트레판: AI 생성 코드를 위한 로컬 VS 코드 보안 감사 도구

Trepan은 '침묵하는 AI 보안 부채'—컴파일은 통과하지만 아키텍처적 보안 맥락이 부족한 AI 제안 코드의 취약점—를 해결하는 VS Code 확장 프로그램입니다. 이는 AI 코딩 어시스턴트와 코드베이스 사이에서 로컬 보안 게이트키퍼 역할을 합니다.

Trepan 작동 방식

이 도구는 제로 베이스라인 접근법을 사용하여 로컬 보안 규칙에 대해 AI 제안을 감사합니다. 단순히 추측하지 않으며, 프로젝트 내 .trepan/system_rules.md 파일을 기반으로 정책을 시행합니다.

• 100% 로컬 전용: Ollama를 사용하여 외부 API로 코드 유출 없이 사용자 기기에서 보안 감사 실행
• 결정론적 검증: 수락 전 로컬 LLM이 특정 보안 제약 조건에 대해 제안된 코드를 검증하도록 강제
• 맥락 인식: 프로젝트별 규칙을 읽어 일반 린터가 놓치는 논리별 결함 포착

Trepan이 포착하는 것

이 도구는 표준 정적 분석을 우회하는 환각 현상을 찾도록 특별히 조정되었습니다:

• AI가 제안한 안전하지 않은 API 엔드포인트
• 프론트엔드 로직의 침묵하는 DOM XSS 취약점
• AI가 환각할 수 있는 하드코딩된 비밀 또는 '편리한' 백도어

기술적 세부 사항

Trepan은 AGPLv3 라이선스 하에 오픈소스이며 VS Code 마켓플레이스에서 이용 가능합니다. 개발자는 감사 단계를 위한 다양한 시스템 프롬프트를 실험 중이며, 감사 논리와 프롬프트 엔지니어링에 대한 피드백을 구하고 있습니다.

개발자는 과도한 지연 없이 보안 중심 감사에 가장 적합한 로컬 모델(Llama 3, Mistral 등)에 대해 커뮤니티의 의견을 요청하고 있습니다.