보안 감사(Security auditing)는 망가져 있습니다.

대규모 코드베이스에 정적 분석 도구(SAST)를 실행해 본 적이 있다면 그 고통을 잘 알 것입니다. 수천 개의 경고, 맥락(context)의 부재, 그리고 90%에 달하는 오탐(false-positive) 비율 말입니다. 반대편 측면을 보자면, 전문 침투 테스트 인력을 고용하는 것은 비용이 엄청나게 많이 들며 현대적인 CI/CD 파이프라인과 함께 규모를 확장하는 것도 불가능합니다.

Qwen Cloud Global AI Hackathon를 위해, 우리는 이 문제를 완전히 재고하기로 했습니다. 버그를

1. 🔍 Scout (Qwen-Plus): GitHub를 크롤링하고 저장소의 파일 구조를 매핑합니다.
2. 📊 Recon (Qwen-Plus): 공격 표면 (Attack Surface)을 분석하여 고위험 진입점 (인증 미들웨어, Raw SQL 쿼리 등)을 식별합니다.
3. 🎯 Hunter (Qwen-Max): Qwen-Max의 거대한 1M 토큰 컨텍스트 윈도우 (Context Window)를 사용하여 심층적인 코드베이스 분석을 수행합니다.
4. 💥 Exploit (Qwen-Max): 취약점이 실제임을 암호학적으로 증명하기 위해 안전한 개념 증명 (PoC, Proof-of-Concept) 코드를 생성합니다.
5. ✅ Verify (Qwen-Max): 회의론자 역할을 수행하며, 오탐 (False Positives)을 제거하기 위해 PoC를 교차 검증합니다.
6. ⚖️ Governance (3 Agents): 취약점의 심각성에 대해 토론하고 투표하는 세 명의 서로 다른 페르소나 (CVSS Scorer, Impact Assessor, Exploitability Judge)로 구성된 의회입니다.
7. 🔧 Patch (Qwen-Max): 회귀 테스트 (Regression Tests)를 포함한 AST (Abstract Syntax Tree) 인식 보안 수정 사항을 생성합니다.
8. 👁️ Review (Qwen-Max): 패치가 깔끔한지, 그리고 기존 기능을 망가뜨리지 않는지 확인합니다.
9. 📝 Report (Qwen-Plus): CVE 등록이 가능한 보안 권고안 (Security Advisory)을 생성합니다.

시스템이 PoC를 생성하고 이를 독립적으로 검증하도록 강제함으로써, 우리는 버그를 추측하는 모델에서 버그를 증명하는 모델로 전환했습니다. 설계 단계부터 오탐 제로 (Zero false positives by design)를 지향합니다.

🏛️ 거버넌스 의회 (The Governance Council)

우리가 구축한 가장 멋진 기능 중 하나는 **거버넌스 의회 (Governance Council)**입니다.

Hunter 에이전트가 검증된 취약점을 발견했을 때, 우리는 단순히 단일 LLM에게 심각도를 평가해달라고 요청하지 않습니다. 대신, 완전히 다른 시스템 프롬프트 (System Prompts)를 가진 세 명의 별도 에이전트를 가동합니다:

• CVSS Scorer: 기술적 벡터 (네트워크 vs 로컬, 높음 vs 낮음 복잡도)에 집착합니다.
• Impact Assessor: 비즈니스 로직에 전적으로 집중합니다 (이것이 개인정보(PII)를 유출할 수 있는가? 데이터베이스를 다운시킬 수 있는가?).
• Exploitability Judge: 스크립트 키디 (Script Kiddie)가 실제 환경에서 이를 실제로 실행하기가 얼마나 쉬운지를 살펴봅.

이 세 에이전트는 독립적으로 발견 사항을 평가하며, 오케스트레이터(orchestrator)는 이들의 점수를 수학적으로 평균하여 합의에 도달합니다. 우리의 대시보드에서 이들이 취약점에 대해 실시간으로 토론하는 모습을 지켜보는 것은 자율 조직(autonomous organizations)의 미래를 엿보는 듯한 느낌을 줍니다.

