hermes / OpenClaw 다중 에이전트 작업 분해 워크플로우에서 영감을 받아, 결정론적 Python AST (Abstract Syntax Tree) 사전 트리아지 기능과 Google Gemma 오픈 웨이트 모델, Backboard의 상태 저장 스레드 메모리 (`memory=

• GitHub Repository: https://github.com/pr7426/hermes-sec-audit/tree/main
• app.py(FastAPI + AST Triage + Backboard /api/threads/messages + 로컬 Ollama /api/chat), Dockerfile, 및 render.yaml Blueprint가 포함되어 있습니다.

구축 과정 (How I Built It)

HermesSec은 제로-환각(zero-hallucination) 신뢰성을 위해 설계된 3단계 서브 에이전트 아키텍처를 사용합니다:

1. 서브 에이전트 1 — 결정론적 Python AST 및 Regex 트리아지: 수신되는 소스 코드를 추상 구문 트리(Abstract Syntax Tree, ast.walk)로 파싱하여 위험한 싱크 지점(eval, exec, pickle.loads, shell=True를 사용한 subprocess, 원시 SQL 문자열 보간, 하드코딩된 비밀 정보)의 정확한 라인 번호를 찾아냅니다.

2. 서브 에이전트 2 — Google Gemma 복구 엔진: 구조화된 AST 분석 결과를 오픈 웨이트(open-weight) gemma-2-9b-it에 입력하여 (Backboard 또는 로컬 Ollama /api/chat를 통해) 즉시 적용 가능한 보안 리팩토링 코드와 실행 위험 요약본을 합성합니다.

3. 서브 에이전트 3 — Backboard 상태 메모리 및 모델 벤치마크: 감사 스레드 전반에 걸쳐 반복되는 CWE(Common Weakness Enumeration) 컨텍스트를 유지하기 위해 Backboard의 POST https://app.backboard.io/api/threads/messages 엔드포인트를 X-API-Key 및 `memory=

4. 클라이언트 NDA 및 소스 코드 프라이버시: 유료 클라이언트는 프롬프트를 학습 목적으로 보관하는 폐쇄형(closed-source) 최첨단 제공업체에게 독점 인증 또는 결제 코드를 보내는 것을 절대 허용하지 않습니다. HermesSec은 로컬 Ollama(http://localhost:11434/api/chat)를 통해 오픈 웨이트 Gemma를 지원하거나 통제된 엔드포인트를 사용하기 때문에, 민감한 클라이언트 코드는 완전히 비공개로 유지됩니다.

5. 보안 코드에 대한 오탐(False-Positive) 안전 거부 없음: 폐쇄형 상업 API는 지나치게 공격적인 거부 방지 장치(refusal guardrails) 때문에 합법적인 SQL 인젝션 쿼리, XSS 싱크(sinks), 또는 명령어 인젝션 스니펫을 분석하는 것을 자주 거부합니다. Gemma와 같은 오픈 웨이트 모델은 보안 엔지니어들이 임의적인 차단 없이 실제 취약점을 검사하고 패치할 수 있게 합니다.

6. 99% 총 마진 단위 경제학(Gross Margin Unit Economics): 9B 오픈 웨이트 모델을 로컬 AST 사전 필터링과 결합하여 실행하는 비용은 감사당 $0.0003 미만으로, 고정 가격의 $149 마이크로 감사를 첫날부터 매우 수익성 있게 만듭니다.

저의 첫 사용자

저는 웹 앱 및 소셜 이커머스 도구를 출시하는 동료 개발자이자 콘텐츠 크리에이터에게 라이브 Render 배포본을 보여주었습니다.

• 경과: 그들은 실제 백엔드 유틸리티 스크립트를 HermesSec에 붙여넣었습니다. 2초 만에, 이 도구는 하드코딩된 토큰과 검증되지 않은 쿼리 라인을 정확한 줄 번호별로 플래그 지정하고, 매개변수화된 대체 코드를 출력했습니다.

• 지불 의사: 그들은 공개 접근을 열기 전에 검증된 사전 출시 보안 승인에 대해 일괄 $99~$149를 지불하는 것이 기업 컨설팅 요율과 비교했을 때 쉬운 '예'라고 말했습니다.

• 다음 요청 사항: 자동 GitHub Pull Request 웹훅 통합 및 고객에게 보여줄 수 있는 다운로드 가능한 PDF 인증서였습니다.

• Render의 최적 활용: 네이티브 Dockerfile 및 render.yaml Blueprint를 사용하여 컨테이너화된 FastAPI + 멀티 에이전트 런타임을 Render에 배포했습니다.

• Gemma의 최적 활용: Google의 오픈 웨이트 모델인 Gemma (gemma-2-9b-it / gemma2:9b)를 주요 취약점 설명 및 보안 패치 합성 모델로 사용했습니다.

• Backboard의 최적 활용: 상태 저장 감사 메모리를 유지하고 단일 키를 통해 오픈 웨이트 모델(gemma-2-9b-it 대 qwen-2.5-coder)을 비교하기 위해 Backboard의 POST /api/threads/messages API를 X-API-Key 및 `memory=