Sandyaa: Claude Code 기반의 자율형 소스 코드 보안 감사 도구

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

Sandyaa는 별도의 API 키 없이 사용자의 Claude Code 세션을 재사용하여 작동하는 자율형 소스 코드 보안 감사 도구이다. 기존 LLM 스캐너와 달리 Recursive Language Models(RLM) 방식을 채택하여 모델이 직접 Python REPL을 구동하며 대규모 코드베이스를 분석한다. 호출 체인 추적부터 취약점 체이닝, PoC 정제까지 총 8단계의 재귀적 패스를 거쳐 정밀한 분석 결과를 도출한다. 최종적으로 탐지된 취약점에 대한 분석 보고서와 실행 가능한 증명 코드를 포함한 결과 폴더를 생성하여 개발자의 보안 검토를 돕는다.

배경

Node.js 18 이상, Claude Code 설치 및 로그인 완료, macOS 또는 Linux(WSL2 포함) 환경

대상 독자

보안 엔지니어, DevSecOps 개발자, 대규모 코드베이스의 취약점을 자동 탐지하고자 하는 소프트웨어 아키텍트

의미 / 영향

이 도구는 LLM이 단순한 코드 작성을 넘어 자율적인 보안 감사관 역할을 수행할 수 있음을 보여줍니다. 특히 기존 CLI 도구와 결합하여 비용 효율성을 높이고, 재귀적 분석 아키텍처를 통해 LLM의 컨텍스트 제한 문제를 실무적으로 해결한 사례로 평가됩니다.

섹션별 상세

기존 LLM 보안 도구들이 단순히 파일을 모델에 주입하는 것과 달리 Sandyaa는 Claude Code CLI 세션을 직접 활용한다. 사용자는 추가적인 API 키 설정이나 과금 부담 없이 이미 로그인된 Claude 환경에서 보안 감사를 수행할 수 있다. 이는 설정 과정을 획기적으로 단순화하며 기존 구독 서비스의 가치를 극대화한다. macOS와 Linux 환경에서 원활하게 작동하며 WSL2를 통한 Windows 지원도 제공한다.

대규모 코드베이스 처리를 위해 Recursive Language Models(RLM) 아키텍처를 도입하여 컨텍스트 창의 한계를 극복했다. 모델은 Python REPL을 제어하며 정규표현식 필터링, 파일 청킹, 하위 LLM 쿼리 생성 및 결과 집계를 프로그래밍 방식으로 수행한다. 이 과정은 논문(arxiv.org/html/2512.24601v1)에 기반한 기술로 복잡한 프로젝트 구조에서도 높은 분석 정확도를 유지한다. 결과적으로 거대한 코드 뭉치를 한 번에 읽지 않고도 논리적 흐름을 파악할 수 있다.

보안 감사는 호출 체인 추적, 데이터 흐름 확장, 취약점 체이닝 등 총 8단계의 재귀적 전략을 통해 정밀하게 진행된다. 각 단계는 src/recursive/recursive-strategy.ts에 정의된 전략에 따라 자율적으로 실행되며 공격자 제어 가능성 분석을 통해 도달 불가능한 취약점은 걸러낸다. 모든 탐지 결과는 evidence.json 파일에 기록되어 파일 경로와 라인 번호가 포함된 구체적인 근거를 제공한다. 이는 보안 전문가가 결과를 검증하는 시간을 대폭 단축시킨다.

bash

sandyaa /path/to/project
sandyaa https://github.com/user/repo
sandyaa --fresh /path/to/project

로컬 디렉토리 또는 원격 Git 저장소를 대상으로 Sandyaa 보안 감사를 실행하는 명령어 예시

탐지된 취약점에 대해 단순한 텍스트 설명을 넘어 실행 가능한 Proof-of-Concept(PoC) 코드를 자동으로 생성한다. 생성된 PoC는 선택적으로 직접 실행되어 취약점의 실제 유효성을 검증하며 분석 결과 폴더에 상세 보고서와 함께 저장된다. SQL 인젝션, 메모리 안전성 결함, 로직 버그 등 광범위한 취약점 유형을 다루며 실제 제로데이 탐지 사례를 통해 성능이 입증됐다. 개발자는 생성된 결과물을 바탕으로 즉각적인 패치 작업에 착수할 수 있다.

yaml

target:
  path: /path/to/codebase
  language: auto
analysis:
  chunk_size: 15
  depth: maximum
detection:
  min_severity: high
  exploitability_threshold: 0.7

분석 깊이와 취약점 탐지 임계값을 설정하는 Sandyaa 구성 파일 예시

실무 Takeaway

Claude Code를 이미 사용 중인 팀은 추가 비용이나 복잡한 설정 없이 Sandyaa를 도입하여 CI/CD 파이프라인이나 로컬 환경에서 자율 보안 감사를 수행할 수 있다.
단순 패턴 매칭이 아닌 RLM 기반의 8단계 재귀 분석을 통해 복잡한 데이터 흐름과 논리적 취약점을 탐지하고 실제 실행 가능한 PoC로 위험성을 즉시 확인할 수 있다.
공격자 제어 분석(Attacker-control analysis) 기능을 활용해 외부 입력이 닿지 않는 허위 양성(False Positive)을 사전에 필터링하여 보안 검토 효율성을 높일 수 있다.

언급된 리소스

GitHubSandyaa GitHub Repository

논문Recursive Language Models 논문

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

배경

Node.js 18 이상, Claude Code 설치 및 로그인 완료, macOS 또는 Linux(WSL2 포함) 환경

대상 독자

보안 엔지니어, DevSecOps 개발자, 대규모 코드베이스의 취약점을 자동 탐지하고자 하는 소프트웨어 아키텍트

의미 / 영향

섹션별 상세

bash

sandyaa /path/to/project
sandyaa https://github.com/user/repo
sandyaa --fresh /path/to/project

로컬 디렉토리 또는 원격 Git 저장소를 대상으로 Sandyaa 보안 감사를 실행하는 명령어 예시

yaml

target:
  path: /path/to/codebase
  language: auto
analysis:
  chunk_size: 15
  depth: maximum
detection:
  min_severity: high
  exploitability_threshold: 0.7

분석 깊이와 취약점 탐지 임계값을 설정하는 Sandyaa 구성 파일 예시

실무 Takeaway

Claude Code를 이미 사용 중인 팀은 추가 비용이나 복잡한 설정 없이 Sandyaa를 도입하여 CI/CD 파이프라인이나 로컬 환경에서 자율 보안 감사를 수행할 수 있다.
단순 패턴 매칭이 아닌 RLM 기반의 8단계 재귀 분석을 통해 복잡한 데이터 흐름과 논리적 취약점을 탐지하고 실제 실행 가능한 PoC로 위험성을 즉시 확인할 수 있다.
공격자 제어 분석(Attacker-control analysis) 기능을 활용해 외부 입력이 닿지 않는 허위 양성(False Positive)을 사전에 필터링하여 보안 검토 효율성을 높일 수 있다.

언급된 리소스

GitHubSandyaa GitHub Repository

논문Recursive Language Models 논문

Sandyaa: Claude Code 기반의 자율형 소스 코드 보안 감사 도구

핵심 요약

배경

대상 독자

의미 / 영향

섹션별 상세

실무 Takeaway

언급된 리소스

Sandyaa: Claude Code 기반의 자율형 소스 코드 보안 감사 도구

핵심 요약

배경

대상 독자

의미 / 영향

섹션별 상세

실무 Takeaway

언급된 리소스

관련 토론

댓글

관련 피드

관련 토론

댓글

관련 피드