Capital One, AI 보안 도구 「VulnHunter」를 OSS로 공개

미국 대형 금융기관인 Capital One은 소프트웨어의 취약점을 자동으로 발견·분석하는 AI 보안 도구 「VulnHunter」를 Apache 2.0 라이선스의 오픈소스로 GitHub에서 공개했다. 이 도구는 사내에서 개발된 것으로, 코드가 프로덕션 환경에 배포되기 전에 문제를 감지하고 수정안까지 제시할 수 있다.

보안 분야에서는 기존의 취약점 스캐너가 많은 「오탐」을 만드는 것이 오랫동안의 과제였다. 일반적인 도구는 코드 내의 위험해 보이는 패턴을 찾은 후, 가상의 공격 시나리오를 사후에 조립하는 절차를 밟는다. 이로 인해 실제로는 악용할 수 없는 문제에도 대량의 알림이 발생하여, 엔지니어 팀이 대응에 쫓기는 상황이 생겨났다. AI 기술의 진화로 공격자의 도구도 고도화·저가격화가 진행되는 지금, 방어 측의 효율화는 더욱 절실한 과제가 되고 있다.

VulnHunter는 이 문제에 대해 「공격자 기점의 전향적 분석」이라 불리는 고유한 접근 방식으로 대처한다. 도구는 먼저 API나 네트워크 메시지, 파일 업로드 같은 실제의 공격자가 침입 지점으로 노리는 포인트를 시작점으로 설정하고, 그 점에서 애플리케이션의 로직을 순서대로 추적하여 공격 경로가 기존의 방어를 빠져나가 성립하는지 여부를 판단한다. 더 나아가 「반증 엔진」이라 불리는 메커니즘이 스스로 감지한 문제를 적극적으로 부정하려 시도한다. 논리적 모순이나 공격이 성립하지 않는 조건을 찾아, 부정하지 못한 경우에만 상세한 설명과 수정 코드 안과 함께 인간의 검토자에게 보고하는 구조이다.

현 시점에서 VulnHunter는 Anthropic의 Claude Opus 4.8 모델을 Claude 코드 환경에서 동작하고 있지만, Capital One은 다른 기반 모델이나 개발 환경으로의 대응도 가능한 설계라고 설명하고 있다.

Capital One의 CISO(최고 정보 보안 책임자) 크리스 님스는 오픈소스화의 이유를 다음과 같이 말했다. 「현대의 소프트웨어 공급망은 고도로 연결되어 있으며, AI가 낳는 위협의 규모는 하나의 조직이 대응할 수 있는 차원을 초과하고 있다. 소프트웨어와 디지털 환경의 보안은 개발자·기업·그 시스템에 의존하는 모든 사람들이 혜택을 받는 공통의 기반이다. 방어 도구도 또한 보호하는 코드베이스와 마찬가지로 널리 배포되고, 테스트되고, 개선되어야 한다」.

주요 금융기관이 공격적인 AI 기술을 전용하여 구축한 방어 도구를 오픈소스로 공개하는 것은 드문 움직임이라고 할 수 있다. 보안은 경쟁 우위의 원천으로서 독점되는 경우가 많지만, Capital One은 그 반대의 판단을 내렸다. 이러한 노력은 사이버보안을 「업계 전체에서 끌어올려야 할 공유 인프라」로 다시 정의하는 관점을 보여주는 것으로도 위치 지어진다. 고도의 AI 공격 도구가 널리 보급되고 있는 현재, 한 회사의 방어력 향상보다 에코시스템 전체의 바닥 높이기가 우선된다는 판단에는 일정한 설득력이 있다. 향후 실제로 얼마나 많은 개발자·조직이 이 도구를 도입하고, 커뮤니티로서 개선이 진행되는지가 이 노력의 실효성을 측정하는 열쇠가 될 것이다.