Vercel Security Review 공개 베타 출시

오늘 Vercel Security Review를 공개 베타로 출시합니다.

Security Review는 Vercel Agent에 새로 추가된 기능으로, 기존의 Code Review, Investigation과 함께 제공됩니다. 기능을 켜 두면 팀에 연결된 GitHub 저장소에 push할 때마다 취약점을 검사합니다.

검사 결과는 pull request 코멘트로 남고, Security 대시보드에도 목록으로 표시되며, CLI로도 가져올 수 있습니다. 사용자가 허용하면 Vercel Agent가 결과를 검증하고 수정 사항을 push하기도 합니다.

동작 방식

Security Review는 프로덕션 브랜치에 직접 push하는 경우를 포함해 모든 GitHub push 이벤트에서 실행됩니다. 모노레포에서는 프로젝트의 루트 디렉터리 범위 안에서만 검토합니다. 동작 순서는 다음과 같습니다.

1. Vercel 프로젝트에 연결된 GitHub 저장소에 코드를 push합니다.

2. push가 반영되는 즉시 Security Review가 변경된 코드에서 권한 검사 누락, 비밀 값 노출 같은 취약점을 찾아냅니다.

3. 검사 결과는 Security 대시보드에 게시됩니다. 비공개(private) 및 내부(internal) 저장소에서는 해당 커밋에 GitHub check를 추가하고 pull request에 코멘트도 남깁니다.

4. 대시보드에서 Fix with Vercel Agent를 클릭해 문제를 수정할 수 있습니다. 또는 CLI로 검사 결과를 가져와 직접 사용하는 코딩 에이전트에게 수정을 맡길 수도 있습니다.

5. 이후 검토에서 해당 취약점이 더 이상 탐지되지 않으면 대시보드에서 '탐지되지 않음'으로 표시되고 GitHub 코멘트도 닫힙니다.

검토는 push를 기준(base)과 비교해 변경된 부분만 대상으로 합니다. 배포의 경우 기준은 해당 브랜치의 직전 배포이므로, 에이전트는 이미 실행 중인 코드와 비교해 변경분을 검토합니다. diff만 검사하기 때문에 Security Review는 몇 초 만에 끝나며, 모든 프리뷰 및 프로덕션 배포에서 실행할 수 있습니다.

에이전트가 확인하는 항목

에이전트는 diff뿐 아니라 주변 코드까지 읽고, 변경된 코드에 어떤 경로로 도달할 수 있는지 추적하며, 기존 보호 장치가 있는지 확인합니다. 그리고 보고하기 전에 각 결과를 다시 한번 점검합니다. 이런 과정 덕분에 패턴 매칭 방식의 스캐너가 놓치는 권한 검사 누락 같은 로직 결함도 잡아낼 수 있습니다.

검토할 때마다 팀의 보안 정책도 함께 적용됩니다. 보안 정책은 평이한 문장으로 작성할 수 있고, 특정 프로젝트에만 적용하거나 팀 전체에 적용할 수 있습니다. 예를 들어 "고객 데이터를 반환하는 모든 엔드포인트는 요청자가 해당 데이터의 소유자인지 확인해야 한다"는 정책을 둘 수 있습니다. Vercel CLI에서 vercel security policy로 정책을 관리할 수도 있습니다.

검사 결과를 추적하는 방식

새로 발견된 결과는 이미 보고된 결과와 대조하므로 같은 문제가 두 번 보고되지 않습니다. 모든 결과는 처음 나타난 배포에 연결되며, 그 시점부터 변경 사항을 따라가며 추적합니다. 따라서 취약한 변경이 담긴 pull request가 프로덕션 브랜치에 머지되면 프로덕션에서도 해당 결과가 표시됩니다.

이후 검토에서 특정 환경에 더 이상 그 문제가 탐지되지 않으면, 에이전트는 해당 환경에서 '탐지되지 않음'으로 표시합니다.

검사 결과 조치하기

각 결과에는 취약점의 내용과 해결 방법이 설명되어 있고, 처음 나타난 커밋과 배포로 이동하는 링크가 포함됩니다.

