Google, 취약점 스캔 AI 프레임워크 "Mantis" 공개

Google은 소프트웨어의 취약점을 자동으로 발견·검증·재현·수정하는 일련의 과정을 담당하는 AI 에이전트 프레임워크 "Mantis"를 오픈소스로 공개했다. 보안 엔지니어가 수작업으로 수행해온 취약점 관리 절차를 AI가 연속적으로 담당할 수 있도록 설계되었다.

이러한 도구가 개발된 배경에는 기존 AI를 활용한 코드 스캔이 안고 있는 근본적인 과제가 있다. 기존 AI 탑재 스캐너는 "오탐(실제로는 문제가 없는데 취약점으로 판단하는 것)" 및 "환각(AI가 존재하지 않는 취약점을 만들어내는 것)"을 높은 빈도로 일으킨다는 문제가 지적되어 왔다. 이러한 오보가 쌓이면 보안팀은 실제 위협 대응보다 "거짓 경고의 분류"에 시간을 빼앗기게 된다.

Google은 이러한 오탐·환각의 많은 사례를 해결하기 위해 Mantis를 개발했다고 설명한다. Mantis는 에이전트형 프레임워크로서, 단순히 문제를 지적하는 것만이 아니라 검증·재현·수정이라는 후속 과정까지 AI가 자율적으로 연결하여 처리하는 구조를 가진다. 취약점의 전체 생명주기를 포괄하는 점이 기존 스캔 도구와의 큰 차이점이라 할 수 있다.

이번에 오픈소스로 공개됨에 따라 외부 개발자 및 보안 연구자가 Mantis의 코드를 참고하여 자사 시스템에 통합하거나 기능을 확장할 수 있게 되었다. 오픈소스화는 도구의 보급을 가속화함과 동시에 폭넓은 커뮤니티로부터의 개선 및 검증을 받기 쉽게 한다는 측면도 있다.

AI를 활용한 보안 자동화는 소프트웨어의 규모가 계속 확대되는 현대에서 중요성이 증가하는 분야다. 코드의 양이 늘어날수록 인력에 의한 취약점 관리는 어려워지고, 자동화에 대한 수요는 계속 높아진다고 할 수 있다. 한편, AI 도구 자체의 정확도와 신뢰성을 어떻게 보장할 것인가가 업계 공통의 과제로 남아 있으며, Mantis는 그 문제에 대한 Google의 하나의 답변으로 자리매김된다.

향후의 주목점은 Mantis가 실제 개발 현장에서 오탐을 얼마나 줄일 수 있는가, 그리고 외부 커뮤니티가 이 프레임워크를 어떤 형태로 발전시켜나갈 것인가라는 점이다. 취약점 관리의 AI화가 현실적인 선택지로 정착할 수 있을지는 도구의 정확도와 실용성의 축적에 달려 있다고 볼 수 있다.