보안 스캐너가 쏟아내는 탐지 결과를 사람이 일일이 조사해야 하는 부담을 AI로 덜어주는 서비스가 나왔다. 아마존웹서비스(Amazon Web Services, AWS)는 AI로 코드 취약점을 탐지·검증하고 수정안까지 생성하는 보안 서비스 ‘코드 취약점용 AWS 컨티뉴엄(AWS Continuum for code vulnerabilities)’을 정식 출시했다.
대규모 애플리케이션을 운영하는 조직에서는 보안 스캐너 탐지 결과가 하루 수천 건 발생할 수 있다. AWS는 보안 담당자가 이 결과를 개별 조사하는 부담을 줄이고, 실제 비즈니스 위험이 높은 취약점에 대응 역량을 집중하도록 지원하려는 목적으로 이 서비스를 내놨다.
컨텍스트 그래프로 위험의 우선순위를 가린다
컨티뉴엄의 핵심 기술은 ‘컨텍스트 그래프(Context Graph)’다. 고객의 코드 저장소와 클라우드 운영 환경을 연결하는 구조로, 이를 통해 접근 가능성과 공격 경로, 시스템 중요도를 분석한다.
AWS는 이러한 문제를 해결하기 위해 취약점 심각도뿐 아니라 접근 가능성·공격 경로·시스템 중요도를 함께 분석하도록 컨티뉴엄을 설계했다. 스캐너가 찾은 취약점 가운데 실제 운영 환경에서 악용 가능한 문제를 선별하고, 비즈니스 영향도를 기준으로 우선순위를 정한다.
인프라 정보는 수집기가 AWS 컨피그(AWS Config) 등 대상 리소스에서 모은다. 코드 소스로는 아마존 S3 버킷도 연결할 수 있으며, 버킷 접근 권한은 AWS IAM 역할로 부여한다.
샌드박스에서 공격 코드를 실행해 검증
선별한 취약점은 격리된 샌드박스에서 공격 코드를 실행해 검증한다. 검증 결과와 함께 공격 재현 절차와 PoC 코드를 제공한다.
검증을 마치면 수정안 생성 단계로 넘어간다. 코드 패치, 종속성 업그레이드, 구성 변경 수정안을 만들어 깃허브(GitHub) 저장소에 풀 리퀘스트(코드 변경 검토 요청) 형태로 등록한다.
자동 수정 기능은 예정
AWS는 고객이 설정한 보안 가드레일 안에서 일부 수정 작업을 자동으로 수행하는 기능을 지원할 계획이다. 현재 수정안은 풀 리퀘스트로 등록되는 방식이다.