AI 생성 코드용 보안 스캐너를 만들었는데, 솔직한 의견 부탁드립니다

OWASP Trivy 같은 스캐너를 바로 쓰면 됩니다. 걔네가 뭘 해야 하는지 잘 알거든요. 완벽하진 않지만(Trivy도 11월 25일에 자체 SCA 공격이 있었던 것 같지만요) 걔네를 조합하면 유효한 결과물을 얻을 수 있어요. 보안 스캐너는 유지보수가 많이 필요합니다. 제가 셀프 호스팅용으로 여러 개를 포함해둔 깃허브 저장소가 있어요.

네, Trivy/Semgrep 같은 것들은 탄탄하고, 그걸 대체하려는 건 아닙니다. 제가 만든 건 AI 코딩 도구가 생성하는 패턴(예: 'dev-secret' 같은 폴백 시크릿, 검증 없이 디코딩된 JWT, AI가 스캐폴딩한 라우트의 인증 누락 등)에 맞춰져 있어요. 제가 보기엔 일반 스캐너들은 그런 카테고리에 대한 규칙이 딱히 없더라고요. 제가 만든 건 기존에 쓰던 도구와 함께 실행하려는 용도지, 대체하려는 게 아닙니다.

이거 다 사전 정의된 규칙 같은데 왜 LLM이 필요한 거죠? 보안 스캐너가 기본적으로 다 하는 거잖아요.

위의 저장소는 규칙 엔진일 뿐이고, 전부 패턴 기반입니다. LLM 쪽은 분류기(사람이 쓴 코드 vs AI가 쓴 코드)랑 수정 사항을 생성하는 리라이터인데, 그건 위의 저장소가 아니라 호스팅 버전에 있어요. 스캐너는 의도적으로 그냥 또 다른 패턴 스캐너로 만들었고, 사람들이 정확히 뭘 잡아내는지 감사하고 피드백을 줄 수 있게 오픈소스로 공개했습니다.

정말 흥미롭고 보안 스캔에 유용하겠네요. 꼭 써봐야겠어요. 오프라인으로 실행할 수 있나요? 중복 함수 스캔을 위해 (오픈소스인) dupehound를 써왔는데, AI를 쓰지 않고 결정론적이며 오프라인으로 작동해서 대부분의 일반적인 코드 리뷰 도구보다 낫더라고요. 근데 보안 스캔용은 아니거든요.

네, 오픈소스 스캐너는 완전히 오프라인으로 실행됩니다. pip install prbl-scanner 하고 prbl-scanner scan ./project 하면 네트워크 호출도 없고 계정도 필요 없습니다. Dupehound는 처음 들어보는데 유용해 보이네요. 중복 코드랑 취약점은 다른 문제니까 둘 다 실행해보는 게 좋을 것 같습니다. 써보고 결과 알려주세요.