AWS, 코드 취약점 검출 서비스 일반 제공 개시

AWS는 코드의 취약점을 자동으로 검출·수정하는 신규 서비스 'Continuum for code vulnerabilities'를 일반 제공(GA)으로 공개했다. 현재로서는 2개 리전에서 이용 가능하게 되었다.

소프트웨어 개발 현장에서는 코드의 취약점을 조기에 발견하고 신속하게 대처하는 것이 보안상의 큰 과제가 되어왔다. 종래의 취약점 스캔 도구는 '이론상의 문제'를 경고하는 데 그치며, 실제로 악용할 수 있는지 여부의 판단은 개발자에게 맡겨지는 경우가 많았다. 이러한 배경에서 단순한 검출에 그치지 않고 '정말로 위험한가'를 자동으로 확인하고 수정까지 제안하는 서비스에 대한 필요성이 높아지고 있었다고 볼 수 있다.

Continuum의 특징은 검출된 취약점에 대해 샌드박스(격리된 안전한 실행 환경) 내에서 실제의 익스플로잇(공격 코드)을 실행하여 그 취약점이 정말로 악용 가능한지 여부를 확인하는 점에 있다. 악용 가능하다고 판명된 경우, 서비스는 코드의 풀 리퀘스트(수정안 제출)로서 수정 내용을 자동으로 개설하는 구조다. 이로써 개발자는 '경고를 받을 뿐만 아니라' 구체적인 수정안을 검토하는 형태로 대응할 수 있다.

요금 체계는 처리된 검출 결과의 건수와 코드의 라인 수 양쪽에 따른 청구가 되어 있다. 서비스 공개 후 실무자 사이에서는 'Continuum에 수정을 자동으로 병합(통합)시키는 조건은 무엇인가'라는 논의가 일어나고 있다. 자동 수정의 편의성은 높은 한편, 코드의 품질 관리나 의도하지 않은 변경의 리스크를 어떻게 보장할 것인가가 실제의 도입 판단에 있어 초점이 되고 있는 것 같다.

이 서비스가 가지는 의미는 단순한 취약점 스캔의 자동화에 그치지 않는다. '검출→악용 가능성의 입증→수정안의 생성'이라는 일련의 사이클을 하나의 서비스에서 완결하려는 시도는 소프트웨어 개발의 보안 대응을 크게 바꿀 가능성을 가지고 있다. 특히 개발 팀이 소규모이거나 보안 전문가가 부족한 환경에서는 이러한 자동화의 이점이 크다고 볼 수 있다.

한편 AI가 생성한 수정 코드를 인간의 검토 없이 자동으로 병합하는 것에 대한 신중론은 보안·엔지니어링 커뮤니티에서 뿌리 깊이 자리 잡고 있다. 코드의 자동 변경이 새로운 버그나 의도하지 않은 동작을 야기할 가능성은 부정할 수 없으며, 앞으로는 어느 범위·조건에서 자동 병합을 허용할 것인가에 대한 가이드라인 정비가 업계 전체의 과제가 될 것으로 위치지어진다.

AWS가 이 서비스를 어느 리전에 배포하고 가격 설정을 어떻게 조정할 것인지는 앞으로의 주목점이다. 또한 자동 병합의 운용 판단을 둘러싼 현장의 목소리는 서비스의 기능 설계에도 영향을 미칠 것으로 생각된다. 보안 자동화와 인간에 의한 거버넌스의 균형을 어떻게 취할 것인가라는 문제는 이 서비스에 한정되지 않고 AI를 활용한 개발 지원 도구 전반에 공통하는 논점이 되고 있다.