결과는 Security 대시보드의 Vulnerability 보기에 목록으로 표시되며, 여기서 Vercel Agent에게 검증과 수정 커밋을 요청할 수 있습니다. CLI로도 결과를 가져올 수 있어 직접 사용하는 코딩 에이전트로 취약점을 수정할 수도 있습니다.

새로운 결과가 나올 때마다 감사 로그(audit log) 이벤트가 생성되며, Enterprise 팀은 Audit Log Drains를 통해 이 이벤트를 SIEM으로 보낼 수 있습니다.

다음은 대시보드에 표시된 검사 결과 예시입니다.

Vercel Agent로 취약점 수정하기

Vercel Agent가 수정할 수 있는 결과라면 대시보드의 결과 페이지에 Fix with Vercel Agent 버튼이 나타납니다. 버튼을 클릭하면 에이전트가 먼저 취약점이 여전히 존재하는지 확인하고, 문제를 해결하는 최소한의 변경을 적용한 뒤 테스트도 함께 업데이트합니다.

예를 들어 한 개발자가 청구서 다운로드 엔드포인트를 수정했는데, 청구서를 조회할 때 해당 청구서가 어느 조직에 속하는지 확인하지 않는다고 가정해 보겠습니다. Security Review는 몇 초 안에 로그인한 사용자라면 누구나 ID만 바꿔 다른 조직의 청구서를 내려받을 수 있다고 알려 줍니다. Vercel Agent는 조회 범위를 사용자의 조직으로 제한하는 방식으로 수정합니다.

const { organizationId } = await requireUser();

const invoice = await db.invoice.findUnique({
  where: { id: invoiceId },
});

if (!invoice) return notFound();

return downloadInvoice(invoice);

직접 사용하는 코딩 에이전트로 취약점 수정하기

코딩 에이전트나 다른 시스템이 Vercel CLI를 사용하도록 연결하면 취약점을 가져와 수정할 수 있습니다.

vercel security vulnerabilities

대시보드의 검사 결과는 Markdown 또는 JSON 형식으로 상세 내용을 복사할 수도 있어, 에이전트와 대화할 때 바로 붙여 넣기 편합니다.

모든 코드 변경에는 보안 검토가 필요합니다

최신 AI 모델(frontier model) 덕분에 취약점을 찾고 악용하기가 훨씬 쉬워졌습니다. 지난달 연구진은 PHP 코어에 10년 넘게 남아 있던 결함 두 건을 비교적 적은 노력으로 실제로 동작하는 원격 코드 실행 익스플로잇으로 만들어 냈습니다.

한편 팀이 배포하는 코드는 점점 더 많은 부분을 에이전트가 작성하는데, 에이전트마다 보안 검토를 하는 방식이 제각각이거나 아예 하지 않는 경우도 많습니다.

Vercel Security Review를 사용하면 모든 프로젝트의 모든 push를 기본적으로 검사할 수 있으며, 이때 팀이 설정한 보안 정책이 적용됩니다.

향후 계획

Security Review는 GitHub에 push한 코드부터 지원합니다. 앞으로 Vercel CLI와 v0에서 이루어지는 배포, 그리고 Vercel에 배포하지 않는 저장소까지 지원 범위를 넓힐 계획입니다. pull request에서 바로 적용할 수 있는 수정 제안 기능도 준비하고 있습니다.

시작하기

Vercel Security Review는 오늘부터 Pro 및 Enterprise 팀에서 공개 베타로 사용할 수 있습니다.

시작하려면 Vercel Agent Settings에서 Security Review를 활성화하세요. 모든 프로젝트에 적용할 수도 있고, 원하는 프로젝트만 골라서 적용할 수도 있습니다. 더 자세한 내용은 변경 로그와 Security Review 문서에서 확인하세요.

Security Review는 Vercel Agent 요금 기준으로 청구됩니다. 모델 토큰은 제공업체 요금 그대로 부과되며 별도 마진은 붙지 않고, 여기에 100만 토큰당 $0.25가 추가됩니다.

보안 검토는 2026년 11월 10일까지 무료입니다. Vercel Agent로 수정한 작업은 위 요금대로 청구됩니다.

기여자