코드 검토 AI CodeRabbit, 연결된 저장소까지 보안 점검
코드 변경뿐 아니라 여러 파일과 연결된 저장소까지 조사한다. 고른 문제는 분리된 환경에서 악용 가능성을 검증해 볼 수 있고, 수정안은 사람이 검토해 적용한다.
오픈AI가 10월 26일(현지시간) 코드 검토 서비스 CodeRabbit의 GPT-6.1 Sol 활용 사례를 공개했다. CodeRabbit은 보안 점검을 스스로 처리하는 AI(에이전트)의 주력 모델로 Sol을 쓴다. 바뀐 코드 한 조각만 들여다보던 데서 범위를 넓혀, 복잡한 코드 전체에서 보안 위험을 찾는 용도다.
왜 파일 하나만 보지 않나
여러 파일과 구성 요소가 맞물려 돌아가는 방식에 문제가 숨기 때문이다. 오픈AI는 Sol이 이들의 동작을 연결해 보안 문제가 될 만한 지점을 찾아낸다고 설명했다. 수정한 코드 자체는 물론, 그 코드가 다른 부분과 만날 때 생기는 문제까지 검토 대상이다.
조사 범위는 기능에 따라 다르다. 코드 변경을 반영해 달라는 요청(풀 리퀘스트)을 검토할 때는 바뀐 부분을 분석한다. Deep Scan은 코드를 모아 둔 저장소를 살피면서, 그 코드가 의존하는 다른 구성 요소와 서로 주고받는 동작까지 조사한다. 개발자는 변경 검토와 저장소 전체 조사, 두 가지 방식으로 보안 문제를 점검할 수 있다.
CodeRabbit Secure는 연결된 다른 저장소까지 조사한다. 여러 저장소가 함께 쓰는 인증 라이브러리가 그 예다. 로그인이나 접근 권한을 처리하는 공통 코드처럼, 저장소 하나의 경계를 넘어 연결된 부분까지 점검 범위가 넓어진다. 코드가 여러 곳에 나뉘어 있어도 함께 작동하는 관계를 본다는 것이 핵심이다.
발견한 문제는 어떻게 고치나
개발자는 AI가 찾아낸 문제 가운데 검증할 항목을 고를 수 있다. 고른 항목은 외부와 분리된 실행 공간인 샌드박스에서 실제로 악용할 수 있는지 검증해 볼 수 있다. 운영 중인 시스템을 건드리지 않고 공격 가능성을 따져 보는 방식이다.
수정이 지원되는 문제에는 코드 변경 요청 초안까지 만들 수 있다. 개발자는 발견 사항과 제안된 수정 내용을 검토해 승인한다. 변경을 실제로 적용할지는 사람이 결정한다. 결국 이 기능을 쓰는 개발자의 일은 AI의 조사 결과를 살피고, 검증할 문제를 고르고, 수정안을 판단하는 쪽으로 옮겨간다.
기존 보안 도구를 대체하나
CodeRabbit은 수천 개의 저장소와 조직에서 Sol을 써 보안 관련 문제를 표시했다고 밝혔다. 보안 검토는 코드를 작성한 AI와 따로 진행하며, 기존 보안 검사 도구를 보완하는 방식으로 운영한다. 조사와 검토에는 다른 모델과 보안 도구도 함께 쓴다.
AI가 맡는 보안 업무가 코드 변경 검토에서 연결 관계 조사와 수정안 작성까지 넓어졌다는 점이 이번 사례의 의미다. 남은 숙제는 정확도다. 넓어진 조사 범위가 진짜 보안 문제를 얼마나 잡아내는지, 제안한 수정안이 개발자에게 얼마나 도움이 되는지는 더 지켜봐야 한다.