오픈소스 모델을 활용한 고효율 AI 보안 취약점 스캐너 Probus 공개

실용적 조언

대규모 레포지토리 스캔 시 비용이 걱정된다면 Probus처럼 모델을 티어별로 나누어 사용하라.
npm install -g probus 명령어로 즉시 자신의 프로젝트에 적용해볼 수 있다.

섹션별 상세

비용 효율적인 보안 스캔을 위해 두 단계의 모델 계층 구조를 채택했다. 전체 토큰의 90%를 차지하는 1차 스캔 단계에서는 Qwen과 같은 작고 저렴한 모델이 파일 단위로 대량의 코드를 훑는다. 나머지 10%의 토큰은 DeepSeek와 같은 강력한 모델에 할당되어 1차에서 발견된 항목이 실제 공격 가능한 취약점인지 독립적으로 검증한다. 이러한 전략을 통해 전체 비용은 낮게 유지하면서도 오탐률을 효과적으로 줄이는 결과를 얻었다.

분석가, 연구원, QA라는 세 가지 역할의 에이전트가 협업하는 구조로 작동한다. 각 에이전트는 샌드박스 처리된 세션 내에서 독립적으로 작업을 수행하며 코드의 맥락을 파악한다. 실제 n8n과 Vercel AI SDK 스캔 과정에서 이 에이전트 워크플로우를 통해 고위험 취약점을 성공적으로 식별해냈다. 사용자는 --primaryModel 옵션을 통해 원하는 모델 슬러그를 직접 지정하여 스캔 환경을 최적화할 수 있다.

bash

npm install -g probus
probus scan ./my-app

Probus 보안 스캐너를 설치하고 로컬 디렉토리를 스캔하는 명령어 예시

용어 해설

오탐(False Positive): — 보안 취약점이 아닌 것을 취약점으로 잘못 판단하는 현상이다. AI 보안 도구에서 모델의 추론 능력을 통해 실제 공격 벡터가 존재하는지 검증함으로써 이 비율을 낮추는 것이 핵심적인 성능 지표가 된다.
공격 경로(Attack Vector): — 해커가 컴퓨터나 네트워크 서버에 접근하여 악성 결과를 얻기 위해 사용하는 경로 또는 수단이다. 본문에서는 AI 모델이 발견된 취약점이 실제로 실행 가능한 공격 경로를 가졌는지 확인하는 과정을 다룬다.
샌드박스 세션(Sandboxed Session): — 외부로부터 격리된 안전한 가상 환경에서 프로그램을 실행하는 방식이다. 보안 분석 에이전트가 코드를 검사하거나 실행할 때 시스템 전체에 영향을 주지 않도록 보호하는 역할을 한다.

언급된 도구

Probus추천링크

오픈소스 모델 기반의 AI 보안 취약점 스캐너

n8n중립

워크플로우 자동화 도구 (취약점 발견 대상)

langgraphjs중립

에이전트 오케스트레이션 라이브러리 (취약점 발견 대상)

언급된 리소스

GitHubProbus GitHub Repository