구글, AI 취약점 탐지·수정 에이전트 '맨티스' 오픈소스 공개

ai.euno.news 자동 뉴스 요약

구글이 소프트웨어 취약점을 자동으로 찾아내고 검증, 재현, 수정까지 하는 AI 에이전트 프레임워크 ‘맨티스(Mantis)‘를 오픈소스로 공개했다. InfoQ에 따르면 구글은 기존 AI 기반 코드 스캐닝이 만들어내는 높은 오탐률과 환각 취약점 문제를 해결하기 위해 맨티스를 개발했다고 밝혔다.¹

구글은 기존 AI 코드 스캐닝의 정탐률이 7% 미만으로 떨어지는 경우가 흔하다고 지적했다. 맨티스는 이를 개선하기 위해 크리틱(critic)·리뷰어(reviewer) 에이전트 같은 업계 표준 에이전틱 기법과, 샌드박스 환경에서 취약점을 실제로 재현해 근거를 확보하는 방식을 결합했다. LLM의 판단만 믿는 대신 발견된 취약점이 실제로 작동하는지 통제된 환경에서 검증하는 것이 핵심이다.

작동 방식도 기존 스캐너와 다르다. 맨티스는 파일을 무작정 훑는 브루트포스 방식 대신 저장소 이력, 과거 보안 수정 내역, 아키텍처, 위협 모델을 먼저 분석한다. 분석 결과는 디렉터리·저장소 단위의 계층적 트리로 요약되는데, 이 과정에서 구조 정보는 유지하면서 토큰 사용량을 85% 줄였다고 구글은 설명했다.

맨티스 내부에는 여러 역할의 에이전트가 나뉘어 있다. 전략가(strategist) 에이전트는 코드 구조와 위협 모델, 의존성 그래프를 고차원에서 평가하고, 리서치 에이전트는 내부 코드 검색으로 원본 소스 파일을 파고들어 데이터 흐름과 제어 흐름, 새니타이징 로직을 추적한다. 여기에 크리틱·리뷰어 에이전트가 오탐을 걸러내고 의미 있는 발견을 우선순위화한다. 이 전체 파이프라인은 mantis-summarize, mantis-review, mantis-critic 등 15개 이상의 도구로 구성된 모듈형 스킬 세트로 짜여 있으며, 각 단계는 디스크에 저장된 공유 상태를 읽고 쓰며 순차 또는 병렬로 실행된다.

모델 운용 방식도 눈에 띈다. 구글은 모든 단계에 가장 무거운 프런티어 모델을 쓸 필요가 없다고 강조한다. mantis-researcher의 분류 작업이나 mantis-dedupe의 유사 패턴 군집화처럼 논리적 깊이가 필요 없는 작업에는 ‘플래시’나 ‘라이트’ 계열의 경량 모델을 쓰고, 크래시 재현 코드를 작성하는 mantis-reproduce나 부작용 없는 수정안을 생성하는 mantis-patch처럼 맥락 이해와 제로샷 문제 해결이 필요한 작업에는 더 강력한 모델을 붙이는 방식이다.

오탐 문제는 mantis-review 단계에서 규칙 기반 네거티브 필터로 다시 한번 걸러낸다. 다만 구글은 이 필터를 조심스럽게 써야 한다고 덧붙였다. 위험도가 낮다고 해서 무조건 오탐으로 분류하면 필터가 지나치게 넓어져 실제 취약점을 놓칠 수 있기 때문이다. 맨티스는 구글이 내부적으로 취약점을 기계 속도로 찾고 고친다고 밝힌 접근법의 일부이며, 코드는 깃허브에서 공개돼 있고 각 단계의 작동 방식과 단계 간 계약, 사용 권장 사항은 에이전트 레퍼런스 가이드에 정리돼 있다.

읽기 목록은 이 브라우저에 저장됩니다.