OpenAI, 보안 에이전트 'Codex Security' 공개: 취약점 탐지부터 패치까지

보안 스캐너를 돌렸을 때 수백 건의 경고가 쏟아져 나오지만, 정작 열어보면 사소한 이슈나 오탐투성이여서 엔지니어들이 분류 작업에 시간을 다 빼앗기는 일은 개발 현장의 오랜 골칫거리였습니다.

OpenAI가 이 문제를 해결하기 위해 에이전트 기반 보안 도구를 공개했습니다. 그동안 아드바크(Aardvark)라는 코드명으로 비공개 테스트를 진행해 온 보안 에이전트를 Codex Security로 정식 명명하고, ChatGPT Pro, Enterprise, Business, Edu 사용자를 대상으로 리서치 프리뷰를 시작했습니다. 출시 후 첫 한 달간은 무료로 제공됩니다.

위협 모델 자동 생성부터 샌드박스 검증까지

Codex Security는 단순히 코드 패턴을 비교하는 기존 도구와 다릅니다. 저장소 전체를 분석해 시스템의 구조, 신뢰 경계, 노출 지점을 파악한 뒤 편집 가능한 맞춤형 위협 모델을 먼저 만듭니다.

보안팀은 이 위협 모델을 직접 수정해 에이전트의 시각을 조직의 기준에 맞출 수 있습니다. 취약점 심각도 평가에 피드백을 주면 에이전트가 이를 학습해 다음 스캔의 정확도를 계속 끌어올립니다.

잠재적 취약점을 발견하면 격리된 샌드박스 환경에서 스트레스 테스트를 수행합니다. 실제로 작동하는 개념 증명(PoC) 코드를 만들어 실제로 뚫리는지 확인한 뒤에만 보고서에 올리기 때문에 허위 경고를 크게 걸러낼 수 있습니다.

취약점이 확인되면 기존 시스템의 동작 의도를 해치지 않는 수정 패치까지 함께 제안합니다. 보안을 강화하면서도 기능 오류가 발생하는 사이드 이펙트를 최소화하기 위한 설계입니다.

비공개 베타 기간 동안 오탐률은 50% 이상 줄었고, 심각도가 과장 보고되는 비율은 90% 이상 감소했습니다. 특정 저장소에서는 초기 대비 노이즈가 84%나 줄어들기도 했습니다.

최근 30일 동안 120만 개 이상의 커밋을 스캔해 792개의 치명적(Critical) 취약점과 10561개의 높은 심각도(High) 취약점을 찾아냈습니다. 치명적 결함은 스캔 커밋의 0.1% 미만에서만 보고되어 경고 남발을 피했습니다.

실전에서도 OpenSSH, GnuTLS, PHP, Chromium, GOGS 등 주요 오픈소스 프로젝트에 취약점을 제보해 힙 버퍼 오버플로, 2단계 인증 우회 등 14개의 CVE를 공식 부여받았습니다.

왜 중요한가

AI 코딩 도구의 확산으로 코드 생산량은 폭발적으로 늘어났지만, 이를 검증할 보안 인력의 시간은 턱없이 부족해 보안 검토가 개발의 가장 큰 병목이 되고 있었습니다.

우리는 Codex Security가 샌드박스 검증을 통해 실제로 작동하는 PoC를 입증한 문제만 수면 위로 올리도록 만든 점을 매우 영리한 선택으로 봅니다. 기존 정적 분석 도구가 안겨주던 만성적인 노이즈 문제를 기술적으로 직접 해결하려 했기 때문입니다.

해당 ChatGPT 유료 플랜을 사용 중인 개발팀이라면 첫 달 무료 기간 동안 핵심 코드 저장소를 스캔해 볼 가치가 충분합니다. 패치를 그대로 적용하지 않더라도 생성된 위협 모델을 검토하는 것만으로도 아키텍처의 취약점을 점검하는 데 큰 도움이 됩니다.

다만 대규모 사내 시스템의 복잡한 비즈니스 로직에서는 AI가 시스템 의도를 잘못 해석해 패치 적용 시 예기치 못한 부작용을 일으킬 위험이 여전히 남아 있습니다. AI가 검증한 결과라 하더라도 최종 병합 전에는 엔지니어의 철저한 코드 리뷰가 필수적입니다.