앤트로픽, 클로드 코드에 자동 보안 검토 추가: 터미널 명령어로 취약점 점검하고 즉시 수정

AI 코딩 도구로 개발 속도는 빨라졌지만, 보안 취약점이 점검 없이 배포 파이프라인에 섞여 들어가는 문제가 개발자들의 골칫거리로 떠올랐습니다.

Anthropic이 터미널 기반 개발 도구 Claude Code에 자동 보안 리뷰 기능을 추가했습니다. 개발자는 터미널에서 명령어 한 줄로 코드를 점검하거나 GitHub Action으로 풀 리퀘스트를 자동 검사하고, 발견된 취약점의 수정까지 Claude에게 맡길 수 있습니다.

터미널과 PR에서 작동하는 이중 방어선

이번 기능은 크게 로컬 작업 환경과 팀 협업 파이프라인 두 곳으로 나뉩니다.

첫 번째는 로컬 터미널입니다. Claude Code 최신 버전에서 /security-review 명령어를 실행하면, 보안에 특화된 프롬프트가 코드베이스를 탐색해 잠재적 취약점을 찾고 상세한 설명을 제공합니다.

점검 대상에는 SQL 인젝션, XSS, 인증 및 인가 결함, 안전하지 않은 데이터 처리, 서드파티 의존성 취약점 등이 포함됩니다. 취약점이 발견되면 Claude Code에 바로 수정 코드를 작성하도록 요청할 수 있습니다.

두 번째는 CI/CD 연동입니다. 새롭게 제공되는 GitHub Action을 설정하면 풀 리퀘스트가 열릴 때마다 변경된 코드를 자동으로 분석합니다.

오탐이나 알려진 이슈를 걸러내도록 커스텀 규칙을 적용할 수 있으며, 문제가 발견되면 PR 코드 라인에 직접 코멘트를 달아 수정 권장안을 제시합니다.

사내 개발에서도 취약점 직접 차단

Anthropic은 Claude Code 자체를 포함한 사내 프로덕션 코드 개발에도 이 GitHub Action을 직접 적용해 성과를 거뒀다고 밝혔습니다.

지난주 사내 도구에 로컬 HTTP 서버 기능을 추가하는 과정에서, GitHub Action이 DNS 리바인딩을 통해 악용될 수 있는 원격 코드 실행 취약점을 찾아내 머지 전에 수정했습니다.

또한 사내 자격 증명 관리를 위한 프록시 시스템을 구축할 당시에도 SSRF 취약점을 자동으로 감지해 문제를 바로 해결했습니다.

현재 Claude Code의 모든 사용자가 최신 버전 업데이트를 통해 터미널 명령어를 쓸 수 있으며, GitHub Action도 즉시 설정할 수 있습니다.

왜 중요한가

우리는 Anthropic이 보안 검사를 개발자의 일상적인 작업 루프 안으로 끌고 들어온 점을 긍정적으로 평가합니다.

AI로 코드를 생성하는 속도가 빨라진 만큼 보안 검토가 병목이 되기 쉬웠습니다. 별도 보안 스캐너를 돌리거나 보안팀 검수를 기다리지 않고, 터미널에서 즉시 취약점을 확인하고 AI에게 패치 코드까지 쓰게 하는 방식은 개발 효율을 크게 높여줍니다.

업계 측면에서도 AI 코딩 도구의 경쟁 기준이 단순한 코드 작성 속도에서 완성도와 안정성으로 옮겨가고 있음을 보여줍니다. 경쟁 도구들 역시 비슷한 수준의 자동 보안 기능을 도입해야 하는 압박을 받게 될 것입니다.

다만 한계도 분명합니다. LLM 기반의 보안 점검은 오탐이나 미탐의 가능성을 완전히 배제할 수 없습니다. AI가 검사하고 수정한 코드라고 해서 맹신하고 사람이 직접 하는 최종 검수를 소홀히 한다면 더 큰 보안 사고로 이어질 위험이 있습니다.