VulnHunter: Capital One의 에이전틱 AI 코드 보안 툴, 이제 오픈 소스로

Capital One이 VulnHunter를 오픈소스로 공개했습니다. VulnHunter는 공격자 관점에서 소스 코드를 사전에 분석하는 에이전틱 AI 코드 보안 도구입니다. AI 기반 익스플로잇 자동화의 증가하는 위협에 대응하기 위해 설계된 VulnHunter는 수동적 스캐너와 차별화되는 세 가지 기능을 제공합니다. 즉, 거짓 긍정을 최소화하기 위한 검증 엔진을 실행하고, 위험한 싱크에서 역방향으로 추론하는 대신 공격자가 접근 가능한 진입점에서 순방향으로 추론하며, 증거 기반의 코드 수정을 생성합니다.

주요 기술 특징

• 검증 엔진: 잠재적 취약점을 식별한 후, VulnHunter는 지원되지 않는 가정, 논리적 격차 또는 공격을 방지하는 조건을 검색하여 자체 발견 결과를 적극적으로 반증하려고 시도합니다. 이러한 적대적 검사를 통과한 결과만 개발자에게 전달됩니다.
• 공격자 우선 순방향 분석: 싱크 우선 패턴 매칭 대신, VulnHunter는 공격자가 접근 가능한 진입점(API, 네트워크 메시지, 파일 업로드)에서 시작하여 애플리케이션 로직, 데이터 변환 및 보안 검사 지점을 통해 순방향으로 추론하여 공격자가 실제로 돌파할 수 있는지 평가합니다.
• 증거 기반 수정: 발견 결과가 검증을 통과하면, VulnHunter는 전체 익스플로잇 경로를 매핑하고, 공격자가 얻게 될 기능을 설명하며, 개발자 검토를 위한 집중된 코드 변경을 생성합니다.

개발자 경험 중심

VulnHunter는 불필요한 경보를 의도적으로 피함으로써 분류 부담을 줄이도록 설계되었습니다. 이 도구는 내부에서 엄격하게 검증된 결과만 전달하여 개발자가 노이즈를 걸러내는 대신 검증된 취약점 수리에 집중할 수 있도록 합니다.

이 도구는 엔터프라이즈 규모에 맞게 제작되었지만, 오픈소스 출시로 모든 개발 팀이 사용할 수 있습니다. Capital One이 자체 코드베이스에서 실행한 후 공개했으며, 소스에는 전체 에이전틱 추론 워크플로와 검증 엔진이 포함되어 있습니다.