🧠 3계층 메모리 시스템 (3-Tier Memory System)

NEXUS가 스캔으로부터 실제로 '학습'하게 만들기 위해, 우리는 단순히 컨텍스트 윈도우 (context windows)에만 의존할 수 없었습니다. 우리는 다음과 같은 3계층 메모리 엔진을 구축했습니다:

1. L1 작업 메모리 (L1 Working Memory, Redis): 실시간 에이전트 통신과 단기 컨텍스트를 처리합니다. 또한 Redis PubSub을 사용하여 에이전트의 "생각"을 WebSockets를 통해 프론트엔드 대시보드로 실시간 스트리밍합니다.
2. L2 일화적 메모리 (L2 Episodic Memory, PostgreSQL): 스캔 결과, 정확한 PoC (Proof of Concept) 코드, 그리고 과거의 거버넌스 투표 내용을 영구적으로 저장하는 관계형 저장소입니다.
3. L3 의미론적 메모리 (L3 Semantic Memory, pgvector): 이 부분이 흥미로운 지점입니다. NEXUS가 버그를 성공적으로 익스플로잇 (exploit)하면, 해당 특정 코드 패턴의 벡터 임베딩 (vector embedding)을 생성합니다. 새로운 파일을 스캔하기 전에 pgvector를 대상으로 유사도 검색 (similarity search)을 수행합니다. 시간이 지남에 따라 NEXUS는 서로 다른 코드베이스 전반에서 취약점이 어떻게 "보이는지"를 능동적으로 학습합니다.

☁️ Alibaba Cloud 기반 구동

NEXUS는 단순한 API 래퍼 (wrapper)가 아닙니다. Alibaba Cloud 생태계에 깊숙이 통합되어 있습니다.

• 지능 (Intelligence): 우리는 Qwen 추론 (inference)을 위해 전적으로 dashscope-intl.aliyuncs.com API에 의존합니다. API 크레딧을 최적화하기 위해 고도의 추론 작업은 Qwen-Max로, 요약 및 라우팅 (routing) 작업은 Qwen-Plus로 라우팅했습니다.
• 아티팩트 저장 (Artifact Storage): 보안 권고 사항(security advisories)과 익스플로잇 아티팩트 (exploit artifacts)는 매우 민감한 정보입니다. 우리는 oss2 Python SDK를 통합하여, Report 에이전트가 작업을 마치는 즉시 최종 Markdown 권고 사항이 **Alibaba Cloud Object Storage Service (OSS)**에 불변적으로 업로드되도록 했습니다.
• 배포 (Deployment): FastAPI 백엔드, ARQ 워커 큐 (worker queues), 그리고 PostgreSQL/Redis 데이터베이스는 Docker Compose를 통해 Elastic Compute Service (ECS) 인스턴스에 원활하게 배포됩니다.

🚀 결과

우리는 WebSockets를 통해 백엔드와 연결되는 Next.js "Mission Control" 대시보드를 구축했습니다. NEXUS에 GitHub URL을 붙여넣으면, 10개의 AI 에이전트가 코드베이스를 실시간으로 체계적으로 해체하고, 취약점을 악용하며, 패치하는 과정을 편안하게 지켜볼 수 있습니다.

NEXUS를 구축하며 우리는 AI의 미래가 단일하고 전지전능한 챗봇(Chatbot)에 있지 않다는 것을 배웠습니다. 미래는 인간이 혼자서는 감당할 수 없는 규모의 문제들을 해결하기 위해 함께 협력하며, 전문화되고, 소통하며, 통제되는 에이전트(Agent) 사회에 있습니다.

Qwen Cloud Global AI Hackathon 2026을 위해 제작되었습니다. GitHub에서 코드를 확인하세요!