구글 코드멘더(CodeMender) 공개 - 코드 취약점 자동 탐지·검증·패치 AI 에이전트

핵심 메시지

• 구글 딥마인드가 만든 AI 코드 보안 에이전트 '코드멘더'가 제미나이 엔터프라이즈 에이전트 플랫폼을 통해 구글 클라우드 고객에게 제공된다.
• 코드멘더는 취약점을 찾는 데서 그치지 않고, 개념증명 공격을 직접 실행해 그 취약점이 실제 위험인지까지 검증한다.
• 검증이 끝나면 패치를 생성하고 테스트하지만, 어떤 변경을 실제로 반영할지는 개발자가 최종 결정한다.
• VS 코드 같은 개발 도구와 소스 저장소에 직접 연결돼 개발 단계에서 보안을 앞당기는 '시프트 레프트'를 노린다.
• 코드멘더는 위즈, 맨디언트 컨설팅과 함께 구글 AI 위협 방어 플랫폼을 구성하는 요소로 소개됐다.

쉽게 이해하기

AI가 만들어내는 코드의 양이 빠르게 늘고 있다. 동시에 공격자들도 AI를 이용해 소프트웨어 취약점을 찾아내고 악용한다. 구글은 이렇게 공격과 방어가 모두 빨라진 상황에서 보안 검토를 개발 뒤쪽이 아니라 개발 과정 안으로 당겨야 한다고 설명한다. 이번에 공개된 코드멘더는 그 역할을 맡는 AI 코드 보안 에이전트다.

코드멘더는 구글 딥마인드에서 개발됐고, 제미나이 엔터프라이즈 에이전트 플랫폼을 통해 구글 클라우드 고객이 쓸 수 있다. 제미나이를 비롯한 여러 파운데이션 모델을 활용해 코드베이스를 스캔하고, 깊숙이 숨어 있는 취약점을 찾아낸다. VS 코드 같은 개발 도구와 연동되며, 이 도구들이 연결된 소스 저장소를 그대로 대상으로 삼는다.

스캔이 끝나면 심각도 순으로 정렬된 보안 진단 결과를 내놓는다. 이 결과는 이해관계자와 공유할 수 있는 정형화된 보고서 형태로도 만들 수 있다. 여기까지는 기존 보안 스캐너와 비슷해 보이지만, 코드멘더가 차별점을 두는 지점은 그다음이다.

코드멘더는 찾아낸 취약점 각각에 대해 검증 계획을 세우고 개념증명 공격을 실제로 실행해 본다. 이 과정을 통해 그 취약점이 정말 위험한 것인지 확인한다. 검증이 끝나면 패치를 생성하고 테스트까지 진행한다. 다만 개발자는 에이전트가 만든 코드 변경 내용을 검토하고, 무엇을 코드베이스에 반영할지 직접 결정한다.

구글은 코드멘더를 단독 제품이 아니라 더 큰 보안 체계의 한 조각으로 위치시켰다. 클라우드 보안 기업 위즈, 보안 컨설팅 조직인 맨디언트 컨설팅과 함께 상시 가동되는 자율 보안 플랫폼인 구글 AI 위협 방어를 구성한다는 설명이다.

주요 인사이트

• 취약점 '탐지'와 '검증'을 분리한 설계가 핵심이다. 기존 정적 분석 도구가 쏟아내는 오탐 때문에 보안 경고가 무시되는 문제를, 개념증명 공격을 직접 돌려보는 방식으로 줄이려는 접근이다.
• 패치 생성까지 자동화하면서도 커밋 결정권은 개발자에게 남겨 뒀다. 자동화 수준을 최대로 올리기보다 사람이 최종 관문에 남는 구조를 택했다는 뜻이다.
• AI가 코드를 대량 생산하는 만큼 사람이 하는 코드 리뷰만으로는 검토 속도가 따라가기 어려워진다. AI가 만든 코드를 AI가 검사하는 구조가 현실적인 대응책으로 제시되고 있다.
• 공격자도 AI를 쓴다는 점을 전제로 깔았다는 것이 중요하다. 방어 자동화는 편의성 문제가 아니라 속도 경쟁의 문제로 다뤄지고 있다.
• 구글 클라우드와 제미나이 엔터프라이즈라는 자사 플랫폼 위에서 제공된다는 점에서, 보안 에이전트가 클라우드 사업자의 기본 제공 기능으로 편입되는 흐름을 보여준다.

자주 묻는 질문

관련 AI 소식