구글 딥마인드, 취약점 자동 수정 AI 에이전트 '코드멘더' 공개

AI를 활용한 취약점 발견 도구가 강력해지면서, 사람이 수작업으로 버그를 고치는 속도가 이를 따라가지 못하는 상황이 벌어지고 있습니다.

구글 딥마인드가 소프트웨어 보안 취약점을 스스로 찾아내고 수정하는 인공지능 에이전트 CodeMender의 연구 결과를 공개했습니다.

CodeMender는 지난 6개월간 450만 줄 규모의 대형 리포지토리를 포함한 오픈소스 프로젝트들에 총 72개의 보안 패치를 성공적으로 업스트림에 반영시켰습니다.

증상만 덮지 않고 근본 원인을 파헤치는 구조

메모리 충돌 로그에 힙 버퍼 오버플로우가 찍혀 있더라도, 실제 원인은 XML 파싱 과정의 스택 관리 오류에 숨어 있는 경우가 많습니다.

CodeMender는 제미나이 딥 싱크 모델의 추론 능력을 바탕으로 디버거와 정적 분석, 퍼징 도구를 직접 다루며 오류의 본질적인 원인을 추적합니다.

패치를 만든 뒤의 검증 과정도 꼼꼼합니다. 별도의 비평 에이전트가 기존 코드와 수정본을 비교하며 기능이 똑같이 유지되는지, 사이드 이펙트가 없는지 따져봅니다.

만약 컴파일 에러가 나거나 기존 테스트를 통과하지 못하면, 에이전트가 피드백을 받아 스스로 코드를 다시 고쳐 완성도를 높입니다.

취약점을 기다리지 않고 기존 코드를 선제적으로 재작성

단순히 버그를 땜질하는 데 그치지 않고, 취약점의 유형 자체를 원천 차단하기 위해 오래된 코드를 선제적으로 리팩터링하는 기능도 갖췄습니다.

대표적으로 제로클릭 공격에 악용되었던 이미지 라이브러리 libwebp에 안전성 어노테이션을 자동으로 추가했습니다.

이렇게 코드를 개선하면 컴파일러가 빌드 단계에서 경계 검사를 강제하기 때문에 버퍼 오버플로우 공격 가능성을 영구적으로 없앨 수 있습니다.

구글은 신중한 접근을 위해 현재 CodeMender가 작성한 모든 패치를 내부 연구원이 직접 검토한 뒤 오픈소스 관리자에게 전달하고 있습니다.

왜 중요한가

전 세계 디지털 인프라의 뼈대를 이루는 오픈소스 프로젝트들은 대부분 소수의 자원봉사자 손에 맡겨져 있어 늘 인력난에 시달립니다. 발견되는 제로데이 취약점은 쏟아지는데 이를 막을 사람이 부족한 상황에서, CodeMender처럼 자율적으로 원인을 분석하고 테스트까지 거치는 AI 도구는 실질적인 구원투수가 될 수 있습니다.

우리는 공격자가 악용할 수 있는 AI 발견 툴에 맞서 수비 진영의 속도를 끌어올렸다는 점에서 구글의 이번 행보가 매우 현실적이고 영리하다고 봅니다. 단순히 코드를 짜주는 생성형 비서보다 컴파일과 회귀 테스트를 거쳐 안전성을 입증하는 에이전트가 엔지니어링 측면에서 훨씬 강력한 가치를 지니기 때문입니다.

하지만 코드 보안은 단 한 번의 실수가 시스템 전체를 무너뜨릴 수 있는 영역입니다. 자동 생성된 패치가 아주 미묘한 논리적 오류를 남길 위험이 상존하는 만큼, 사람이 최종 승인하는 단계를 유지하는 것은 현명한 선택이며 현장 개발자들이 이를 전적으로 신뢰하기까지는 검증의 시간이 더 필요해 보입니다.